O que aconteceu
A Polícia Federal deflagrou a operação “Face Off” depois de identificar um esquema que fraudou cerca de 3 mil contas do portal Gov.br usando biometria facial falsificada. Segundo as investigações, os criminosos combinaram vídeos manipulados, imagens alteradas por inteligência artificial e até máscaras 3D hiper-realistas para enganar o sistema de reconhecimento facial — a mesma tecnologia que hoje protege acesso a benefícios do INSS, declarações de Imposto de Renda, abertura de contas bancárias e assinaturas digitais.
Daniel Barbosa, pesquisador de segurança da ESET no Brasil, confirmou que a autenticação biométrica continua sendo um método relativamente seguro, mas não é infalível. “Criminosos, tanto do mundo cibernético quanto do físico, estão encontrando formas de burlar esses sistemas, seja com tecnologias avançadas, seja com truques simples, como o uso de uma foto impressa”, explicou o especialista.
Por que isso está acontecendo
A popularização de ferramentas de inteligência artificial generativa baratas e acessíveis mudou o custo do crime digital. Até pouco tempo, produzir um vídeo ou imagem falsa convincente exigia equipe técnica e tempo. Hoje, aplicativos de deepfake fazem isso em minutos, com qualidade suficiente para enganar sistemas de verificação automatizados que comparam apenas padrões faciais, sem confirmar se o rosto pertence a uma pessoa viva, presente e real (o chamado “teste de vivacidade”).
Bancos e órgãos públicos brasileiros investiram pesado em biometria como camada única ou principal de segurança nos últimos anos, o que tornou o Gov.br — hub de acesso a dezenas de serviços públicos — um alvo especialmente atrativo para fraudadores organizados.
O que isso significa
O caso expõe um ponto cego estrutural: biometria isolada deixou de ser suficiente. Especialistas em cibersegurança já apontam que sistemas que dependem de um único fator de verificação, mesmo que seja o rosto do usuário, estão vulneráveis à nova geração de fraudes assistidas por IA. O ITI (Instituto Nacional de Tecnologia da Informação) já sinalizou a criação de novas barreiras técnicas contra fraude biométrica, deepfake e falsidade documental, mas a corrida entre proteção e ataque é constante.
Para o usuário comum, a lição é que nenhuma tecnologia de verificação, por mais moderna que pareça, deve ser tratada como prova definitiva de identidade sem camadas adicionais de proteção.
Como isso afeta você
Se seus dados (nome, CPF, fotos de redes sociais) já circularam em algum vazamento — o que é bastante provável no Brasil — você é um alvo em potencial para esse tipo de golpe, mesmo sem nunca ter sido vítima direta de nada antes. Uma conta Gov.br comprometida pode ser usada para solicitar empréstimos consignados, portabilidade de linha telefônica (golpe do SIM swap) ou até movimentações bancárias em seu nome.
Daniel Barbosa recomenda medidas concretas e simples de aplicar ainda hoje:
Ativar a autenticação em dois fatores no Gov.br e em aplicativos bancários, mesmo quando o sistema já usa biometria. Evitar reutilizar a mesma senha em múltiplos serviços. Desconfiar de solicitações de “verificação facial” fora dos aplicativos oficiais. Acompanhar o extrato de acessos e notificações do Gov.br, disponível no próprio painel do usuário, para identificar login suspeitos.
O que observar daqui para frente
O tema deve ganhar força regulatória: o ITI já trabalha em novas barreiras técnicas contra fraude biométrica e o Banco Central tem pressionado instituições financeiras a adotarem verificação multifatorial obrigatória em operações de maior risco. Também é esperado que aplicativos de reconhecimento facial passem a incorporar testes de vivacidade mais rigorosos, capazes de distinguir uma pessoa real de uma máscara ou vídeo gerado por IA.
Para o cidadão, o recado prático é simples: biometria é uma camada de segurança, não a única. Quem tratar reconhecimento facial como senha definitiva está mais exposto do que imagina.