Em fevereiro de 2024, um funcionário do departamento financeiro da multinacional de engenharia Arup, em Hong Kong, recebeu uma videochamada do que acreditava ser o diretor financeiro da empresa e vários outros executivos sénior. Todos os participantes eram reais — ou pelo menos pareciam. O problema? Nenhum deles existia. Eram deepfakes, réplicas digitais perfeitas geradas por inteligência artificial. Nessa mesma chamada, o funcionário fez 15 transferências bancárias, num total de 25,6 milhões de dólares. Até hoje, nenhum centavo foi recuperado.
Este caso não é ficção científica. É o presente. E em 2026, a situação é ainda mais alarmante.
Os deepfakes — conteúdos de vídeo, áudio ou imagem manipulados por inteligência artificial — atingiram um nível de realismo que torna a deteção humana praticamente impossível em muitos cenários. O volume de conteúdos falsos cresce cerca de 900% ao ano, e as ferramentas de criação estão acessíveis a qualquer pessoa com um telemóvel e uma ligação à internet.
Neste artigo, explicamos o que mudou em 2026, quais os riscos para empresas e cidadãos, como identificar conteúdos falsos e o que diz a lei portuguesa e europeia sobre o assunto.
O que são deepfakes — e por que são tão perigosos agora?
O termo “deepfake” resulta da fusão de deep learning (aprendizagem profunda) com fake (falso). Refere-se a conteúdos audiovisuais — vídeos, áudios ou imagens — gerados ou manipulados por inteligência artificial para parecerem autênticos.
Durante anos, os deepfakes eram relativamente fáceis de detetar: olhos que não piscavam, vozes robotizadas, movimentos artificiais. Isso mudou drasticamente em 2025.
Segundo Siwei Lyu, professor de Ciência da Computação da University at Buffalo e diretor do UB Media Forensic Lab, os deepfakes melhoraram “dramaticamente” no último ano. Rostos, vozes e até performances de corpo inteiro gerados por IA atingiram um realismo que ultrapassou as expectativas dos próprios especialistas.
O que tornou isto possível?
Três avanços tecnológicos convergiram:
- Modelos de vídeo de nova geração — Ferramentas como o Sora 2 (OpenAI) e o Veo 3 (Google) produzem vídeos com movimento coerente, identidades consistentes e conteúdo que faz sentido de frame para frame. O realismo visual é impressionante.
- Clonagem de voz indistinguível — Bastam alguns segundos de áudio para gerar um clone de voz convincente, completo com entoação natural, ritmo, emoção, pausas e até ruído de respiração. Os sinais que antes denunciavam vozes sintéticas desapareceram.
- Democratização total — Qualquer pessoa pode descrever uma ideia, deixar um modelo de linguagem redigir um guião e gerar conteúdo audiovisual polido em minutos. Agentes de IA automatizam todo o processo, desde a criação à distribuição.
A próxima fronteira: deepfakes em tempo real
Se 2025 foi o ano do realismo visual, 2026 é o ano da coerência temporal e comportamental. Especialistas preveem que será possível sintetizar participantes inteiros de videochamadas em tempo real — com rostos, vozes e maneirismos que se adaptam instantaneamente à conversa.
Isto significa que, num futuro muito próximo, uma videochamada com o seu colega, o seu chefe ou o seu banco pode ser inteiramente fabricada. E não vai notar a diferença.
Os números que mostram a dimensão do problema
Os dados são claros: vivemos uma epidemia de conteúdos sintéticos. Eis os números mais relevantes:
– 8 milhões de deepfakes online em 2025 (estimativa), contra cerca de 500.000 em 2023 — um crescimento de 900% ao ano.
– 62% das organizações reportaram pelo menos um incidente de deepfakes nos últimos 12 meses (Gartner, 2025).
– 41% das empresas sofreram um ataque de deepfake combinado com engenharia social numa chamada de áudio.
– 35% sofreram o mesmo tipo de ataque, mas em vídeo.
– Nos EUA, as fraudes com IA custaram 12,3 mil milhões de dólares em 2023, com projeção de atingir 40 mil milhões em 2027.
– A cada 5 minutos, ocorre um ataque de deepfake em algum lugar do mundo.
– A taxa de deteção humana de vídeos deepfake de alta qualidade é de apenas 24,5% — ou seja, em três de cada quatro casos, não conseguimos distinguir o falso do verdadeiro.
Riscos para empresas
O chamado CEO fraud — em que criminosos se fazem passar por executivos para enganar funcionários — já não depende apenas de e-mails falsos. Com deepfakes de voz e vídeo, os ataques tornaram-se dramaticamente mais sofisticados.
A CrowdStrike, no seu Relatório Global de Ameaças 2026, registou aumentos preocupantes no uso de IA por grupos de cibercrime: 109% de aumento no uso de personas falsas geradas por IA e 134% de aumento em scripts gerados por IA para ataques.
Grandes retalhistas reportam já mais de 1.000 chamadas fraudulentas geradas por IA por dia, e o CEO fraud visa pelo menos 400 empresas por dia a nível global.
Riscos para utilizadores individuais
Não são apenas as empresas que estão em risco. Os cidadãos comuns são alvos frequentes:
– Um em cada quatro adultos já sofreu um golpe de voz por IA (McAfee, 2024).
– Um em cada dez foi pessoalmente alvo de um golpe de voz.
– Bastam 3 segundos de áudio para criar um clone de voz com 85% de precisão.
– Extorsão sexual via deepfakes, revenge porn, bullying e assédio digital são realidades crescentes.
– Fraudes em que familiares falsos (gerados por IA) pedem dinheiro urgente por telefone são cada vez mais comuns.
Riscos para os media e a democracia
Metade das organizações de comunicação social sofreram danos reputacionais por desinformação num período de três anos. Deepfakes de figuras políticas a fazer declarações falsas circulam nas redes sociais com velocidade superior à capacidade de verificação. O Fórum Económico Mundial alertou que a desinformação por deepfakes representa um risco direto para a democracia e para os processos eleitorais.
Casos reais que marcaram a atualidade
A fraude da Arup: 25,6 milhões em videochamadas falsas
O caso mais mediático de fraude por deepfake até à data. Em fevereiro de 2024, um funcionário da multinacional de engenharia Arup, em Hong Kong, foi enganado durante uma videochamada em que todos os participantes eram deepfakes — incluindo o CFO e outros executivos sénior. O funcionário fez 15 transferências num único dia. Nenhum dos fundos foi recuperado.
Deepfakes sexuais em escolas portuguesas
Em novembro de 2025, a Polícia Judiciária (PJ) confirmou a identificação de situações de deepfakes sexuais em contexto escolar em Portugal. A inspetora-chefe da Unidade Nacional de Combate ao Cibercrime afirmou que “já começam a ser identificadas situações de deepfakes sexuais em contexto escolar”, com jovens a considerar o fenómeno como “brincadeira”. A mesma unidade investigou 17 casos de extorsão via vídeo manipulado só no primeiro semestre de 2025.
Fraude de voz no Reino Unido: €220.000
Um dos primeiros casos documentados de fraude por deepfake de voz. O CEO de uma empresa de energia recebeu uma chamada do que acreditava ser o CEO da empresa-mãe alemã, pedindo uma transferência urgente de €220.000. A voz era um clone deepfake. Este caso demonstrou que o áudio foi o vetor de entrada inicial para este tipo de fraude — e que continua a ser extremamente eficaz.
Como identificar deepfakes: guia prático
Se a deteção humana falha em 75% dos casos, isso significa que ainda há 25% em que é possível identificar sinais de manipulação. Eis o que deve procurar:
Sinais visuais em vídeos
– Olhos anormais: Piscar irregular ou ausente, pupilas com tamanhos diferentes, reflexos nos olhos que não correspondem à fonte de luz.
– Dentes e boca desfocados: Zonas de transição entre o rosto e a boca são particularmente difíceis de replicar com realismo.
– Bordas irregulares no rosto: Linhas de cabelo, orelhas e contorno facial com distorções subtis.
– Textura de pele artificial: Pele demasiado lisa, sem poros, ou com um brilho estranho.
– Sincronização labial imperfeita: Lábios que não correspondem perfeitamente ao áudio, especialmente em sílabas complexas.
– Movimentos “flutuantes”: Cabeça ou corpo que parecem desligados uns dos outros, com movimentos que não fazem sentido físico.
– Contexto impossível: Objetos que se deformam, fundos inconsistentes, mãos com número errado de dedos.
Sinais áudio a procurar
– Falta de respiração natural: Vozes sintéticas podem não ter pausas de respiração onde seriam esperadas.
– Entoação monótona: Falta de variação emocional ou ênfase natural na fala.
– Pausas não naturais: Intervalos entre palavras ou frases que soam artificiais.
– Ruído de fundo inconsistente: Áudio demasiado limpo ou com ruído de fundo que não corresponde ao ambiente descrito.
– Mudanças abruptas de qualidade: Variações na qualidade do áudio dentro da mesma gravação.
Práticas de verificação que todos devemos adotar
- Verifique a fonte: Confirme a origem do conteúdo através de canais oficiais. Se receber um vídeo de uma figura pública, procure-o no site oficial ou nas redes verificadas dessa pessoa.
- Verificação cruzada: Procure o mesmo conteúdo em múltiplas fontes independentes. Se só aparece numa conta desconhecida, desconfie.
- Desconfie de conteúdo emocional: Deepfakes são frequentemente desenhados para provocar reações emocionais fortes — raiva, medo, urgência. Se o conteúdo o fizer sentir uma emoção intensa, respire e verifique antes de partilhar.
- Regra do segundo canal: Para qualquer pedido de transferência de dinheiro ou dados sensíveis recebido por voz ou vídeo, confirme sempre através de um canal de comunicação diferente. Ligue diretamente para a pessoa ou entidade.
- Pesquisa inversa de imagens: Use Google Images, TinEye ou Yandex para verificar a origem de imagens suspeitas.
- Procure credenciais C2PA: O padrão C2PA (Coalition for Content Provenance and Authenticity) permite verificar a proveniência criptográfica de conteúdos. Procure as “Content Credentials” nos conteúdos que consome.
Ferramentas de deteção: o que existe e como funcionam
Nenhuma ferramenta é infalível, mas existem várias opções que podem ajudar a identificar conteúdos sintéticos.
Ferramentas gratuitas
– Deepfake-o-Meter — Plataforma de análise forense multimodal desenvolvida pela University at Buffalo. Analisa vídeo, áudio e imagem.
– Microsoft Video Authenticator — Analisa vídeos e imagens para detetar manipulações, fornecendo uma pontuação de confiança.
– OpenAI Deepfake Detector — Deteta imagens geradas pelo DALL·E 3 com 98,8% de precisão (limitado a outputs da OpenAI).
– WeVerify — Ferramenta de verificação de conteúdos desenvolvida pela União Europeia.
Ferramentas comerciais (para empresas)
– Intel FakeCatcher — Analisa sinais biológicos que os modelos de deepfake não conseguem replicar, como padrões subtis de fluxo sanguíneo na pele facial. Funciona em tempo real.
– Reality Defender — Plataforma empresarial com API para integração em sistemas existentes.
– Sensity AI — Deteção de deepfakes para empresas, com análise de vídeo, áudio e imagem.
– Pindrop — Especializada em deteção de fraude de voz em centros de contacto.
– Sumsub — Verificação de identidade com deteção de deepfakes integrada.
As limitações que deve conhecer
É importante ter consciência de que as ferramentas de deteção têm limitações significativas:
– A eficácia cai 45-50% quando usadas em condições reais, fora de ambientes de laboratório.
– Os modelos de criação evoluem mais rápido do que os produtos de deteção.
– O Gartner alerta que a deteção de deepfakes é probabilística — nenhuma ferramenta dá uma resposta 100% certa.
– A melhor estratégia combina ferramentas técnicas com controlos processuais: verificação fora de banda, autenticação em camadas, e formação contínua.
O que diz a lei: quadro legal em Portugal e na UE
O AI Act europeu: o primeiro regulamento abrangente do mundo
Em agosto de 2024, a União Europeia aprovou o Regulamento (UE) 2024/1689, conhecido como AI Act — o primeiro quadro legal abrangente sobre inteligência artificial no mundo. O regulamento entrou plenamente em vigor em 2 de agosto de 2025 e é diretamente aplicável em Portugal.
O AI Act define deepfake como:
> Conteúdos de imagem, áudio ou vídeo gerados ou manipulados por IA que se assemelham a pessoas, objetos, lugares, entidades ou eventos existentes e que falsamente pareceriam a uma pessoa ser autênticos ou verdadeiros.
O regulamento estabelece três camadas de regulamentação:
1. Marcação técnica obrigatória
Os fornecedores de sistemas de IA que geram conteúdos sintéticos devem garantir que os outputs são marcados num formato legível por máquina e detetáveis como artificialmente gerados. Na prática, isto traduz-se em metadados criptográficos de proveniência (C2PA Content Credentials) e marcas de água digitais.
2. Obrigação de divulgação
Quem utiliza IA para gerar ou manipular conteúdos deepfake deve divulgar que o conteúdo foi artificialmente gerado. Existem exceções para obras artísticas, criativas, satíricas ou fictícias (onde a divulgação pode ser feita de forma discreta) e para comunicação social com revisão editorial humana.
3. Proibições
Deepfakes usados para fins manipuladores ou enganosos podem ser proibidos ao abrigo do AI Act, com coimas que podem chegar a 35 milhões de euros ou 7% do volume de negócios global — o que, para uma grande empresa, pode representar centenas de milhões.
Deepfakes de figuras políticas
Os deepfakes políticos são a área mais regulada. Estão sujeitos à obrigação de divulgação, podem ser classificados como alto risco quando destinados a influenciar eleições, e podem ser proibidos se destinados a distorcer comportamentos e causar danos significativos.
Deepfakes sexuais: crime em Portugal
Em Portugal, os deepfakes sexuais são crime desde 2024. O Código Penal português contempla crimes de difamação, injúrias e extorsão que são aplicáveis a deepfakes. A Lei da Proteção de Dados Pessoais (RGPD) também é relevante, uma vez que deepfakes envolvem o tratamento não autorizado de dados biométricos.
A Polícia Judiciária, através da Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica, é a entidade responsável pela investigação destes crimes em Portugal.
O Digital Services Act (DSA)
O DSA complementa o AI Act ao impor obrigações às plataformas online — redes sociais, marketplaces, motores de busca — em termos de moderação de conteúdos e transparência. As plataformas devem implementar mecanismos para sinalizar e remover deepfakes prejudiciais.
Boas práticas para empresas: como se proteger
Para as empresas, a proteção contra deepfakes exige uma abordagem multicamada:
- Implemente verificação fora de banda — Para transferências financeiras ou redefinições de credenciais acionadas por voz ou vídeo, exija sempre confirmação através de um canal diferente (presencial, telefone fixo interno, etc.).
- Autenticação multifator robusta — Não dependa apenas de biometria facial. Combine fatores de conhecimento (palavra-passe), posse (token físico) e, se possível, verificação comportamental.
- Formação e simulações — Realize simulações regulares de phishing multi-canal (voz, vídeo, e-mail) para treinar colaboradores. Apenas 10% dos líderes de segurança priorizam atualmente o reconhecimento de deepfakes nos programas de consciencialização — este número precisa de crescer.
- Políticas de aprovação robustas — Estabeleça políticas que não confiem apenas na identidade visual ou auditiva. Defina procedimentos claros para verificar pedidos sensíveis.
- Monitorização digital — Monitorize a web, a dark web e fóruns para deepfakes que visem a sua organização ou os seus executivos.
O que fazer se for vítima de um deepfake
Se descobrir que foi alvo de um deepfake, estes são os passos a seguir:
- Documente tudo — Faça capturas de eça, guarde URLs, timestamps e qualquer prova disponível.
- Denuncie à plataforma — Reporte o conteúdo à rede social ou plataforma onde foi publicado.
- Apresente queixa criminal — Em Portugal, dirija-se à Polícia Judiciária ou apresente queixa online através do portal da PJ.
- Proteja a sua identidade digital — Altere palavras-passe, ative autenticação multifator e monitorize a sua presença online.
- Procure apoio jurídico — Um advogado especializado em direito digital pode orientá-lo sobre as medidas legais disponíveis.
Conclusão: a era da pós-realidade
Vivemos um momento sem precedentes na história da informação. A capacidade de gerar conteúdos falsos indistinguíveis da realidade já não é exclusivo de estados ou grandes organizações — está ao alcance de qualquer pessoa com acesso à internet.
A boa notícia é que o quadro legal está a acompanhar (ainda que com atraso), as ferramentas de deteção evoluem, e a consciencialização cresce. A má notícia é que a ameaça cresce muito mais depressa do que a resposta.
A linha de defesa já não pode depender apenas do nosso julgamento. Precisamos de infraestruturas de confiança — proveniência criptográfica de conteúdos, ferramentas forenses multimodais, processos de verificação que não confiem apenas no que vemos e ouvimos.
Até lá, a melhor arma continua a ser o pensamento crítico. Desconfie. Verifique. Não partilhe sem confirmar. E lembre-se: se algo parece demasiado bom, demasiado chocante ou demasiado urgente para ser verdade, provavelmente não é.
Quer saber mais sobre cibersegurança e literacia digital?
Na Dicaforma, ajudamos pessoas e empresas a navegar o mundo digital com confiança e segurança. Se este artigo lhe foi útil, explore os nossos conteúdos sobre cibersegurança, proteção de dados e transformação digital — ou contacte-nos para saber como podemos ajudar a sua organização a proteger-se contra as ameaças digitais de 2026.
