OnlyFake: a IA que criou milhares de identidades falsas e desafia os controles KYC

O caso de OnlyFake marca um marco inquietante na intersecção entre inteligência artificial e crimes financeiros. Um desenvolvedor ucraniano, identificado na acusação como Yurii Nazarenko e conhecido na rede por várias alias, foi considerado culpado por ter gerenciado uma plataforma baseada em assinatura que gerava imagens de documentos de identidade falsos com aparência muito realista. De acordo com a Procuradoria Federal do Distrito Sul de Nova Iorque, o serviço produziu e comercializou mais de 10.000 fotos digitais de passaportes, carnés de conduzir e cartões de segurança social dos Estados Unidos, além de documentos de muitas outras jurisdições ( ver a acusação).

OnlyFake não era uma simples coleção de modelos: empregava modelos de IA para gerar imagens que poderiam incorporar dados personalizados ou aleatórios, e oferecia opções para simular uma digitalização ou uma foto sobre uma mesa. O site funcionava com criptomoedas e vendia tanto pedidos individuais quanto pacotes por maior, chegando a oferecer lotes de até mil documentos. O Departamento de Justiça e agentes do FBI documentaram compras encobertas realizadas em 2024, nas quais obtiveram carnés de Nova York, passaportes americanos e um cartão de segurança social falsos, o que permitiu abrir a pesquisa que culminou na imputação e confissão ( comunicado do JOJ).

O Ministério Público alega que o objetivo principal de aqueles que adquiriam esses documentos era sortear os controles de identificação utilizados por bancos e plataformas de criptomoedas para cumprir obrigações de “conhece o seu cliente” (KYC) e prevenir a lavagem de dinheiro. Esses requisitos são uma peça central do quadro regulatório concebido para detectar financiamento ilegal, lavagem de capitais e outros crimes econômicos, e sua violação abre portas para operações financeiras anônimas ou fraudulentas ( Informações sobre AML e KYC em FinCEN).

Do ponto de vista técnico e operacional, OnlyFake reunia vários elementos que a faziam especialmente perigosa: automação à escala por IA para produzir imagens credíveis, pagamento com criptomoeda para aumentar o anonimato e ferramentas para apagar pistas, como a eliminação de e-mails e a diversificação de carteiras para frustrar o rastreamento de fundos. Uma investigação jornalística prévia ajudou a expor o serviço público e a plataforma acabou sendo objeto da operação policial que levou à extradição do responsável da Roménia em setembro de 2025 ( reportagem 404 Media).

O caso levanta uma pergunta óbvia: que diferença a um documento falsificado produzido pela IA de uma falsificação tradicional? A resposta não é só estética. Os modelos de IA podem sintetizar texturas, tipografias e hologramas simulados — ou combinar fragmentos reais e gerados — e adaptar traços para que passem verificações automatizadas básicas. Além disso, a capacidade de produzir grandes volumes reduz o custo por unidade e facilita a comercialização a atores com intenções criminosas. Com essas vantagens, os falsificadores podem tentar burlar sistemas de verificação que ainda dependem em grande medida de comparações visuais, sem supervisão humana robusta.

As autoridades reagiram combinando ferramentas tradicionais de pesquisa (compras encobertas, cooperação internacional e extradição) com rastreamento de fluxos de criptomoedas e colaboração entre agências. No penal, Nazarenko aceitou a devolução de 1,2 milhões de dólares e enfrenta uma pena que pode atingir os 15 anos de prisão; a data de sentença foi fixada para meados de 2026, segundo o processo judicial ( fonte DOJ).

Mas a perseguição penal só não resolverá o problema de fundo. As instituições financeiras, as exchanges de criptomoedas e os prestadores de serviços que exigem KYC devem acelerar a adoção de controles mais resistentes. As soluções vão desde melhorar os sistemas biométricos e as verificações de liveness – que verificam que quem apresenta o documento está realmente vivo e presente – até integrar verificações baseadas em fontes oficiais e registros federais que não possam ser facilmente reproduzidas com imagens. Também é crucial que os fornecedores de verificação automática adoptem modelos de detecção de síntese e manipulação que evoluem ao ritmo das técnicas de geração.

O episódio de OnlyFake também destaca um desafio regulatório: a tecnologia de geração de imagens e sua disponibilidade pública tornam os maus usos cada vez mais acessíveis. Os desenvolvedores de ferramentas de IA, mercados e plataformas de pagamento partilham responsabilidade para detectar e conter abusos, mas a resposta eficaz exige coordenação entre o setor privado e os reguladores, bem como quadros legais que contemplem a escala e a velocidade da inovação tecnológica.

Para o cidadão comum, o caso deveria servir como lembrete de que documentos falsos gerados digitalmente não são um problema remoto: facilitam fraudes, podem permitir crimes graves e erosionam a confiança em sistemas que usamos diariamente para identificar pessoas. As instituições devem reforçar os seus procedimentos e os usuários devem estar cientes de que a identidade digital precisa de salvaguardas mais fortes do que uma simples fotografia.

A história de OnlyFake é uma advertência prática sobre a carreira entre geradores e detectores. Enquanto a IA baixa as barreiras para fabricar credenciais convincentes, as defesas devem tornar-se igualmente técnicas e colaborativas. O caso contra Nazarenko demonstra que a lei pode alcançar os operadores, mas também mostra que a prevenção e a adaptação tecnológica são essenciais para que não surjam novas OnlyFake no futuro.