.png)
Fraudes no Onboarding: O que fazer?
- HA Tecno
- 13 de out.
- 4 min de leitura
O onboarding é um dos momentos mais críticos na relação entre uma empresa e seus clientes digitais. É nessa etapa que o usuário abre uma conta, fornece seus dados pessoais e passa por uma checagem de identidade feita pela empresa. Se esse processo falha e um fraudador consegue se infiltrar, o prejuízo é quase certo.
Nesse estágio inicial, a empresa não tem certeza de quem está do outro lado da tela — pode ser uma pessoa real ou até mesmo um robô digital. Não há garantia de que os documentos apresentados são autênticos, e mesmo que sejam, não há como saber se pertencem de fato a quem está tentando abrir a conta.
Para complicar ainda mais, há quem entregue voluntariamente seus documentos verdadeiros a criminosos em troca de algum dinheiro. Esses dados são usados para abrir contas falsas em nome de terceiros — as chamadas contas-laranja — que alimentam esquemas de fraude e lavagem de dinheiro.
DE ONDE VEM OS DADOS USADOS PELOS FRAUDADORES
Origem dos dados usados em fraudes de onboarding:
Vazamentos de dados de grandes empresas
Nos últimos dez anos, o Brasil enfrentou uma série de vazamentos de dados pessoais que expuseram cidadãos e revelaram falhas graves na segurança digital de empresas e órgãos públicos.
O megavazamento de 2021 foi o mais emblemático, com informações de 223 milhões de brasileiros, incluindo dados sensíveis como CPF, endereço, score de crédito e até fotos de rosto.
Plataformas de e-commerce, operadoras de telefonia, instituições financeiras e o próprio governo federal também foram alvos frequentes.
Phishing e engenharia social
Os Golpistas induzem vítimas a fornecerem dados por meio de e-mails falsos, mensagens de WhatsApp, ligações ou sites clonados.
Além disso, mmuitas vezes, fraudadores fingem ser bancos ou empresas conhecidas para ganhar credibilidade e telefonam para as pessoas com táticas que apelam para o lado emocional (Ex. fingindo que alguém está tentando pagar uma conta com seu cartão)
Compra de dados na dark web
Informações pessoais são vendidas em fóruns clandestinos por valores baixos
Malwares e spywares
Programas maliciosos instalados em celulares ou computadores capturam dados digitados, fotos e documentos. Alguns são distribuídos por apps falsos ou links maliciosos.
Redes de falsificação documental
Quadrilhas especializadas produzem documentos falsos com dados reais, dificultando a detecção por sistemas automatizados. Mais recentemente, usam de IA para criar deepfakes de vídeos e imagens.
Por que isso é preocupante?
Esses dados permitem que fraudadores passem pelas etapas de verificação de identidade como se fossem usuários legítimos. Isso pode resultar em:
Abertura de contas em nome de terceiros
Empréstimos fraudulentos
Lavagem de dinheiro
Prejuízos financeiros e reputacionais para fintechs
O QUE AS EMPRESAS ESTÃO FAZENDO ?
As empresas, especialmente fintechs, têm adotado uma combinação de tecnologia avançada, processos inteligentes e estratégias regulatórias para prevenir fraudes no onboarding digital.
Principais medidas:
1. Verificação de identidade robusta
· OCR + validação documental: leitura automática de documentos (RG, CNH) com checagem de autenticidade.
· Prova de vida digital: solicitar que o usuário faça movimentos específicos (piscar, virar o rosto) ou usar uma característica humana para confirmar que é uma pessoa real (veja mais no final do texto)
· Reconhecimento biométrico: compara a identidade do usuário com bases públicas. Processo que se chama verificação biométrica.
2. Uso de inteligência artificial e machine learning
Análise de comportamento: monitora padrões de digitação, tempo de resposta e navegação para detectar perfis suspeitos.
Modelos preditivos de risco: classificam usuários por probabilidade de fraude com base em histórico e contexto.
Detecção de deepfakes e manipulações visuais: IA treinada para identificar inconsistências em vídeos e imagens.
3. Integração com bases externas
Bases públicas e privadas de CPF/CNPJ e biometria: verifica se o documento está ativo, regular e sem restrições (veja mais no final uma novidade sobre isso).
Consulta a bureaus de crédito: validar dados financeiros e histórico de crédito.
Listas de pessoas politicamente expostas e de sanções internacionais
Ferramentas mais sofisticadas, capazes de detectar o relacionamento da pessoa com outras contas suspeitas
4. Monitoramento contínuo pós-onboarding
Análise de transações em tempo real: identifica movimentações atípicas ou incompatíveis com o perfil do cliente.
Revalidação periódica de identidade: exige nova prova de vida ou atualização de dados em intervalos regulares.
Alertas e bloqueios automáticos: sistemas que suspendem contas ao detectar comportamento suspeito.
5. Arquitetura antifraude modular
Camadas de verificação adaptativas: quanto maior o risco, mais etapas são exigidas
Tokenização e criptografia de dados: protegem informações sensíveis durante o processo.
6. Conformidade à regulamentação e auditoria
Política de prevenção à lavagem de dinheiro (PLD): exige registro e rastreabilidade de operações.
Auditorias e Treinamento : revisam processos e identificam vulnerabilidades. Capacitação constante do time. O fator humano é um aspecto que é sempre muito importante nas empresas.
Percebo nas conversas com profissionais de cybersegurança, uma preocupação em estar bem atualizados em relação às novas fraudes e novas ferramentas disponíveis no mercado (sempre um passo à frente).
CUSTOS E FRICÇÃO PARA O USUÁRIO
O problema é que as medidas listadas acima custam dinheiro e aumentam o custo por transação, os fornecedores cobram para consultar bases de informação, as ferramentas demandam tempo de processamento (o que impacta o tempo de resposta para o usuário) e se a empresa exagerar na dose, pode começar a bloquear transações legítimas e irritar o usuário (a ponto de ele/ela preferir mudar para um competidor).
O QUE FAZER ENTÃO?
Não há uma resposta única para este tipo de fraude. Gosto da abordagem em camadas, onde você desenha a solução de modo que vai eliminado o risco em cada fase (ex. o grosso você já elimina com os dados pessoais e biometria 1:1 e 1:N), depois busca as bases públicas, depois as privadas. Se já conseguir descobrir o fraudador em uma fase, já nem precisa passar para a outra, o que reduz o custo da transação e o tempo de resposta.
Acredito que uma análise jornada a jornada, avaliando o risco (e o potencial de prejuízo) de cada uma a ajustando a solução, permitindo mais ou menos risco.
Manter-se atualizado e testar novas tecnologias com melhor custo-benefício e desconhecidas dos fraudadores é chave. Muitas tecnologias estão se tornando conhecidas dos fraudadores, reduzindo sua efetividade.
Conhecer os indicadores da ferramenta antes de contratá-la, como acurácia, falsos positivos e falsos negativos. Esses indicadores permitirão uma melhor avaliação.
Conheça nossas soluções antifraude inovadoras para smartphone que usam os batimentos cardíacos da pessoa para fazer prova de vida e checam múltiplas impressões digitais com uma base pública em https://hatecno.com.br/liveid
Comentários