O currículo bate com a vaga. A experiência existe. A entrevista por videochamada vai bem. A documentação parece consistente. Uma semana depois, a pessoa recebe um notebook corporativo e suas primeiras credenciais de acesso. Até pouco tempo atrás, superar todas essas etapas bastava para responder a uma pergunta básica: sabemos quem contratamos. Hoje, essa conclusão pede uma comprovação adicional, porque a sequência sobre a qual o background screening foi construído por décadas — primeiro identificar a pessoa, depois verificar o que ela declara — começou a apresentar fissuras em um mundo de contratação totalmente remota.


O caso mais documentado

O exemplo mais estudado vem dos Estados Unidos e envolve trabalhadores de tecnologia ligados à Coreia do Norte. Em janeiro de 2025, o FBI publicou um alerta público (PSA I-012325-PSA) descrevendo profissionais que conseguiam empregos remotos em empresas norte-americanas, copiavam código e dados e, em alguns casos, passavam a extorquir os empregadores. Segundo o alerta, esses trabalhadores usavam "tecnologia de troca de rosto durante entrevistas de emprego por vídeo". Entre as recomendações do FBI estavam verificar a identidade durante a entrevista, a integração e ao longo do vínculo; checar números VoIP e e-mails reutilizados por candidatos diferentes; desconfiar de mudanças de endereço ou de plataforma de pagamento logo após a contratação; auditar empresas de staffing; e aplicar o princípio do menor privilégio nos acessos.


Em junho de 2025, a Microsoft Threat Intelligence detalhou a mesma operação, que batizou de Jasper Sleet. A empresa descreveu o uso de inteligência artificial para inserir o rosto dos operadores em documentos de identidade roubados e melhorar fotos de perfil, além de softwares de alteração de voz. Facilitadores locais mantinham as chamadas "laptop farms" — endereços que recebem os equipamentos corporativos e permitem operá-los remotamente do exterior —, abriam contas bancárias e compravam chips de celular. A Microsoft informou ter suspendido 3.000 contas de consumidor ligadas ao esquema.


As consequências judiciais também são concretas. Em 30 de junho de 2025, o Departamento de Justiça dos EUA anunciou ações coordenadas contra 29 laptop farms suspeitas em 16 estados, com 137 notebooks apreendidos. Em julho do mesmo ano, uma moradora do Arizona foi condenada a 102 meses de prisão por operar uma dessas estruturas, que, segundo a acusação, atendeu 309 empresas norte-americanas, usou 68 identidades roubadas e gerou mais de US$ 17 milhões em receita. Em agosto de 2026, o Federal News Network e o TechCrunch noticiaram que o FBI identificou um trabalhador remoto ligado à Coreia do Norte atuando em uma agência do governo federal norte-americano, sem que a agência tenha sido nomeada nem se saiba se houve subtração de dados. É um caso em investigação, a ser tratado com essa cautela.


O que o fenômeno prova — e o que não prova

É preciso ser preciso. Esses casos não provam que a contratação remota é intrinsecamente perigosa, nem justificam suspeitar de qualquer candidato que trabalhe de outro país ou use uma VPN por motivos legítimos. O que eles mostram é algo estrutural: a inteligência artificial reduziu drasticamente o custo de parecer outra pessoa — trocar um rosto em uma videochamada, gerar um currículo perfeitamente ajustado à vaga, sustentar um perfil profissional verossímil — justamente quando boa parte da seleção se tornou digital. Identidade e credenciais deixaram de ser, automaticamente, a mesma coisa.


Essa distinção é especialmente relevante para o Brasil. O país tem uma indústria de software e serviços que exporta talentos para empresas estrangeiras, profissionais que trabalham remotamente para empregadores de outros países e empresas locais que contratam de forma distribuída, muitas vezes sem jamais encontrar o candidato pessoalmente. O teletrabalho está regulado nos artigos 75-A a 75-F da CLT. Não há, até o momento, evidência pública de que esquemas de trabalhadores sintéticos estejam mirando especificamente empresas brasileiras ou latino-americanas, e seria um erro afirmar o contrário. Mas o mecanismo que torna o problema possível — seleção 100% remota, entrevistas por vídeo, envio de equipamentos a endereços não verificados — já faz parte do cotidiano.


O ambiente de fraude de identidade no país também ajuda a dimensionar o risco, ainda que em outro contexto. Segundo a Serasa Experian, o Brasil registrou 2.860.957 tentativas de fraude de identidade no primeiro semestre de 2026, alta de 32,9% sobre o mesmo período do ano anterior — uma a cada 5,5 segundos. Os números se referem sobretudo a meios de pagamento, telecomunicações e serviços financeiros, não a processos seletivos, mas mostram a escala com que identidades são usadas indevidamente.


Dados verdadeiros, pessoa errada

O conceito central é que identidade, credenciais, pessoa e acesso precisam manter coerência ao longo de todo o processo, e não apenas em um ponto isolado. Daí surge um paradoxo incômodo: uma empresa pode verificar corretamente um currículo — a universidade existe, o empregador anterior existe, as datas fecham — e, ainda assim, estar verificando informações verdadeiras associadas à pessoa errada, se ninguém confirmou que quem foi entrevistado, quem apresentou os documentos e quem recebe as credenciais são a mesma pessoa.


No Brasil, atribuir-se falsa identidade para obter vantagem é crime (Código Penal, art. 307), assim como usar documento falso (art. 304); a fraude eletrônica, incluída pela Lei nº 14.155/2021 no artigo 171, § 2º-A, tem pena de quatro a oito anos de reclusão. Mas a punição posterior não resolve o problema de quem já entregou acessos a um impostor.


Até onde a empresa pode ir

Esse raciocínio esbarra imediatamente em uma questão legítima de privacidade: até onde a empresa pode verificar sem transformar uma entrevista de emprego em um interrogatório biométrico? A LGPD classifica dados biométricos como dados pessoais sensíveis (art. 5º, II) e só permite seu tratamento nas hipóteses do artigo 11. Uma delas é a "garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos" (art. 11, II, g), desde que o tratamento seja indispensável. O legítimo interesse, por outro lado, não serve de base para dados sensíveis. A ANPD tem acompanhado o tema: publicou em 2024 uma edição do seu Radar Tecnológico dedicada a biometria e reconhecimento facial e manteve o assunto entre as ações propostas para sua agenda regulatória de 2027-2028.


Isso não significa que a verificação biométrica seja proibida em um processo seletivo, nem que a empresa possa usá-la livremente com o argumento da segurança. Significa que seu uso precisa ser justificado por um risco real da função, informado com clareza ao candidato e limitado ao que essa finalidade exige, com prazos de guarda e descarte definidos. A resposta razoável à fraude de identidade não é pedir mais biometria a todo mundo: é pedir a evidência adequada, no momento adequado, conforme o risco do cargo.


As recomendações de especialistas, inclusive as do FBI, vão nessa direção proporcional, mas devem ser adaptadas à realidade brasileira, e não importadas ao pé da letra: mecanismos como o formulário I-9 pertencem a um marco regulatório norte-americano específico. O que é transferível é a lógica: verificar identidade com evidência compatível com o risco, conferir a coerência documental entre as etapas, confirmar experiência e formação diretamente com as fontes, usar entrevistas estruturadas, conferir mudanças de endereço antes de enviar equipamentos, aplicar o menor privilégio nos primeiros acessos e verificar também as empresas de staffing que intermediam contratações. Um sinal isolado — uma conexão instável, um fundo de vídeo inesperado, uma pequena divergência — deve levar a uma verificação adicional, nunca a uma conclusão automática de fraude nem a suspeita baseada em nacionalidade, país de residência ou uso legítimo de VPN.


Empresas de background screening como a Validato, especializada em human risk management, trabalham com essa lógica ao combinar verificações de identidade, histórico profissional, formação e referências em um mesmo processo, em vez de tratá-las como checagens isoladas. A combinação pode tornar visível uma inconsistência que um controle individual não mostraria. Nenhum processo elimina a fraude ou garante a detecção de um deepfake; o que ele pode oferecer é uma cadeia mais difícil de sustentar com uma identidade que não é a própria.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 16/10/2026.
  2. FBI / IC3. Public Service Announcement I-012325-PSA, "North Korean IT Workers Conducting Data Extortion", 23/01/2025. https://www.ic3.gov/PSA/2025/PSA250123
  3. FBI / IC3. Joint alert "Alert to Countries, Companies, and Other Entities Regarding North Korean IT Workers", 31/07/2026. https://www.ic3.gov/CSA/2026/260731.pdf
  4. Microsoft Threat Intelligence. "Jasper Sleet: North Korean remote IT workers' evolving tactics to infiltrate organizations", 30/06/2025. https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/
  5. U.S. Department of Justice. "Justice Department Announces Coordinated, Nationwide Actions to Combat North Korean Remote IT Workers", 30/06/2025. https://www.justice.gov/opa/pr/justice-department-announces-coordinated-nationwide-actions-combat-north-korean-remote
  6. U.S. Department of Justice. "Arizona Woman Sentenced for $17M Information Technology Worker Fraud Scheme", 24/07/2025. https://www.justice.gov/opa/pr/arizona-woman-sentenced-17m-information-technology-worker-fraud-scheme-generated-revenue
  7. Federal News Network. "FBI investigating North Korean remote IT staffer working for U.S. agency", 08/2026. https://federalnewsnetwork.com/cybersecurity/2026/08/fbi-investigating-north-korean-remote-it-staffer-working-for-u-s-agency/
  8. TechCrunch. "North Korean remote IT staffer worked for US government agency, says FBI", 11/08/2026. https://techcrunch.com/?p=3151818
  9. Serasa Experian. "Brasil registra quase 3 milhões de tentativas de fraude de identidade no 1º semestre", 26/08/2026. https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/brasil-registra-quase-3-milhoes-de-tentativas-de-fraude-de-identidade-no-1-semestre-aponta-serasa-experian/
  10. Presidência da República (Planalto). Lei nº 13.709/2018 (LGPD) — arts. 5º, II, e 11. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
  11. Presidência da República (Planalto). Lei nº 14.155/2021 — art. 171, § 2º-A, do Código Penal. https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/l14155.htm
  12. Presidência da República (Planalto). Código Penal — arts. 304 e 307. https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm
  13. Mayer Brown. "Biometrics and Facial Recognition: ANPD Releases Report" (Radar Tecnológico ANPD), 07/2024. https://www.mayerbrown.com/en/insights/publications/2024/07/biometrics-and-facial-recognition-anpd-releases-report
  14. ANPD. Nota Técnica nº 20/2026 — proposta de Agenda Regulatória 2027-2028. https://www.gov.br/anpd/pt-br/acesso-a-informacao/participacao-social/outras-acoes/ts-04-2026-nota-tecnica-no-20-2026.pdf/@@display-file/file