O que é spoofing e por que a sua empresa precisa se proteger
Spoofing é a técnica de fraude em que um criminoso finge ser outra pessoa, outro dispositivo ou outro sistema para enganar uma vítima ou burlar um controle de segurança. O termo vem do inglês “to spoof”, que significa enganar ou parodiar, e hoje descreve uma família inteira de golpes, do e-mail falso que parece vir do seu banco até a tentativa de enganar uma câmera de verificação facial com uma imagem fabricada.
Em resumo
- Spoofing é qualquer técnica de falsificação de identidade digital, seja de e-mail, número de telefone, site, rede ou rosto.
- O Brasil registra milhares de tentativas de fraude por minuto, e boa parte começa com algum tipo de spoofing.
- Empresas de qualquer porte são alvo, não só bancos: phishing por e-mail e WhatsApp já é a fraude mais relatada por clientes a instituições financeiras.
- Spoofing biométrico, quando um fraudador tenta enganar sistemas de verificação facial, é a fronteira mais recente e mais sofisticada desse tipo de ataque.
- Proteção eficaz combina educação de equipe, controles técnicos e verificação de identidade certificada contra os ataques mais avançados.
O que é spoofing, afinal
Todo golpe de spoofing segue a mesma lógica central: fazer alguém, ou algum sistema, acreditar que está diante de uma fonte confiável quando não está. Um e-mail que parece vir do RH da empresa, uma ligação que exibe o número do banco no identificador de chamadas, um site que copia visualmente a página de login de um fornecedor, tudo isso é spoofing.
A eficácia do golpe depende da credibilidade da falsificação. Quanto mais convincente a cópia, maior a chance de a vítima, seja uma pessoa ou um sistema automatizado, agir como se estivesse diante do original.
Principais tipos de spoofing que atacam empresas
E-mail spoofing
O fraudador falsifica o campo de remetente de um e-mail para fazer parecer que a mensagem vem de um domínio confiável, como o de um fornecedor, um executivo da empresa ou uma instituição financeira. É a base da maioria dos golpes de phishing corporativo, incluindo o golpe do “chefe urgente” pedindo transferência.
Spoofing de chamada (Caller ID spoofing)
O criminoso manipula o número exibido no identificador de chamadas, fazendo a ligação parecer que vem do banco, de um órgão público ou até de um colega de trabalho. Esse tipo de golpe costuma anteceder pedidos de dados sensíveis ou transferências urgentes por telefone.
IP spoofing
O fraudador falsifica o endereço IP de origem em pacotes de rede, fazendo o tráfego parecer vir de uma fonte confiável. É usado tanto para burlar filtros de segurança quanto para lançar ataques de negação de serviço difíceis de rastrear até a origem real.
DNS spoofing
O criminoso corrompe o processo de resolução de nomes de domínio, redirecionando o usuário para um site falso mesmo quando ele digita o endereço correto no navegador. É uma das formas mais perigosas de spoofing, porque a vítima acredita estar no site certo o tempo todo.
Spoofing de site (website spoofing)
Um site clonado, visualmente idêntico ao original, é usado para capturar credenciais de login, dados de cartão ou informações pessoais. Costuma ser divulgado por e-mail ou WhatsApp, com um link levemente diferente do domínio real.
Spoofing biométrico
Aqui o alvo não é um sistema de rede ou um endereço de e-mail, é a verificação de identidade em si. O fraudador tenta enganar um sistema de biometria facial usando uma foto impressa, um vídeo reproduzido em tela, uma máscara de alta qualidade ou uma imagem gerada por inteligência artificial, tentando fazer o sistema acreditar que existe uma pessoa real e autorizada diante da câmera.
Esse tipo de spoofing tem uma variação ainda mais avançada: em vez de mostrar algo físico para a câmera, o fraudador insere a imagem falsa diretamente no sistema por software, sem usar a câmera de verdade, um ataque conhecido como injeção de imagem.
Por que sua empresa é alvo
O Brasil registra cerca de 2.800 tentativas de fraude financeira por minuto, segundo o Mapa da Identidade e da Fraude, da CAF. Serviços financeiros concentram a maior fatia dessas tentativas, mas o alvo se espalha por qualquer empresa que movimente dinheiro, dados ou credenciais de acesso.
O golpe do WhatsApp, que costuma envolver algum tipo de spoofing de identidade ou de número, é hoje o tipo de fraude mais relatado por clientes às instituições financeiras associadas à Febraban. Se o consumidor final já é alvo constante, o ambiente corporativo, com processos mais previsíveis e volumes maiores por transação, é um alvo ainda mais atrativo para o fraudador.
Os riscos reais para uma empresa
Spoofing bem-sucedido raramente para em um único prejuízo isolado. Os riscos mais comuns incluem:
- Perda financeira direta, quando um funcionário autoriza um pagamento ou transferência acreditando estar respondendo a uma fonte legítima.
- Vazamento de credenciais, quando um site ou e-mail falso captura login e senha de sistemas internos.
- Fraude de identidade em cadastro ou transação, quando spoofing biométrico é usado para abrir conta ou aprovar operação em nome de outra pessoa.
- Custo reputacional, quando clientes ou parceiros são vítimas de golpes que usam o nome da empresa como isca.
Como identificar uma tentativa de spoofing
Alguns sinais se repetem na maioria dos golpes de spoofing, independente do tipo:
- Urgência artificial, pedindo uma ação imediata antes que a vítima tenha tempo de verificar a fonte.
- Pequenas inconsistências no domínio do e-mail ou do site, como uma letra trocada ou um subdomínio estranho.
- Pedido de dados sensíveis ou de transferência financeira por um canal que a empresa normalmente não usa para isso.
- Comportamento fora do padrão em uma verificação biométrica, como imagem com qualidade ligeiramente diferente do esperado ou ausência de resposta a uma ação solicitada.
Como proteger sua empresa
Proteção contra spoofing combina camadas técnicas e comportamentais:
- Autenticação de e-mail (SPF, DKIM e DMARC), que reduz a chance de um domínio ser falsificado com sucesso.
- Confirmação por canal alternativo, sempre que um pedido de dados ou pagamento chegar por e-mail, telefone ou mensagem, antes de qualquer ação.
- Treinamento contínuo de equipe, já que boa parte dos golpes de spoofing depende de engenharia social, não só de falha técnica.
- Verificação de identidade certificada contra ataques de apresentação e de injeção, para qualquer processo que dependa de biometria facial no cadastro ou em transações sensíveis.
Como a Legitimuz protege contra spoofing biométrico
O LegitFace, solução de liveness da Legitimuz, é certificado especificamente contra as duas frentes do spoofing biométrico: ataques de apresentação, como fotos, vídeos e máscaras, com certificação iBeta PAD Levels 1 e 2 e BixeLab PAD Levels 1, 2 e 3, e ataques de injeção de imagem, com certificação BixeLab IAD. Essa combinação garante que o sistema não só reconhece uma pessoa real diante da câmera, mas também confirma que a imagem realmente veio do hardware do dispositivo, e não de um software de manipulação.
Conheça as soluções Legitimuz
A Legitimuz oferece uma suíte completa de verificação de identidade e prevenção a fraude, incluindo o LegitFace (liveness certificado contra spoofing biométrico e ataques de injeção), LegitID, LegitDoc, LegitCheck e LegitDevice. As soluções atuam de forma integrada para proteger o onboarding e as transações de bancos, fintechs e outras empresas que dependem de verificação de identidade digital.
Fale com um especialista da Legitimuz
Perguntas frequentes
O que é spoofing? É a técnica de fraude em que um criminoso finge ser outra pessoa, dispositivo ou sistema para enganar uma vítima ou burlar um controle de segurança.
Qual a diferença entre spoofing e phishing? Spoofing é a falsificação de uma identidade ou fonte, como um e-mail, site ou número de telefone. Phishing é o golpe que usa essa falsificação para roubar dados ou dinheiro. Na prática, a maioria dos ataques de phishing depende de algum tipo de spoofing.
O que é spoofing biométrico? É a tentativa de enganar um sistema de verificação facial usando foto, vídeo, máscara ou imagem gerada por IA, fazendo o sistema acreditar que existe uma pessoa real e autorizada diante da câmera.
O que é ataque de injeção de imagem? É uma variação do spoofing biométrico em que o fraudador insere uma imagem falsa diretamente no sistema por software, sem usar a câmera física do dispositivo.
Empresas pequenas também são alvo de spoofing? Sim. Fraudadores atacam empresas de qualquer porte, já que o golpe costuma ser automatizado e de baixo custo para o criminoso, independentemente do tamanho da vítima.
Como saber se um e-mail sofreu spoofing? Verifique o domínio completo do remetente, não só o nome exibido, e desconfie de qualquer pedido urgente de dados ou pagamento vindo por e-mail, mesmo que pareça de uma fonte conhecida.
SPF, DKIM e DMARC evitam spoofing de e-mail? Sim, essas três configurações de autenticação de domínio dificultam bastante que criminosos falsifiquem o remetente de e-mails em nome da sua empresa.
Liveness comum é suficiente contra spoofing biométrico? Não necessariamente. Muitos sistemas de liveness detectam apenas ataques de apresentação, como fotos e máscaras, mas não ataques de injeção de imagem, que exigem certificação específica, como o BixeLab IAD.