Em março de 2026, o Standard Bank alertou publicamente sobre os riscos associados ao uso de vozes clonadas, e-mails clonados e deepfakes criados por inteligência artificial para simular comunicações bancárias legítimas e funcionários. Esta tendência continuou em meados de 2026, quando o South African Banking Risk Information Centre (Sabric) também relatou que criminosos estão usando ferramentas de IA para se passar por funcionários bancários, criar aplicativos falsos e manipular plataformas digitais com o objetivo de roubar fundos.
No entanto, muitos bancos locais enfrentam problemas de tecnologia desatualizada, processos lentos de mudança, visibilidade limitada de dados e um risco que cresce mais rápido do que a capacidade de resposta.
Análise das ameaças de fraude
De acordo com o Relatório de Benchmarking de Tecnologia Antifraude de 2026, preparado pela Association of Certified Fraud Examiners e incluindo dados de países da África Austral, os esquemas de fraude baseados em IA, que aumentaram significativamente nos últimos dois anos, incluem engenharia social com deepfakes (44%) e fraudes e golpes ao consumidor (38%).
Além disso, espera-se um aumento substancial na fraude de documentos gerados e falsificações (55%), engenharia social com deepfakes (55%) e implementação digital de deepfakes (54%) nos próximos dois anos. Apesar desta crescente ameaça, o mesmo relatório mostra que apenas 7% das organizações estão preparadas para detectar e prevenir fraudes baseadas em IA em grau moderado ou superior.
A situação deixou de ser teórica: consumidores na África do Sul já interagem com agentes de IA bem elaborados que se passam por pessoal bancário e são aconselhados em tempo real por telefone para aprovar transações e fornecer credenciais. Na maioria dos casos, os fraudadores já possuem dados pessoais chave, como números de identidade, o que instantaneamente diminui a vigilância da vítima. Ou os invasores usam uma pequena alteração no cenário, passando-se por figuras financeiras em vez de funcionários do banco para cometer fraudes de aprovação de investimentos, como alertou a Financial Sector Conduct Authority em junho.
Lacuna crescente
Existe uma lacuna crescente entre o que os consumidores esperam do seu banco e o que o banco realmente pode oferecer. Muitos ainda acreditam que o banco detectará a fraude antes que ela chegue às suas contas, mas esses tempos acabaram. Assim que o cliente é sujeito à engenharia social e revela dados de login ou aprova uma transação por conta própria, muitas vezes não resta controle que possa protegê-lo completamente. Os residentes da África do Sul precisam desenvolver um nível de conscientização maior sobre fraude, pois a responsabilidade está mudando para eles.
Embora alguns bancos tenham investido pesadamente na modernização de seus sistemas centrais, esses gastos com segurança podem permanecer dentro de um pensamento tradicional. Dentro dos bancos, as equipes de combate à fraude lutam arduamente por orçamento. Os principais tomadores de decisão ponderam as perdas atuais com fraude, que podem somar algumas centenas de milhares de rand, contra o custo de integração de sistemas complexos de controle baseados em IA. Surge a questão de se não é mais barato simplesmente aceitar essas perdas e se adaptar mais tarde — um cálculo que quase sempre é reativo e geralmente muito tardio. É ignorado quão rapidamente uma exposição de 200.000 rand pode se transformar em 10 milhões ou 100 milhões de rand quando os criminosos encontram uma fraqueza e a exploram em grande escala.
Os bancos locais são concorrentes rigorosos e, compreensivelmente, cautelosos em compartilhar informações sobre casos confirmados de fraude. O resultado é um ciclo em que lições valiosas permanecem isoladas, apesar dos crescentes prejuízos. As regras de privacidade de dados complicam ainda mais a cooperação, pois disposições como a Popia limitam a liberdade das instituições de compartilhar informações sobre fraudadores conhecidos. Mesmo em bases de dados setoriais gerais, sinais contraditórios (quando o mesmo identificador é marcado como vítima e como criminoso) criam incerteza, reforçando respostas cautelosas e fragmentadas.
Ao contrário disso, os sindicatos de fraudadores operam com um nível de coordenação que lembra empresas bem geridas, mas sem problemas regulatórios. Redes organizadas verificam sistematicamente vulnerabilidades nos processos de aquisição de clientes, entre funcionários de agências e call centers, antes de consolidar as informações obtidas para aprimorar suas táticas. Enquanto os bancos veem a prevenção de fraudes como uma vantagem competitiva, os criminosos a veem como um estudo colaborativo de inteligência.
Reavaliando o ponto de controle
Durante décadas, a segurança bancária foi baseada em um único ponto de verdade: o login. Se você passa na verificação de senha, senha de uso único (OTP) e pergunta de segurança, você tem acesso — e é considerado confiável durante toda a sessão. Isso fazia sentido quando a maior ameaça era um cartão roubado ou uma senha adivinhada. Agora, isso faz muito menos sentido.
Um fraudador que aconselha a vítima por telefone não precisa de um hack. O próprio cliente abre a porta, muitas vezes durante a conversa, ainda convencido de que está falando com seu banco. Nenhuma quantidade de medidas de segurança na entrada impedirá a fraude que passa por um usuário legítimo, embora manipulado. Essa mudança exige a transição de um único ponto de controle para autenticação contínua: monitorar o comportamento da pessoa, e não apenas o que ela digita. O ritmo de digitação, impressões digitais do dispositivo, padrões de navegação e o contexto em torno da transação carregam sinais que um login estático nunca poderá transmitir. Um cliente que entra normalmente no sistema, mas depois hesita ao receber instruções, move-se pelas telas em ordem incomum e inicia uma transferência que viola todos os padrões de seu histórico, informa ao sistema algo que uma senha não pode dizer.
Sistemas baseados em regras que simplesmente acumulam etapas de verificação punem clientes autênticos tão frequentemente quanto capturam criminosos, e os sindicatos aprendem rapidamente a contornar regras fixas. Uma solução mais duradoura é considerar o risco como algo dinâmico, reavaliando-o em cada etapa significativa — login, adição de destinatário, alteração de senha, realização de uma grande transferência — para que a força da autenticação se adapte ao que realmente está acontecendo, em vez de ser fixa na porta.
Esta é uma mudança de mentalidade, não apenas de tecnologia: os bancos param de perguntar: 'Esta pessoa entrou corretamente?' e começam a perguntar: 'Tudo nesta sessão parece ser aquela pessoa que acreditamos que é?'. Instituições que veem o login como o único momento de confiança continuarão a descobrir, depois que o dinheiro foi perdido, que foi um erro.
Sem luxo de esperar
Os bancos locais não podem mais se dar ao luxo de esperar. Há uma pressão externa crescente: sistemas internacionais de cartões, como Visa e Mastercard, introduzem limites de fraude e impõem multas a instituições não conformes. Os bancos sul-africanos podem ter esperança de que não estão enfrentando esse problema sozinhos. De acordo com um novo relatório analítico da Liminal, instituições financeiras globais estão enfrentando um aumento acentuado de fraudes de identificação baseadas em IA, com uma instituição relatando 8065 tentativas de deepfake em oito meses, relacionadas a perdas confirmadas de US$ 347 milhões.
Uma análise mais forte, verificação constante e melhor conscientização do consumidor fazem parte da resposta, mas o primeiro passo é reconhecer que o equilíbrio de poder mudou. As estatísticas anuais de criminalidade em serviços bancários digitais do Sabric para 2025, publicadas esta semana, mostram que as perdas de crimes em serviços bancários digitais aumentaram para 2,4 bilhões de rand de aproximadamente 1,9 bilhão de rand em 2024, sendo que os aplicativos bancários representam mais de 70% das perdas registradas em serviços bancários digitais. Não podemos nos dar ao luxo de continuar correndo atrás.
