Uma empresa contrata um sistema antifraude para barrar transações suspeitas. Seis meses depois, uma auditoria interna revela que 4% da base ativa carregava CPFs com histórico de restrição, cadastrados antes da implementação do sistema.
O problema não estava na porta de entrada. Estava em quem já estava dentro. (Sobre o risco de bases desatualizadas, veja também: higienização de dados.)
Segundo o Mapa da Fraude da Serasa Experian, o Brasil registrou quase 1,5 milhão de tentativas de fraude de identidade no primeiro trimestre de 2026, uma alta de 36,6% em relação ao mesmo período do ano anterior.
Em 2025, foram quase 7 milhões de tentativas em um único semestre, o equivalente a uma ocorrência a cada 2,3 segundos.
Os dados confirmam o que gestores de risco já sabem na prática: o volume e a sofisticação dos ataques crescem mais rápido do que a maioria das operações consegue acompanhar.
Este artigo explica o que é antifraude, como cada camada de proteção atua na prática, quais tipos de fraude o sistema precisa cobrir e quais critérios avaliar antes de escolher uma solução para a sua operação.
Navegue por tópicos
O que é antifraude
Antifraude é o conjunto de tecnologias, processos e políticas que uma organização aplica para detectar, prevenir e responder a atividades fraudulentas em suas operações.
O termo engloba desde ferramentas de análise transacional em tempo real até camadas de verificação de identidade e varredura retroativa de bases de clientes.
Na prática, o conceito de antifraude costuma ser associado a pagamentos digitais e e-commerce. Mas a cobertura precisa ir além do momento da transação. Existem dois eixos de atuação que se complementam:
- Antifraude transacional: monitora cada operação em tempo real (compras, transferências, Pix, empréstimos). Analisa padrões de comportamento, dispositivo, geolocalização e histórico para decidir se a transação segue, vai para revisão ou é bloqueada.
- Antifraude de identidade: verifica quem é a pessoa antes, durante e depois do onboarding. Cruza dados cadastrais, biometria facial, documentos e bases restritivas para confirmar se o cliente é quem diz ser.
A maioria dos artigos que explicam antifraude foca no primeiro eixo. O segundo, no entanto, é onde estão os maiores gaps de proteção nas operações brasileiras. Um sistema transacional bloqueia a compra suspeita.
Mas se o fraudador já passou pelo cadastro, já tem conta ativa e já opera dentro das regras do sistema, a fraude acontece por dentro.
Como funciona um sistema antifraude na prática
Um stack antifraude eficaz opera em camadas. Cada camada responde a um tipo de ameaça e atua em um momento diferente da jornada do cliente.
Camada 1: análise transacional (regras, scoring e machine learning)
É a camada mais conhecida. Um motor de regras avalia cada transação contra parâmetros predefinidos: valor fora do padrão, horário atípico, dispositivo novo, localização incompatível.
Modelos de machine learning refinam o scoring ao longo do tempo, reduzindo falsos positivos sem comprometer a detecção.
Essa camada funciona bem para fraudes oportunistas, como uso de cartão clonado ou compras com dados roubados. Ela não é suficiente, contudo, quando o fraudador opera com uma identidade cadastrada e validada no sistema.
Camada 2: verificação de identidade (onboarding e KYC)
A segunda camada atua na porta de entrada. O objetivo é validar se quem está se cadastrando é uma pessoa real, viva e titular dos dados informados.
Essa verificação envolve etapas como:
- OCR e documentoscopia: extração e validação de dados do documento de identidade (RG, CNH)
- Face Match: comparação entre a selfie do usuário e a foto do documento
- Prova de vida (liveness detection): confirmação de que a pessoa está viva e presente no momento da captura, barrando fotos, vídeos e deepfakes
- Consulta a bases restritivas: verificação do CPF contra listas de restrição e bureaus de risco
A eficácia dessa camada depende da combinação entre as etapas. Isoladas, elas deixam lacunas. OCR sem Face Match aceita qualquer pessoa com acesso ao documento.
Face Match sem liveness aceita uma foto impressa. Liveness sem consulta a bases restritivas valida uma pessoa real que já está associada a fraudes anteriores.
Camada 3: monitoramento contínuo
Fraude não acontece só no momento do cadastro ou da transação. Contas legítimas são tomadas (account takeover). Laranjas operam por meses antes de executar o golpe. Funcionários com acesso privilegiado manipulam cadastros.
O monitoramento contínuo acompanha mudanças comportamentais e cadastrais ao longo do ciclo de vida do cliente: alteração de dados sensíveis, tentativas de acesso de dispositivos desconhecidos, transações fora do perfil e inatividade prolongada seguida de movimentação atípica.
Camada 4: varredura retroativa de base
Essa camada é a menos implementada e, por isso, a que gera os maiores gaps de exposição.
A pergunta que ela responde é simples: dos clientes que já estão na base, quantos passariam pela triagem de segurança que existe hoje?
Bases de clientes envelhecem. CPFs que eram íntegros no momento do cadastro podem ter acumulado restrições. Faces associadas a fraudes recentes podem estar vinculadas a contas ativas. Contas dormentes podem estar sendo exploradas por terceiros.
A varredura retroativa cruza a base existente contra bases de restrição atualizadas. O resultado é um diagnóstico: quais registros precisam de revalidação, quais apresentam risco imediato e quais estão limpos.
Essa camada não substitui as três anteriores. Ela corrige o que elas não conseguiram barrar no passado.
Sua base está limpa?
Tipos de fraude que o sistema precisa cobrir
Um antifraude completo detecta fraudes em diferentes vetores. Conhecer cada tipo ajuda a dimensionar a cobertura do sistema que sua operação exige.
Fraude transacional: uso de dados de pagamento roubados ou clonados para compras ou transferências. É o tipo mais comum no e-commerce. Segundo a Serasa Experian, foram mais de 368 mil tentativas de fraude em compras online no primeiro trimestre de 2026, com ticket médio de R$917,52.
Fraude de identidade: uso de dados pessoais de terceiros (CPF, nome, data de nascimento) para abrir contas, solicitar crédito ou acessar serviços. Inclui tanto o roubo de identidade (dados reais de vítimas) quanto a identidade sintética (combinação de dados reais e fictícios).
Conta laranja: uso de contas abertas em nome de terceiros (com ou sem consentimento) para receber, movimentar ou lavar recursos de origem ilícita. A Resolução BCB 501/2025 endureceu as exigências para detecção e bloqueio dessas contas por instituições financeiras.
Fraude documental: adulteração de documentos de identidade para aprovação em processos de onboarding. A fraude documental digital ultrapassou a falsificação física pela primeira vez em 2025, respondendo por 57% dos casos globais segundo o Entrust Identity Fraud Report.
Fraude interna: funcionários ou terceirizados com acesso a sistemas internos que manipulam cadastros, criam contas fictícias ou desviam recursos. Esse vetor exige controles de acesso, segregação de funções e monitoramento comportamental.
Deepfake e ataques de apresentação: uso de imagens, vídeos ou rostos gerados por inteligência artificial para burlar sistemas biométricos. O Brasil concentra 39% dos deepfakes detectados na América Latina segundo a Sumsub, com aumento de 700% no primeiro trimestre de 2025.
Como escolher um sistema antifraude para sua operação
A escolha de um sistema antifraude vai além da comparação de features em uma planilha. O que determina a eficácia é o encaixe entre a solução e o perfil de risco da sua operação.
Cinco critérios que vão além do óbvio
1. Taxa de aprovação, não só taxa de bloqueio. Um antifraude que bloqueia 99% das fraudes mas reprova 15% dos clientes legítimos está destruindo receita. Avalie o equilíbrio entre falsos positivos (clientes bons bloqueados) e falsos negativos (fraudes aprovadas). Peça ao fornecedor métricas reais de operações do seu segmento.
2. Latência e disponibilidade da API. Para operações em tempo real (Pix, onboarding, e-commerce), a resposta do antifraude precisa acontecer em segundos. Pergunte o SLA de latência (P95 e P99) e o histórico de disponibilidade. Um sistema fora do ar é uma porta aberta.
3. Rastreabilidade para auditoria. Reguladores como BACEN e COAF exigem trilhas de decisão auditáveis. O sistema registra o motivo de cada aprovação e cada bloqueio? Essas trilhas são exportáveis e consultáveis em auditorias internas e externas?
4. Cobertura de base legada. O sistema avalia novas transações e novos cadastros. Mas ele permite varrer a base de clientes existente contra bases de restrição atualizadas? Esse critério separa soluções reativas de soluções preventivas.
5. Aderência regulatória. O antifraude atende os requisitos de PLD/FT (Circular 3978/2019), LGPD, Resolução BCB 501/2025 e, para setores específicos, regulações como a Lei 14.790/2023 (apostas esportivas)? Verifique se o sistema permite parametrizar regras por exigência regulatória.
Perguntas que o gestor de risco precisa fazer ao fornecedor
- Qual é a composição das fontes de dados consultadas (bureaus, bases restritivas, dados biométricos)?
- O sistema se integra ao meu stack existente via API, ou exige substituição?
- Existe capacidade de varredura retroativa de base (batch processing), ou a análise é restrita a eventos em tempo real?
- Como funciona a retroalimentação do modelo de risco? O sistema aprende com os falsos positivos da minha operação?
- Qual é o modelo de precificação? Por transação, por volume, por módulo?
Quando o antifraude transacional não basta
Se a sua operação tem mais de dois anos de base ativa, é provável que uma parcela dos cadastros não tenha passado pelo nível de verificação que você aplicaria hoje.
Mudanças regulatórias, novas tipologias de fraude e sofisticação dos ataques tornam a triagem de onboarding de três anos atrás insuficiente para os padrões atuais.
É nesse ponto que a varredura retroativa de base se torna um componente do stack, não um luxo. A lógica é simples: se você elevou a régua de entrada, precisa aplicar essa mesma régua em quem já entrou.
Antifraude e compliance: o que a regulação exige
A prevenção a fraudes não é uma escolha operacional. É uma obrigação regulatória que se estende por múltiplas normas.
A Circular 3978/2019 do Banco Central exige que instituições financeiras mantenham políticas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) com procedimentos de identificação, qualificação e classificação de risco de clientes, incluindo revisão periódica dos cadastros.
A Resolução CMN 4753/2019 complementa com regras específicas para abertura de contas e procedimentos de due diligence simplificada e reforçada (EDD), conforme o perfil de risco.
A Resolução BCB 501/2025 endureceu as exigências para detecção de contas laranjas e fraudes no Pix, incluindo critérios de bloqueio preventivo que as instituições devem definir e implementar internamente.
A LGPD (Lei 13.709/2018) regula o tratamento de dados biométricos como categoria sensível, exigindo consentimento específico, finalidade definida e medidas de segurança proporcionais.
Para empresas do setor de apostas, a Lei 14.790/2023 (Lei das Bets) e portarias da Secretaria de Prêmios e Apostas (SPA) adicionam exigências de verificação biométrica e controle de contas múltiplas.
O ponto de convergência entre todas essas normas: a empresa precisa demonstrar que identificou, verificou e monitora seus clientes de forma contínua. Um antifraude que opera sem rastro auditável ou sem capacidade de revalidação periódica deixa a operação exposta a sanções.
Como a CertiFace atua como camada complementar do stack antifraude
A CertiFace opera na interseção entre biometria facial e inteligência de risco. Duas soluções complementam o stack antifraude existente sem substituir camadas transacionais:
Certiface Risk Detection é uma base restritiva de CPFs com mais de 3 milhões de registros associados a fraudes. A consulta é direta: a empresa envia o CPF e recebe um retorno binário (0 = sem restrição, 1 = com restrição). O modelo é pay-per-hit, sem mensalidade.
O diferencial do Risk Detection está na aplicação retroativa. Ele permite que a operação varra toda a base de clientes existente contra registros de risco atualizados.
O resultado é um diagnóstico que aponta quantos e quais CPFs ativos apresentam algum tipo de sinalização. A resposta é imediata: em 1 a 2 segundos por consulta.
Bureau de Faces é uma base biométrica com mais de 120 milhões de faces únicas e 11 classes de risco. A consulta responde a outra pergunta: essa face já apareceu vinculada a outro CPF em uma situação de risco?
É a camada de cruzamento facial 1:N que conecta identidades comprometidas em diferentes operações.
Juntas, as duas soluções fecham o gap que a maioria dos stacks antifraude não cobre: o risco que já está dentro da base. Quem passou pelo onboarding antes das camadas atuais existirem.
Quem tinha CPF limpo no momento do cadastro mas acumulou restrições depois. Quem usa faces diferentes vinculadas ao mesmo CPF, ou a mesma face vinculada a CPFs distintos.
A integração acontece via API REST, com documentação técnica disponível no DevCenter da CertiFace.
