Dono da Parimatch perde dinheiro em startup de IA de fachada: foi enganado por um deepfake de um conhecido

Histórias sobre deepfakes nos negócios costumam ser contadas como contos de advertência sobre outras empresas. Agora o dono da casa de apostas Parimatch, Serguei Portnov, se viu nessa situação. Ele foi enganado para investir em uma startup de IA que, na verdade, não existia. Quem o convenceu não foi a startup em si, mas um deepfake de uma pessoa em quem ele confiava.

O que se sabe

Há poucos detalhes. Portnov falou sobre o caso em uma publicação no LinkedIn e não revelou o valor, apenas escreveu que perdeu "muito caro". Quem exatamente foi falsificado e como ocorreu a comunicação não consta nos dados públicos. Por isso, não é possível analisar aqui a técnica do ataque, mas a conclusão dele merece atenção.

Segundo Portnov, a fraude há muito ultrapassou as ligações de "funcionários do banco". Agora quem entra em contato pode ser um amigo ou parente: voz conhecida, conhecimento de detalhes pessoais, mas na prática não é a pessoa. "Até a videochamada deixou de ser prova", escreve ele. Sua receita: antes de transferir dinheiro, ligue de volta para o interlocutor em um número que você já tinha. Cinco minutos de "paranoia", segundo ele, custarão muito menos que suas perdas.

Não é o primeiro caso

Histórias assim se acumulam desde 2024 e mostram diferentes lados do mesmo problema.

Naquele mesmo ano, um funcionário do departamento financeiro da empresa de engenharia Arup, em Hong Kong, entrou em uma videoconferência com o diretor financeiro e colegas. Todos os participantes eram deepfakes. O funcionário fez quinze pagamentos no total de 200 milhões de dólares de Hong Kong, cerca de $25,6 milhões. A chamada parecia uma reunião de trabalho comum, mas cada participante era uma falsificação.

Outro exemplo é totalmente inofensivo, mas revelador. Um usuário do X com o apelido facelessboy00 contou que ajudou um amigo a passar em uma entrevista em uma empresa de tecnologia. Ele próprio é um desenvolvedor experiente, então entrava na chamada e demonstrava as habilidades, enquanto trocava o próprio rosto em tempo real pelo do amigo. Na segunda tentativa, isso rendeu uma oferta de $4 mil. Se a troca funciona numa entrevista, também funcionará numa conversa sobre dinheiro.

O que fazer na prática

A ideia central das três histórias: não conte com a possibilidade de perceber a falsificação pela imagem. A qualidade está aumentando, enquanto a atenção das pessoas na rotina de trabalho é limitada. É preciso proteger o processo, não os olhos do funcionário.

Para desenvolvedores e líderes técnicos:

• Não considere vídeo e voz um fator de autenticação. Se o seu produto tem cenários de "confirmar identidade por chamada", reveja-os.
• Ao contratar especialistas remotos, adicione verificações fora da videochamada principal: documentos, referências, uma nova reunião por um canal independente.

Para product managers e fundadores:

• Para transferências e investimentos, adote a regra do segundo canal. Qualquer pedido de dinheiro recebido por chamada ou mensageiro deve ser confirmado por um contato previamente conhecido.
• Para valores grandes é necessária dupla aprovação, para que uma única pessoa convencida não consiga efetuar o pagamento sozinha. No caso da Arup foram quinze pagamentos, e eles poderiam ter sido interrompidos em qualquer etapa.
• Combine com seus familiares e com a equipe uma palavra-código para pedidos financeiros urgentes. É barato e funciona enquanto a falsificação não souber o seu segredo.
• Verifique separadamente ofertas de investimento "quentes". O tema da IA atrai dinheiro hoje, por isso os golpistas o usam de bom grado como isca.

Limitações

Toda a história se baseia na publicação pessoal da vítima; no material não há confirmações independentes nem detalhes técnicos. Não sabemos quais ferramentas os criminosos usaram, se foi uma videochamada ou apenas voz, nem como exatamente a startup parecia para o investidor. Por isso, é cedo para tirar conclusões específicas sobre a tecnologia.

Mas a conclusão prática não depende desses detalhes. Se até o dono de um grande negócio errou, significa que o problema não é a ingenuidade da vítima, mas hábitos ultrapassados. A verificação por um canal independente leva minutos, e um erro pode custar milhões. Para qualquer empresa em que alguém tenha o direito de transferir dinheiro, vale incluir essa regra no regulamento já agora.