A IA está a acelerar a fraude financeira. Eis o que precisa de acompanhar

No ano passado, um funcionário de finanças autorizou uma transferência de 25 milhões de dólares após participar numa chamada de vídeo com o que parecia ser vários colegas seniores. Cada rosto na tela era um deepfake. Cada voz era sintética. Os processos de verificação da empresa não detectaram nada.

Nos primeiros nove meses de 2025, a fraude por deepfake impulsionada por IA causou perdas superiores a 3 mil milhões de dólares apenas nos Estados Unidos. A fraude de identidade sintética — onde dados reais e fabricados são combinados para criar pessoas fictícias — já representa uma em cada cinco fraudes detectadas globalmente, um aumento de 311% em relação ao ano anterior. Plataformas de deepfake como serviço vendem pacotes convincentes de identidade sintética por apenas 15 dólares. Clones de voz custam menos de 10 dólares por mês. A barreira à fraude de nível institucional desmoronou-se.

A reação padrão tem sido implementar mais IA — classificadores de deteção de deepfake, verificações de vivacidade, modelos de deteção de anomalias. Mas isto cria uma corrida onde cada modelo de deteção se torna um padrão para as ferramentas de fraude do amanhã. Quando uma verificação de vivacidade aprende a detectar um artefacto específico, os atacantes adaptam-se em semanas.

Fazer a pergunta errada

A maior parte da conversa na indústria ainda centra-se numa única questão: como podemos melhorar na deteção de falsificações? Essa é a questão errada. A questão certa é mais simples: podemos verificar a identidade sem precisar de detectar falsificações?

Todos os métodos de verificação utilizados hoje — verificações de documentos, reconhecimento facial, deteção de vivacidade, consultas a bases de dados — baseiam-se na mesma avaliação: isto parece correto? São questões perceptuais. E a perceção é precisamente o que a IA generativa foi criada para derrotar. Um sistema construído para perguntar “isto parece real?” estará sempre vulnerável a algo que parece real, mas não é.

No entanto, existe uma abordagem diferente — enraizada na criptografia.

De “isto parece real?” para “isto pode ser provado?”

A criptografia usa equações complexas para transformar informações de modo que só alguém com a chave certa possa lê-las, verificá-las ou alterá-las. Assinaturas digitais usam pares de chaves matematicamente ligadas para provar que um dado foi criado por uma entidade específica e que não foi alterado desde então. Forjar a assinatura sem a chave privada simplesmente não funciona.

Isto não é novo nos serviços financeiros. A criptografia de chave pública sustenta transferências SWIFT, TLS, todas as sessões bancárias online e chamadas de API de pagamento. A indústria já confia nela para trilhões de dólares em transações diárias.

Em vez de perguntar se algo parece autêntico, a verificação criptográfica questiona se pode ser matematicamente provado como autêntico. Uma credencial de identidade tem ou uma assinatura criptográfica válida — emitida por uma autoridade conhecida e confiável — ou não tem. Não há versão sintética que passe, porque não há nada para perceber.

Mas só a criptografia não é suficiente. Se as credenciais criptográficas ainda estiverem armazenadas numa base de dados central, permanecem vulneráveis a violações, manipulação por insiders e pontos únicos de falha.

Porque é que as credenciais criptográficas precisam de uma infraestrutura descentralizada

A assinatura criptográfica resolve o problema da autenticidade. Mas assinar sozinho não determina onde as credenciais são armazenadas, quem controla o acesso a elas ou o que acontece quando o sistema que as detém é comprometido. Uma arquitetura incorreta reintroduz as vulnerabilidades que a criptografia pretendia eliminar.

Quando um governo ou banco emite uma credencial hoje, ela fica numa base de dados centralizada — um ponto único de falha que contém milhões de registos. Uma violação não compromete uma identidade; compromete todas. A descentralização elimina esta fraqueza estrutural. Credenciais detidas por indivíduos em carteiras digitais, em vez de repositórios centrais, eliminam o ponto de ataque. O titular controla o que é partilhado: uma prova verificável de idade sem revelar a data de nascimento, uma qualificação sem expor todo o histórico de emprego.

A verificação também muda estruturalmente. Um banco ou parceiro de cadeia de abastecimento pode confirmar a autenticidade de uma credencial verificando a sua prova criptográfica contra um livro-razão distribuído — sem contactar o emissor, sem uma consulta centralizada, e sem a latência, custo ou exposição de privacidade de verificações baseadas em bases de dados. Nenhuma entidade controla a camada de verificação, o que significa que nenhuma entidade pode ser comprometida para a comprometer.

A criptografia fornece a garantia matemática. A descentralização garante que essa garantia não possa ser negada por falhas arquitetónicas.

A infraestrutura não é teórica

A UE agora exige que todos os 27 Estados-membros ofereçam carteiras de identidade digital aos cidadãos até ao final de 2026. Até 2027, bancos e fornecedores de pagamento em toda a Europa terão de aceitá-las. O Reino Unido e a Suíça têm os seus próprios quadros que reconhecem credenciais verificáveis descentralizadas. A regulamentação do Passaporte Digital de Produto da UE está a criar novos casos de uso para credenciais criptográficas em cadeias de abastecimento globais. Os padrões técnicos são abertos, maduros e interoperáveis — já utilizados na autenticação de funcionários, integração de clientes em mercados emergentes e credenciais académicas verificáveis.

A plataforma IDTrust do Hashgraph Group é um exemplo desta infraestrutura em produção. Construída sobre o livro-razão distribuído Hedera e desenhada com padrões abertos incluindo OpenID4VCI e OpenID4VP, a IDTrust permite às organizações emitir, verificar e gerir credenciais de identidade descentralizadas em grande escala — desde a integração KYC em bancos africanos até à autenticação de funcionários e residentes numa smart city no MENA. É o tipo de plataforma que este artigo descreve: prova criptográfica de identidade, detida pelo indivíduo, verificável sem uma consulta centralizada.

Sobre o Risco Quântico

Uma objeção comum às sistemas de identidade criptográfica é a computação quântica. Os computadores quânticos representam uma mudança fundamental na potência computacional. Ao contrário dos computadores tradicionais, que processam informações em bits binários, os computadores quânticos usam qubits — que podem existir em múltiplos estados simultaneamente. Isto permite resolver certos problemas matemáticos exponencialmente mais rápido do que qualquer computador clássico. Os algoritmos criptográficos que atualmente protegem transações financeiras, credenciais de identidade e comunicações seguras baseiam-se em problemas matemáticos que levariam milhares de anos a serem resolvidos por computadores tradicionais. Um computador quântico suficientemente potente poderia resolver esses problemas em horas ou minutos — tornando a encriptação atual obsoleta e expondo trilhões de dólares em infraestruturas financeiras a riscos de comprometimento.

Contudo, a ameaça é resolúvel. Em 2024, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) finalizou o primeiro conjunto de padrões criptográficos pós-quânticos — algoritmos especificamente desenhados para resistir a ataques de computadores quânticos. Redes de livro-razão distribuído de topo foram construídas com o que se chama agilidade algorítmica: a capacidade de trocar algoritmos criptográficos através de atualizações de software, sem necessidade de reconstruir toda a infraestrutura. Isto significa que, à medida que as ameaças quânticas evoluem, os sistemas que suportam a identidade descentralizada podem adaptar-se sem descartar a arquitetura ou obrigar as organizações a migrar para plataformas completamente novas.

O que a indústria precisa aceitar

O setor de serviços financeiros construiu a sua infraestrutura de identidade para um mundo onde falsificar um passaporte exigia habilidade física e fabricar um vídeo ao vivo era ficção científica. Esse mundo já não existe.

Credenciais criptográficas não requerem uma substituição total de uma só vez. Podem ser integradas por baixo das infraestruturas existentes, fortalecendo a base em vez de substituir a superfície. Mas detectar falsificações sozinho é uma estratégia perdida. As organizações que mais cedo adotarem estas soluções gastarão menos em fraude, terão menos exposição regulatória e oferecerão aos seus clientes algo que nenhuma deteção de IA consegue proporcionar: prova matemática de que uma pessoa é quem afirma ser.