O cliente é real. O CPF foi validado. O documento passou pela análise. O onboarding funcionou como deveria funcionar.
Meses depois, essa mesma conta transfere R$ 12 mil às três da manhã para um destinatário que nunca apareceu no histórico. O titular está dormindo.
Esse é o problema do account takeover. Ele não acontece na porta de entrada. Ele acontece depois, quando todo o investimento em verificação de identidade já foi feito e a conta virou um ativo confiável dentro do seu sistema.
Os números brasileiros mostram a escala. A Serasa Experian identificou 1.495.696 tentativas de fraude em cadastros e validações de identidade no primeiro trimestre de 2026, alta de 36,6% sobre o mesmo período do ano anterior.
O volume equivale a uma tentativa a cada cinco segundos.
Este artigo explica o que é account takeover, como o ataque se estrutura, quais sinais antecedem a perda e quais camadas de proteção reduzem a exposição.
O que é account takeover
Account takeover (ATO) é a fraude em que um criminoso assume o controle de uma conta legítima já existente, usando credenciais roubadas ou engenharia social, para realizar transações em nome do titular verdadeiro.
A sigla ATO aparece em documentação técnica internacional. Em português, o termo circula como tomada de conta ou invasão de conta.
Por que o account takeover é diferente de outras fraudes
Muita gente trata ATO como sinônimo de fraude de identidade. São coisas distintas, e a diferença muda a defesa.
| Tipo de fraude | Quem é o titular | Quando acontece | O que falha |
|---|---|---|---|
| Account takeover | Pessoa real, vítima | Depois do cadastro | Controle de acesso |
| Fraude de identidade sintética | Identidade fabricada | No cadastro | Verificação de origem |
| Autofraude | O próprio titular | Na transação | Prova de autoria |
| Fraude de cartão | Pessoa real, vítima | Na transação isolada | Validação do meio de pagamento |
O ponto que separa o ATO dos demais é o momento. Sua esteira de KYC pode estar impecável e ainda assim a perda acontece, porque o KYC responde a uma pergunta feita uma vez só: essa pessoa é quem diz ser no dia da abertura?
O account takeover explora a lacuna entre essa resposta e todos os acessos que vêm depois.
Como um ataque de account takeover acontece
O ataque tem quatro fases. Elas raramente são executadas pela mesma pessoa. Existe divisão de trabalho.
A Serasa Experian mapeou quase 2 mil grupos dedicados à circulação de conteúdo fraudulento no primeiro trimestre de 2026, número 139% superior ao do ano anterior, com 19,7 milhões de mensagens associadas a golpes.
Credencial roubada é insumo, e insumo tem mercado.
Fase 1: credential stuffing
O ponto de partida costuma ser uma base vazada. Ela não vem do seu sistema. Vem de qualquer serviço onde o usuário repetiu a mesma senha.
Credential stuffing é o teste automatizado dessas combinações de e-mail e senha contra outros serviços. O fraudador não tenta adivinhar nada. Ele já tem a senha e está procurando onde mais ela funciona.
A taxa de sucesso por tentativa é baixa, porque a maioria dos usuários não repetiu a senha naquele serviço. A escala compensa. Volume alto de tentativas produz um número relevante de acessos válidos.
O que torna esse vetor difícil de barrar:
- As credenciais estão corretas, então o login não é um erro do ponto de vista do sistema
- O tráfego vem distribuído por proxies residenciais, o que dilui o padrão por IP
- A automação imita comportamento humano, com pausas e variação de cadência
- O volume por conta é baixo, uma ou duas tentativas, o que não dispara bloqueio por força bruta
Bloqueio por número de tentativas não resolve credential stuffing. A defesa depende de correlacionar o login com sinais que a senha não carrega, como dispositivo, origem e comportamento.
Fase 2: contorno do segundo fator
Com a credencial validada, o obstáculo seguinte é o segundo fator. O vetor mais usado no Brasil ataca a camada de telefonia.
No SIM swap, o criminoso transfere o número da vítima para outro chip e passa a receber os códigos enviados por SMS.
A Anatel endureceu a portabilidade numérica em agosto de 2023. Desde então, o titular precisa responder a um SMS de confirmação em até seis horas para que a troca de operadora avance.
A agência descreve a medida como segunda camada de proteção, voltada a verificar a posse do terminal.
A regra reduz a portabilidade fraudulenta. Ela não cobre pedido de segunda via de chip nem engenharia social aplicada ao atendimento da operadora.
O dado setorial reforça o ponto: Telefonia foi o segundo segmento com mais tentativas de fraude de identidade no primeiro trimestre de 2026, com 313.200 ocorrências, atrás somente de Meios de Pagamento.
Quando o segundo fator depende de um canal que o próprio setor reconhece como alvo, ele deixa de ser barreira e vira etapa.
Fase 3: engenharia social
Nem todo ataque precisa de automação. Parte das credenciais é entregue pela própria vítima, por engenharia social.
- Phishing: páginas e e-mails falsos que capturam login e código de acesso em tempo real
- Vishing: ligação em que o criminoso se passa pela central e pede o token por voz
- Golpe da mão fantasma: acesso remoto ao aparelho da vítima, com a transação partindo do dispositivo legítimo
Este último é o mais difícil de detectar por sinal técnico. Dispositivo conhecido, rede conhecida, comportamento de digitação plausível. A conta foi tomada sem que nenhum dado de sessão mudasse.
Fase 4: monetização
O dinheiro sai. E precisa entrar em algum lugar.
O destino costuma ser uma conta receptora aberta com identidade cedida ou fabricada. É aqui que o ciclo do ATO encontra o ciclo da conta laranja, e é aqui que a regulação brasileira passou a atuar de forma direta.
Sinais de que uma conta foi comprometida
Nenhum sinal isolado prova ATO. Cada um deles produz falso positivo em volume. A decisão nasce da combinação.
- Login a partir de dispositivo e geolocalização sem histórico na conta
- Alteração de e-mail, telefone ou chave Pix seguida de transação em janela curta
- Sequência de tentativas de recuperação de senha
- Mudança abrupta no valor médio e no horário das operações
- Desativação de notificações push ou de alertas por e-mail
- Beneficiário novo recebendo valor alto na primeira transferência
O quinto item merece atenção. Desligar notificação é ação de baixo risco isolada, e vira sinal forte quando antecede movimentação. É o fraudador comprando tempo antes que a vítima perceba.
Impacto do account takeover para a operação
A perda direta é o item mais visível e não é o maior.
A FEBRABAN registrou perdas do sistema financeiro brasileiro com fraudes e golpes de R$ 10,1 bilhões em 2024, alta de 17% sobre o ano anterior.
O setor financeiro concentra a maior parte das tentativas de fraude de identidade, com seis em cada dez ocorrências registradas em bancos, emissores de cartão, meios de pagamento e empresas de crédito.
Os custos que acompanham a perda:
- Ressarcimento e disputa, com o ônus operacional da apuração caso a caso
- Exposição regulatória, quando a instituição não demonstra controle adequado
- Churn, porque cliente que teve conta tomada raramente permanece
- Custo de OTP em escala, que cresce sem reduzir o risco na mesma proporção
- Carga em atendimento, com chamados longos e de alta tensão
Como prevenir account takeover: camadas de proteção
Não existe controle isolado que responda por todo o risco de ATO. Um sistema antifraude maduro funciona por sobreposição, com cada camada cobrindo a falha da anterior.
O dado de maturidade do setor mostra o tamanho da lacuna. Entre 606 instituições avaliadas pelo Banco Central, 37,3% faziam avaliação periódica de risco dos prestadores de serviço, e embora 72,6% usem APIs, cerca de 29% revisam com regularidade os riscos dessas conexões.
Camada 1: higiene de credenciais
Monitoramento de vazamentos com cruzamento contra a base de usuários. Bloqueio de senhas já expostas. Política que impeça reuso.
Essa camada reduz o insumo do credential stuffing. Ela não impede o ataque, reduz a matéria-prima.
Camada 2: sinais de dispositivo e comportamento
Fingerprint de dispositivo, geolocalização, reputação de IP, cadência de digitação e padrão transacional histórico.
É a camada que transforma login válido em decisão de risco. Ela produz a pergunta certa: a credencial está correta, mas o contexto bate?
Camada 3: prova de identidade no acesso crítico
Senha valida o que a pessoa sabe. Token valida o que a pessoa possui. Os dois são transferíveis, por vazamento ou por engenharia social.
Biometria facial valida quem a pessoa é, no instante da ação. Aplicada como step-up em operações de alto risco, ela fecha a lacuna que as camadas anteriores deixam aberta.
Os pontos de acionamento que fazem sentido operacional:
- Transferência acima do limite de risco definido
- Alteração de dados cadastrais e de chave Pix
- Contratação de crédito e elevação de limite
- Primeiro acesso a partir de dispositivo desconhecido
A autenticação biométrica 1:1 compara a captura ao vivo com a referência já cadastrada do titular, com validação em segundos.
O Face Token é a forma de armazenar essa referência para reuso nas validações seguintes, sem exigir nova captura de documento a cada operação.
A eficácia depende de prova de vida. Sem ela, a comparação aceita foto, vídeo e deepfake.
É o problema de spoofing que a biometria deveria mitigar, reintroduzido pela porta dos fundos.
Dado biométrico é dado pessoal sensível pela LGPD, art. 5º, inciso II. O tratamento exige base legal específica e governança declarada. Isso é requisito de projeto, não obstáculo.
Camada 4: inteligência sobre o fraudador
As três camadas anteriores olham para o titular. Esta olha para quem está do outro lado.
O account takeover em volume é operação, não incidente isolado. O mesmo grupo repete o método em várias instituições. E deixa rastro.
Uma face que aparece vinculada a múltiplos CPFs em bases distintas é sinal de operação recorrente. A busca biométrica 1:N responde a uma pergunta que a autenticação 1:1 não alcança: esse rosto já apareceu antes, ligado a outra identidade?
O Bureau de Faces opera nessa lógica, com base de mais de 120 milhões de faces e classificação por classes de risco.
O Risk Detection atua no eixo complementar, indicando se um CPF carrega marcação de restrição antes da autenticação acontecer.
Aqui existe amparo regulatório direto. A Resolução BCB nº 501, de setembro de 2025, incluiu o art. 2º-A na Resolução BCB nº 142/2021 e determinou que instituições rejeitem transações de pagamento destinadas a contas de depósito à vista, poupança e pagamento pré-pagas quando houver fundada suspeita de envolvimento em fraude.
O texto permite que a avaliação use fatores definidos por cada instituição, incluindo informações de bases de dados públicas ou privadas. Ou seja, consultar base externa de risco deixou de ser diferencial e virou instrumento previsto na norma.
Em novembro de 2025, o Comunicado BCB nº 44.253 esclareceu que a instituição remetente também deve rejeitar o envio quando a suspeita já foi constatada. A responsabilidade é das duas pontas.
O que a regulação brasileira exige
Além da Resolução 501, três frentes afetam diretamente quem opera contas digitais no Brasil.
A Resolução BCB nº 457/25 e a Instrução Normativa BCB nº 655/25 exigem verificação de regularidade de CPF ou CNPJ e consistência do nome cadastral antes de registrar, alterar ou portar chave Pix, com bloqueio automático diante de indício de uso fraudulento.
Alteração de chave é uma das etapas típicas do ATO.
A Instrução Normativa BCB nº 590/25 obriga o registro no Unicad do vínculo com empresas contratadas para compartilhamento de dados sobre indícios de fraude. O uso de bureau antifraude passou a ser informação supervisionada.
No campo penal, a Lei 15.397/2026 inseriu no Código Penal tipo específico para a cessão de conta laranja, com reclusão de um a cinco anos, e criou o estelionato qualificado por fraude eletrônica, com pena de quatro a oito anos quando o golpe envolve clonagem de dispositivo.
A norma também devolveu ao Ministério Público a ação penal pública incondicionada para crimes digitais patrimoniais.
O que fazer quando o account takeover já aconteceu
A resposta a incidente tem sequência definida.
- Contenção. Encerrar a sessão ativa e bloquear operações de saída na conta afetada
- Revalidação do titular. Devolver o acesso somente após prova de identidade por biometria com liveness, nunca por canal que possa estar comprometido
- Rastreio. Mapear a cadeia transacional e identificar as contas receptoras
- Comunicação. Notificar o cliente e acionar os fluxos regulatórios aplicáveis
- Realimentação. Registrar o padrão detectado na base de risco, para que a mesma operação não se repita em outra conta
O passo 2 é onde a maioria das operações falha. Devolver acesso por SMS a uma vítima de SIM swap entrega a conta ao fraudador pela segunda vez.
Onde a CertiFace atua
Account takeover é risco pós-onboarding. Ele exige validação contínua, não verificação única.
A CertiFace opera nas duas frentes que este artigo descreve: prova de identidade no acesso crítico, com autenticação biométrica e liveness, e inteligência sobre reincidência, com busca 1:N em base de mais de 120 milhões de faces.
Blinde os acessos críticos da sua operação. Fale com um especialista e avalie onde aplicar validação biométrica na jornada pós-onboarding.
FAQ
Qual a diferença entre account takeover e roubo de identidade?
No roubo de identidade, o criminoso usa dados de outra pessoa para abrir contas novas. No account takeover, ele assume o controle de uma conta que já existe e já foi validada.
Autenticação de dois fatores impede account takeover?
Ela eleva o custo do ataque e não encerra o risco. Segundo fator por SMS é vulnerável a SIM swap, e códigos podem ser obtidos por phishing e vishing em tempo real.
Como identificar uma conta invadida antes da perda financeira?
Pela combinação de sinais: dispositivo novo, geolocalização atípica, alteração cadastral recente e mudança no padrão transacional. Sinal isolado gera falso positivo, correlação gera decisão.
Biometria facial resolve account takeover sozinha?
Não. Ela cobre a camada de prova de identidade e opera junto com higiene de credenciais, sinais de dispositivo e inteligência sobre reincidência. A proteção vem da sobreposição.
