Como o crime de câmera virtual é feito e como se proteger?

Um fraudador não precisa mais estar na frente de uma câmera para passar por uma verificação de identidade. Com uma câmera virtual, ele injeta uma imagem fabricada direto no aplicativo, sem que nenhum hardware real capture aquele rosto. Esse golpe já responde por uma fatia crescente das fraudes de identidade no Brasil, e a maioria das plataformas ainda não tem camada nenhuma para detectá-lo.

Este texto explica o que é o golpe da câmera virtual, como ele costuma acontecer e quais medidas reduzem o risco para empresas que dependem de verificação facial no onboarding.

O que é o golpe da câmera virtual

O nome técnico é injeção de câmera (camera injection). O ataque insere uma imagem ou vídeo fabricado diretamente no fluxo de dados do aplicativo, no ponto onde o sistema espera receber o sinal da câmera física do dispositivo.

A diferença para um deepfake tradicional é sutil, mas importante. No deepfake clássico, o fraudador exibe o conteúdo sintético na frente de uma câmera real, e o sistema de liveness analisa essa gravação. Na injeção de câmera, não existe câmera real envolvida. O dado biométrico entra no sistema por outro caminho, então uma verificação que só analisa a qualidade da imagem, sem checar a origem dela, pode aprovar esse acesso sem perceber nada de errado.

Como esse crime costuma ser feito

Fraudadores usam ferramentas que interceptam ou substituem o canal de câmera de um dispositivo antes que o app de verificação receba o sinal. Três caminhos aparecem com mais frequência:

Emuladores e ambientes virtualizados. O fraudador roda o aplicativo em um ambiente simulado, no computador em vez de um celular físico, e alimenta esse ambiente com uma imagem ou vídeo preparado antes.

Frameworks de manipulação de câmera. Softwares específicos substituem o feed da câmera do sistema operacional por um arquivo de vídeo, fazendo o aplicativo acreditar que está recebendo uma captura ao vivo.

Vídeos e fotos previamente manipulados. O material injetado costuma vir de fotos roubadas, deepfakes gerados por IA ou documentos de identidade capturados em vazamentos de dados anteriores.

O resultado final é o mesmo nos três casos: o sistema de verificação recebe uma imagem que parece uma captura ao vivo, mas nunca passou por uma câmera física.

Por que esse golpe preocupa empresas de todos os portes

A injeção de câmera ataca justamente o ponto que bancos, fintechs e plataformas digitais tratam como mais confiável: o momento em que o cliente prova, com o próprio rosto, que é quem diz ser. Quando esse ponto falha, as consequências se espalham por toda a jornada:

abertura de contas com identidade sintética ou documentos roubados;
account takeover, com o fraudador assumindo o controle de uma conta já existente;
aprovação de transações financeiras em nome de outra pessoa;
exposição regulatória, já que o Banco Central e a LGPD cobram controles de identidade robustos das instituições reguladas.

Quanto mais alto o volume de onboarding de uma empresa, maior a superfície de ataque disponível para esse tipo de fraude.

Como se proteger do golpe da câmera virtual

Para empresas:

adote um liveness que valide a origem do sinal de câmera, não só a qualidade da imagem recebida;
combine liveness com inteligência de dispositivo, capaz de identificar emuladores, root, jailbreak e outros sinais de manipulação antes mesmo da captura;
calibre o nível de exigência pelo risco da operação, aplicando mais rigor em cadastros novos e transações de alto valor;
monitore certificações independentes do fornecedor de liveness, como ISO/IEC 30107-3 e certificações específicas contra ataques de injeção.

Para usuários:

desconfie de qualquer solicitação para instalar aplicativos de terceiros antes de um cadastro ou verificação;
nunca compartilhe fotos de documentos ou selfies fora dos canais oficiais de uma instituição;
ative autenticação em duas etapas sempre que disponível, reduzindo o impacto de uma eventual conta comprometida.

Como o LegitFace combate a injeção de câmera

The LegitFace foi construída para responder a essa pergunta específica: a imagem que chega ao sistema veio mesmo da câmera do dispositivo, ou foi fabricada por software antes de chegar até ali?

A tecnologia analisa sinal e contexto em tempo real para identificar vídeos injetados no fluxo de captura, além de detectar deepfakes e máscaras hiper-realistas. Hoje, a LegitFace reúne um dos conjuntos mais completos de certificações do mercado: iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3 contra ataques de apresentação, e BixeLab IAD contra ataques de injeção, quando a imagem é fabricada por software em vez de vir da câmera.

Em produção, esse conjunto de camadas sustenta 0% de fraude aprovada, com menos de 1,33% de reprovação de usuários legítimos. Segurança máxima e conversão alta podem existir na mesma operação.

Quer entender como a LegitFace pode proteger o onboarding da sua empresa contra injeção de câmera e outros ataques de identidade? Fale com um especialista da Legitimuz.

Leia também:

KYC Legitimuz

Blog