Um analista do SOC inicia seu turno abrindo uma fila de alertas onde uma ferramenta de triagem baseada em IA já atribuiu uma pontuação a uma solicitação em vídeo, supostamente de um executivo. A pontuação indica risco. Ela não define se a solicitação é legítima, se um pagamento pode ser realizado ou quem detém a autoridade para decidir. Nesta lição, estruturaremos o resultado do trabalho para um caso suspeito de deepfake: uma decisão fundamentada sobre fraude e segurança, apoiada por evidências, verificação e um fluxo claro de escalonamento.
Deepfake refere-se a áudio, vídeo ou imagens criados ou alterados por meio de aprendizado de máquina para imitar uma pessoa. Fraudadores utilizam esse material para explorar a confiança depositada em uma voz ou rosto familiar, frequentemente adicionando elementos de urgência e sigilo. A impersonação de executivos alinha-se à técnica T1656 (Impersonation) da estrutura MITRE ATT&CK. A função da equipe de segurança é proteger o ponto de decisão, e não apenas determinar se a mídia parece autêntica.
Incidente simulado: A Northbridge Credit Union recebe uma solicitação em vídeo que parece vir de seu Diretor Financeiro (CFO), pedindo uma transferência bancária urgente. Acompanharemos como a equipe transforma essa solicitação em um resultado registrado e passível de revisão. Vamos seguir o fluxo, desde o recebimento inicial até o escalonamento:
Uma decisão bem fundamentada explica o que aconteceu, quais evidências foram preservadas, quem tinha autoridade para decidir e por que a equipe agiu ou suspendeu a ação. Não é necessário provar que a mídia é sintética antes de interromper uma transação de risco. Para solicitações de alto valor, a verificação independente e o processo existente de aprovação de pagamentos oferecem maior segurança do que apenas indícios visuais ou de áudio.
O registro do caso deve separar fatos observados de suposições. Um chamado (ticket), o registro da ligação e a minuta da transferência bancária estabelecem a solicitação, o canal, o momento da ocorrência e o impacto potencial. Eles não comprovam que quem ligou era, de fato, o CFO. Essa distinção protege o caso contra uma falha comum: tratar uma apresentação convincente como prova de identidade. Analise as evidências que a Northbridge possui no momento do recebimento da demanda: