Group-IB expõe o "ponto cego" organizacional que golpistas exploram entre o phishing e a fraude financeira
Um relatório da Group-IB argumenta que, na maioria das empresas, existe um intervalo sem dono entre o momento em que a vítima digita a senha numa página falsa e o momento em que a transação fraudulenta é processada — porque times de cibersegurança e de antifraude monitoram estágios diferentes do ataque. O texto usa como estudo de caso uma instituição financeira indonésia enganada por rostos gerados por IA no processo de KYC digital para aprovação de empréstimos, com US$ 6,58 milhões desviados antes da contenção. A lição central é estrutural: o atraso não veio de falta de ferramentas, mas da falta de um time responsável por essa janela específica do ataque.
O relatório da Group-IB parte de uma constatação incômoda: ao mapear qualquer campanha de fraude contra o organograma de uma empresa, sempre existe um estágio da cadeia de ataque sem responsável definido. Cyber trata do perímetro corporativo — e-mail, endpoint, rede. Antifraude trata da transação — login, sessão, pagamento. Só que entre uma coisa e outra existe um vácuo: o instante em que a vítima é enganada e entrega a credencial, mas antes de qualquer sessão ou transação existir para o time de fraude monitorar. É exatamente nesse vácuo que golpistas mais sofisticados concentram esforço, porque sabem que ninguém está olhando ali.
O caso ilustrado no artigo mostra como esse ponto cego se traduz em prejuízo real. Uma instituição financeira na Indonésia foi vítima de uma fraude de KYC digital usando rostos sintéticos gerados por IA para aprovar solicitações de crédito que nunca deveriam ter passado pela verificação de identidade. Entre o início da campanha e a detecção se passaram 25 dias; entre a detecção e a contenção completa, mais 8 a 14 dias. Nesse intervalo, o prejuízo acumulado chegou a US$ 6,58 milhões, e a análise manual para reconstruir o que houve consumiu cerca de US$ 30 mil em horas de especialistas — com uma estimativa de risco setorial de US$ 138,5 milhões caso o padrão se repita em outras instituições do país.
O ponto técnico mais relevante é que o deepfake usado para burlar o KYC não precisa ser perfeito: ele só precisa ser bom o suficiente para passar pelos limiares automatizados de verificação facial, que em geral são calibrados para equilibrar taxa de rejeição de clientes legítimos com custo operacional — e não para resistir a rostos sintéticos de última geração. Quando esse controle automatizado falha, a detecção depende inteiramente de sinais comportamentais e de correlação entre sistemas que, na prática, moram em times diferentes e não conversam em tempo real.
Na prática, o remédio que o relatório sugere é organizacional antes de ser tecnológico: nomear um dono explícito para o estágio "captura de credencial/identidade → pré-transação", com SLA de handoff entre cyber e antifraude, e telemetria compartilhada desde o momento da tentativa de autenticação — não apenas a partir da transação confirmada. Para instituições que usam KYC biométrico como controle de fraude, isso significa também tratar liveness detection e verificação facial como superfície de ataque ativa, com testes periódicos contra geradores de deepfake atuais, e não como um controle estático implantado uma vez e esquecido.