Spoofing: O que é e como proteger a sua empresa

Spoofing é a falsificação de uma identidade digital para enganar pessoas e sistemas. O criminoso se passa por um banco, um colega, um fornecedor ou até pelo rosto de um cliente legítimo.

Quando o ataque funciona, abre caminho para roubo de dados, invasões e transações indevidas.

Entender como esses ataques operam é o primeiro passo para blindar a sua operação. Neste artigo, você vai ver o que é spoofing, como ele difere do phishing, quais são os principais tipos (de e-mail e IP até o spoofing biométrico) e quais camadas de proteção reduzem o risco na prática.

O que é spoofing? 

Spoofing é um tipo de ataque em que o criminoso se faz passar por uma pessoa, empresa ou dispositivo de confiança para enganar a vítima. A palavra vem do inglês e significa “falsificação” ou “imitação”.

O objetivo do atacante, chamado de spoofer, é roubar dados, infectar sistemas ou contornar controles de segurança.

Para isso, ele manipula informações que costumam ser aceitas sem questionamento: o remetente de um e-mail, o endereço de origem de um pacote de rede, o número que aparece numa ligação ou o rosto apresentado a uma câmera.

Quando um sistema recebe algo que parece vir de uma fonte autorizada, as defesas automáticas podem ser contornadas. Por isso, o spoofing costuma ser a porta de entrada para ataques maiores, como ransomware, desvio de pagamentos e abertura de contas fraudulentas.

Qual a diferença entre spoofing e phishing?

Os dois conceitos se confundem porque ambos usam identidades falsas. Mas cumprem papéis diferentes numa fraude: o spoofing é a técnica de falsificar a identidade, e o phishing é a estratégia de persuasão para fazer a vítima entregar dados.

Veja as principais distinções na tabela abaixo:

Como funciona um ataque de spoofing?

Na prática, os dois aparecem juntos com frequência: um e-mail com remetente falsificado (spoofing) carrega um link para uma página de captura de senha (phishing).

Como funciona um ataque de spoofing?

Um ataque de spoofing segue, em geral, três etapas:

1. Falsificação: o spoofer adultera o remetente de um e-mail, o endereço IP de um pacote, a resposta de um servidor ou a imagem apresentada a um sistema de reconhecimento facial.
2. Abordagem: a vítima, pessoa ou servidor, recebe a informação acreditando que ela vem do banco, de um colega ou de um cliente conhecido.
3. Ação: confiando na identidade falsa, a vítima baixa um arquivo malicioso, entrega credenciais, aprova um cadastro ou autoriza uma transação indevida.

Principais tipos de spoofing

Cada tipo de spoofing explora um canal diferente da empresa. Os mais comuns são estes.

Email spoofing

No email spoofing, o atacante altera o campo “De:” para que a mensagem pareça vir de um domínio legítimo, como o de um fornecedor ou da diretoria. Sem protocolos de validação como SPF, DKIM e DMARC, o servidor de destino aceita a mensagem como verdadeira.

É muito usado em fraudes de cobrança falsa e pedidos urgentes de transferência.

IP spoofing

No IP spoofing, o invasor mascara o endereço IP de origem dos pacotes de dados. O tráfego passa a parecer vindo de dentro da rede ou de um parceiro confiável, o que permite contornar firewalls baseados em listas de permissão.

A técnica também é usada em ataques de negação de serviço (DDoS).

Caller ID e SMS spoofing

No caller ID spoofing, ligações e mensagens de texto chegam com o identificador de um número oficial, como a central de um banco. Ao ver o nome da instituição na tela, o usuário tende a informar códigos de segurança sem desconfiar.

DNS spoofing

No DNS spoofing, o atacante adultera a resposta do servidor de nomes de domínio. O usuário digita o endereço correto do banco ou do fornecedor, mas é levado a um site falso controlado pelo criminoso.

Como a URL parece legítima, a vítima digita senhas e dados sem perceber. DNSSEC e o monitoramento da resolução de domínios reduzem esse risco.

ARP spoofing

O ARP spoofing acontece dentro da rede local. O atacante envia mensagens ARP falsas para associar o próprio endereço MAC ao IP de outro equipamento, como o gateway.

Com isso, passa a interceptar o tráfego entre as máquinas da empresa. Segmentação de rede e inspeção dinâmica de ARP nos switches ajudam a bloquear o ataque.

Spoofing biométrico (ataque de apresentação)

No spoofing biométrico, o fraudador apresenta à câmera algo que não é o rosto vivo do titular: uma foto impressa, um vídeo em alta resolução, uma tela com deepfake ou uma máscara 3D. O alvo são os sistemas de reconhecimento facial usados no onboarding e na autenticação.

A escala do problema aparece na base da própria CertiFace. Além do Bureau de Faces, com mais de 140 milhões de faces, a CertiFace mantém uma base própria de 3,6 milhões de faces com restrição histórica de fraude.

Algoritmo anti-spoofing: como funciona

Um algoritmo anti-spoofing decide, a partir da captura, se há uma pessoa viva diante da câmera. Os modelos combinam sinais como textura da pele, profundidade, reflexo de luz e microvariações involuntárias do rosto.

Versões leves do algoritmo rodam no próprio celular do usuário, sem pedir gestos, e mantêm a validação rápida mesmo em aparelhos de entrada. Esse equilíbrio entre segurança e fricção é o que o liveness entrega na prática.

Como evitar o spoofing na sua empresa?

Nenhuma medida isolada resolve. A proteção vem de camadas que trabalham juntas e dificultam cada etapa do ataque:

• Protocolos de autenticação de e-mail: configure SPF, DKIM e DMARC para validar a origem das comunicações oficiais.
• Treinamento contra engenharia social: ensine a equipe a conferir remetentes e a desconfiar de pedidos urgentes de dados ou pagamentos.
• Proteção da rede: use VPN, criptografia, segmentação e DNSSEC para evitar interceptação e adulteração de tráfego.
• Spoofing detection na validação de identidade: use tecnologia que confirme a presença física e a autenticidade do usuário em tempo real, no cadastro e na autenticação.

Spoofing detection com a CertiFace

Para empresas com grande volume de cadastros e transações, a verificação manual não escala. A CertiFace ajuda a blindar o onboarding e a autenticação contra spoofing biométrico com o Hub Liveness, que distingue uma pessoa real de um ataque de apresentação. O cliente pode alternar entre quatro modalidades:

• Liveness ativo
• Liveness passivo
• Liveness híbrido
• Liveness 3D

Ao integrar a API de biometria facial da CertiFace, sua empresa conta com o Bureau de Faces, que reúne mais de 140 milhões de faces coletadas diariamente em todo o Brasil. Na prática, isso se traduz em:

• Taxa de aceitação falsa (FAR) de 0,02%: 2 em cada 10 mil tentativas.
• Taxa de rejeição falsa (FRR) média de 0,625%.
• Média de 1,63 tentativas por validação, somando todas as modalidades de liveness.

A infraestrutura nativa em nuvem opera com 99,9% de uptime e validação em 1 a 2 segundos. Essa combinação já ajudou a evitar mais de R$ 10 bilhões em fraudes.

Conclusão

O spoofing é um risco permanente para qualquer negócio que opera no digital, do e-mail corporativo ao cadastro de novos clientes. Como os atacantes combinam técnicas, a defesa também precisa combinar camadas: protocolos de rede, treinamento da equipe e validação biométrica com liveness.

Automatizar a verificação de identidade dá ao time de risco mais eficiência e menos fricção para o cliente legítimo. Para conhecer as opções de integração, consulte o DevCenter da CertiFace e veja como as APIs podem se encaixar no seu fluxo.

FAQ

Descubra como reduzir fraude sem perder conversão. Entre em contato e agende uma demonstração.