Como criminosos usam aplicativos de relacionamento para roubar a biometria de usuários

Perfis falsos podem levar vítimas a videochamadas para capturar imagens e voz. Especialistas explicam como esse material pode ser usado em fraudes. Quais são os limites da biometria facial e como se proteger?Paula*, de 36 anos, conversou durante vários dias com um homem que conheceu em um aplicativo de relacionamento. Depois das primeiras mensagens, os dois passaram a falar pelo WhatsApp. Ele demonstrava pressa para encontrá-la pessoalmente, mas foi outro comportamento que começou a despertar sua desconfiança: as tentativas de fazer chamadas de vídeo sem combinar previamente.

"Conversamos por vários dias, até que um dia ele me ligou sem avisar. Eu não atendi. Aí fui pesquisar o perfil dele com mais cuidado e vi que era fake, e na sequência já bloqueei", conta. Antes disso, uma foto enviada para visualização única já havia chamado sua atenção.

Ao compará-la com as imagens publicadas no perfil, ela percebeu diferenças. Depois de bloquear o contato, buscou as fotografias, descobriu que pertenciam ao filho de uma pessoa conhecida e estavam sendo usadas por alguém que se passava por ele. "Na verdade, ele queria muito marcar um encontro rápido, só falava sobre isso, não era uma conversa normal, parando para pensar".

Paula não sabe por que o homem insistia nas videochamadas nem o que pretendia fazer caso ela atendesse. Mas abordagens que começam em aplicativos de namoro e rapidamente migram para outras plataformas fazem parte da dinâmica observada em diferentes modalidades de fraude, segundo Juliana Cunha, diretora da SaferNet Brasil e especialista em violência de gênero facilitada pela tecnologia. "A saída do app para outra plataforma menos protetiva é a etapa principal de todo golpe", afirma.

Dados biométricos

Uma das preocupações envolve a captura de imagens do rosto. Segundo Cunha, dados biométricos podem ser explorados em fraudes para abertura ou tentativas de assumir o controle de contas bancárias que utilizam selfies como mecanismo de autenticação ou recuperação. Uma gravação obtida em uma videochamada, porém, não significa automaticamente que um criminoso conseguirá passar pelos sistemas de reconhecimento facial — uma das questões depende das tecnologias de verificação utilizadas.

Embora não haja estatísticas nacionais específicas sobre golpes que utilizam videochamadas em aplicativos de relacionamento, Cunha afirma que essas fraudes podem aparecer dentro de uma categoria mais ampla, a de estelionato por meio eletrônico. Dados do Fórum Brasileiro de Segurança Pública apontam que os registros desse tipo de crime cresceram 20,6% em relação ao ano anterior.*

"O que vemos na prática é que as mulheres são alvo preferencial dos golpes que exploram vínculo afetivo e violência de gênero. O criminoso explora essa vulnerabilidade com dinâmicas de confiança e de controle que recaem mais sobre elas.", afirma a especialista da Safernet.

Como o golpe pode ocorrer na prática?

A videochamada pode funcionar como uma etapa de coleta de informações. Durante a conversa, o criminoso pode gravar não apenas o rosto da vítima, mas também diferentes ângulos, expressões, movimentos e a própria voz. Esse material pode posteriormente ser combinado com outros dados pessoais em tentativas de fraude.

Segundo Juliano Maranhão, professor da Faculdade de Direito da USP e diretor do Legal Wings Institute, imagens frontais ajudam a reproduzir características do rosto, enquanto mudanças de ângulo, iluminação e expressão ampliam o material disponível. Movimentos como piscar, sorrir ou virar a cabeça também podem coincidir com ações solicitadas por alguns sistemas de prova de vida.

Isso não significa, porém, que atender a uma videochamada seja suficiente para permitir que alguém acesse uma conta bancária. "O risco de fraude cresce quando rosto e voz são ligados à identidade civil da vítima e combinados com CPF, documento, telefone, e-mail, credenciais, códigos ou falhas no cadastro", afirma Maranhão.

O material capturado também pode ser usado de outras maneiras. A gravação da voz, por exemplo, pode servir de base para uma clonagem ou ser manipulada para tentar convencer familiares ou funcionários de uma instituição de que estão falando com a própria vítima. Da mesma forma, diferentes imagens do rosto podem contribuir para a produção de um deepfake.

Patricia Eliane da Rosa Sardeto, membro do Observatório de Inteligência Artificial na Educação Superior e docente da Pontifícia Universidade Católica do Paraná (PUCPR), explica que a abordagem pode começar antes mesmo da chamada. Depois de estabelecer contato em um aplicativo de relacionamento, o golpista pode tentar levar a conversa para o WhatsApp ou uma rede social e, aos poucos, obter informações diretamente da vítima. Durante uma videochamada, pedidos aparentemente casuais também podem servir de alerta. "Agora vire para a esquerda", "para a direita" ou "chegue mais perto da câmera" são alguns dos exemplos citados por Sardeto.

Há, no entanto, uma diferença entre ter uma imagem do rosto e possuir a biometria armazenada por uma instituição. Maranhão explica que bancos e outros serviços podem analisar características faciais, como distâncias e contornos, e transformá-las em uma representação matemática usada para comparação. "O criminoso pode usar a gravação como matéria-prima para produzir outra amostra ou extrair características, mas isso não significa que tenha copiado a biometria cadastrada pela instituição", afirma.

Se uma gravação ou um deepfake conseguir enganar a verificação facial depende dos mecanismos de segurança adotados por cada sistema. Não existe um conjunto de movimentos que permita desbloquear qualquer serviço, diz Maranhão. Sistemas mais robustos podem recorrer a mecanismos destinados a verificar se há uma pessoa presente naquele momento, enquanto controles menos resistentes podem apresentar mais vulnerabilidades.

Fragilidade das plataformas

Perfis verificados podem reduzir alguns riscos nos aplicativos de relacionamento, mas o selo não significa necessariamente que todas as informações apresentadas pelo usuário foram confirmadas. Dependendo da plataforma e do método adotado, a checagem pode apenas verificar se a pessoa que aparece em uma selfie ou vídeo corresponde às fotografias publicadas no perfil.

Segundo Maranhão, criminosos podem montar perfis com fotografias retiradas de redes sociais ou assumir contas legítimas obtidas por meio de phishing (técnica usada para enganar a vítima e obter senhas, dados pessoais ou outras informações). Mesmo quando há verificação facial, permanecem outras possibilidades. Uma pessoa pode, por exemplo, utilizar as próprias fotografias e passar pela checagem, mas mentir sobre nome, idade, profissão ou suas intenções.

"Em alguns [apps], a verificação por foto usa vídeo-selfie e o próprio aplicativo apresenta um selo que indica maior chance de autenticidade, mas não garante completamente a identidade ou a segurança", afirma Maranhão. Há plataformas que também oferecem verificação por documento, mas a disponibilidade e a obrigatoriedade desses recursos podem variar conforme o aplicativo e o país. "Portanto, existe uma vulnerabilidade residual e segurança depende de controles em camadas, repetição da verificação quando as fotos mudam, detecção de contas tomadas, análise de comportamento, canais de denúncia e resposta rápida", complementa.

Perfis falsos também podem utilizar fotografias roubadas ou imagens de rostos produzidas por inteligência artificial. "Muitos apps não verificam identidade real, não checam documento contra o rosto. Então, 'verificado' às vezes significa apenas 'a selfie combina com as fotos', não "esta pessoa é quem diz ser'", explica Cunha.

A videochamada, por outro lado, não deve ser tratada por si só como indício de fraude. Maranhão afirma que uma conversa breve realizada dentro do próprio aplicativo pode até ajudar a identificar um perfil falso sem que seja necessário fornecer telefone ou e-mail. O alerta aumenta quando a chamada passa a seguir uma sequência incomum de solicitações, como aproximar o rosto da câmera, retirar os óculos e procurar uma iluminação mais forte.

Outros comportamentos também podem levantar suspeitas: perfis com poucas informações, versões contraditórias sobre a própria história, tentativa de criar intimidade rapidamente, recusa em responder perguntas espontâneas e pressão para levar a conversa para fora da plataforma.

Para Cunha, é justamente essa insistência em migrar a conversa que merece atenção. "Nenhum aplicativo é totalmente seguro. A insistência em sair do app já é o sinal de alerta, independentemente do canal", diz. Por isso, segundo os especialistas, nas primeiras interações, permanecer nos recursos de conversa e videochamada oferecidos pelo próprio aplicativo evita ao menos a exposição imediata de outras informações de contato, como o número de telefone.

Como se proteger e o que fazer em caso de golpe?

Se a pessoa desconfiar que teve o rosto, a voz ou outras informações capturadas durante uma abordagem suspeita, a primeira orientação é interromper o contato e não fornecer novos dados. Documentos, códigos de autenticação, vídeos ou valores não devem ser enviados, mesmo que o interlocutor passe a fazer ameaças.

Ao mesmo tempo, é importante preservar registros da abordagem. Segundo Maranhão, isso inclui fazer capturas de tela do perfil e das conversas e guardar nome de usuário, telefone, links, datas e horários das chamadas, além de eventuais ameaças, dados bancários ou comprovantes. Caso apareçam perfis falsos, deepfakes ou outros conteúdos utilizando a imagem da vítima, a recomendação é registrar os endereços das páginas antes de solicitar a remoção.

Sardeto também orienta a denunciar o perfil no próprio aplicativo e registrar boletim de ocorrência, presencialmente ou pela internet. Se houver extorsão, a recomendação é não realizar pagamentos. O crime ocorre quando alguém, mediante violência ou grave ameaça, constrange a vítima com o objetivo de obter vantagem econômica e pode ser punido com quatro a dez anos de reclusão, além de multa.

Se ocorrer indícios de que senhas ou outros dados pessoais também foram comprometidos, as medidas devem ser ampliadas. Maranhão recomenda alterar as senhas, encerrar sessões desconhecidas e ativar a autenticação em dois fatores. Bancos e outras instituições envolvidas também devem ser comunicados pelos canais oficiais.

Nos casos em que uma transferência via Pix já tenha sido realizada de forma fraudulenta, a vítima pode contestar a operação junto à instituição financeira e verificar a possibilidade de utilização do Mecanismo Especial de Devolução (MED), procedimento criado para tentar recuperar valores em determinadas situações de fraude.

Cada denúncia, porém, segue um caminho diferente. A polícia pode investigar crimes como ameaça, extorsão, fraude e falsa identidade, enquanto as plataformas recebem denúncias sobre contas e conteúdos e podem analisar pedidos de remoção. Já a Autoridade Nacional de Proteção de Dados (ANPD) pode ser procurada quando houver indícios de tratamento irregular de dados pessoais por empresas ou órgãos.

Mesmo diante dessas orientações, Sardeto reforça a dificuldade de percepção de fraude em situações em que a abordagem já avançou. "A vítima normalmente não desconfia do golpe, pois está envolvida emocionalmente e esse envolvimento a faz 'baixar todas as guardas'. Só se dá conta do golpe quando sofre um prejuízo financeiro ou é extorquida."

* Nome modificado a pedido da fonte

---------

Não deixe que o algoritmo esconda as notícias. Se você valoriza o trabalho da nossa equipe para uma cobertura jornalística confiável, reserve um momento para nos selecionar como sua fonte preferida no Google clicando aqui. Marque o link da DW quando ele aparecer na lista para sempre ver nossas notícias verificadas primeiro.