Nas operações de bancos, fintechs e demais empresas do setor financeiro no Brasil, existem hoje cerca de 3.6 milhões de faces com restrições cadastradas na base da CertiFace.
Cada registro corresponde a uma tentativa de fraude captada em processos de onboarding digital ou de autenticação de transações.
O volume ajuda a dimensionar o problema. A Serasa Experian identificou 2,8 milhões de tentativas de fraude de identidade no primeiro semestre de 2026, alta de 32,9% em relação ao mesmo período do ano anterior.
Este artigo detalha o que é fraude de identidade, como ela acontece, seus tipos, impactos para instituições financeiras e as camadas de proteção que hoje reduzem o risco.
O foco é o mercado B2B: gestores de risco, fraude e compliance encontram aqui um mapa objetivo do problema e das respostas técnicas disponíveis.
Navegue por tópicos
O que é fraude de identidade
Fraude de identidade é o uso indevido de dados pessoais de outra pessoa para obter benefício econômico. O fraudador pode agir com documentos originais, cópias, dados vazados, imagens manipuladas ou uma combinação desses recursos.
No ambiente digital, esse crime se materializa em três pontos:
- Abertura de contas com dados de terceiros.
- Contratação de crédito, financiamento ou serviços em nome alheio.
- Sequestro de contas existentes por meio de engenharia social.
Bancos, fintechs, seguradoras e marketplaces são os alvos preferenciais. O tempo do golpe encolheu com a digitalização. Um contrato de crédito pode ser fechado em minutos, e o mesmo prazo vale para o dano.
A defesa passa por camadas que integram cadastros positivos e negativos, reconhecimento facial e validação biométrica com prova de vida para separar rostos reais de artefatos digitais.
Fraude de identidade e roubo de identidade não são a mesma coisa
Os termos costumam se confundir. Roubo de identidade é o ato de obter os dados de outra pessoa. Fraude de identidade é o passo seguinte: usar esses dados para prejudicar a vítima ou uma instituição. Um alimenta o outro.
A defesa combate ambos com bases compartilhadas, biometria facial e monitoramento contínuo.
Panorama no Brasil: os 3.6 milhões de faces com restrição
A base de faces com restrições da CertiFace consolida registros históricos de tentativas de fraude observadas em operações reais de clientes do setor financeiro.
Cada face registrada passou por captura em processos de onboarding digital ou de autenticação de transações e foi sinalizada por modelos de risco.
Dilson de Sá – CEO da CertiFace
“Quando mencionamos cerca de 3.6 milhões de faces com restrições, estamos nos referindo a registros históricos de tentativas de fraude observadas em operações de nossos clientes, sempre dentro de finalidades específicas e em conformidade com a LGPD.”
O volume conversa com dados de mercado. A Serasa Experian identificou 2,8 milhões de tentativas de fraude de identidade no primeiro semestre de 2026 em processos de cadastro e validação, alta de 32,9% na comparação anual.
As perdas potenciais evitadas somaram até R$ 3,77 bilhões. Meios de pagamento concentraram 42,6% das ocorrências. Telefonia respondeu por 22,1%.
O CEO da CertiFace acrescenta uma ressalva importante:
“É possível que esse número seja conservador. Ele reflete apenas os casos que passaram por ambientes monitorados e com capacidade de detecção. Como a fraude evolui constantemente, existe um universo de tentativas que não necessariamente é capturado.”
O mercado brasileiro convive com um problema de escala, com incidência crescente e concentração em setores que operam alta transacionalidade.
Como a fraude de identidade acontece
O fluxo típico de uma fraude de identidade combina obtenção de dados, uso desses dados em uma interface digital e conversão em dinheiro. Cada etapa tem vetores distintos.
Abertura de contas com documentos de terceiros
O fraudador reúne CPF, RG ou CNH de uma vítima, com dados obtidos por vazamento, engenharia social ou compra em fóruns clandestinos. Em seguida, tenta abrir uma conta digital fingindo ser o titular.
Quando a instituição se limita à verificação documental, a chance de sucesso do golpe cresce. Camadas biométricas reduzem essa janela ao exigir prova de que a pessoa presente na captura é a mesma dos documentos apresentados.
Este vetor conversa com o tema de falsidade documental, tipificado no Código Penal.
Contratação indevida de serviços
Além de contas, o fraudador contrata crédito, financiamento, planos de telefonia ou seguros no nome da vítima. Neste vetor, a falsidade ideológica se soma à falsa identidade. O criminoso declara ser quem não é para obter vantagem econômica ilícita.
Fraude em crédito consignado
Aposentados e pensionistas do INSS figuram entre os alvos mais visados, com destaque para o cenário recente de fraudes em massa no consignado que gerou operações da Polícia Federal e do Ministério Público.
O golpe combina engenharia social, documentos falsificados e, em alguns casos, autenticação biométrica quebrada por deepfake. Contratos são assinados sem que a vítima saiba, com desconto direto no benefício.
Engenharia social como porta de entrada
Boa parte das fraudes começa por manipulação psicológica: falso funcionário do banco, falso parente pedindo Pix, falso boleto. Esses vetores dão acesso ao passo seguinte, seja para capturar dados, seja para induzir a vítima a autorizar uma transação. Deepfakes de voz e vídeo ampliam o realismo desse tipo de golpe.
Tipos de fraude de identidade
A fraude de identidade não é um único fenômeno. Ela se subdivide em modalidades com dinâmicas próprias.
Fraude convencional
Uso direto da identidade de uma vítima real, com dados obtidos por vazamento ou engenharia social. Segue representando o volume maior das tentativas capturadas em ambientes B2B monitorados.
Fraude sintética
Combina dados reais de uma pessoa com informações fictícias para construir uma identidade que não existe. É de detecção mais difícil, pois não há vítima direta que perceba o problema no início. O artigo sobre fraude de identidade sintética detalha essa modalidade e as técnicas usadas para identificá-la.
Conta laranja
O fraudador convence uma pessoa a ceder sua conta bancária para movimentação de recursos ilícitos. Desde 2026, essa prática é tipificada como crime pelo art. 171, §2º-B do Código Penal, com pena de 1 a 5 anos de reclusão.
A cessão de conta laranja virou vetor central na infraestrutura de lavagem de dinheiro no país.
Autofraude e fraude amigável
O próprio titular apresenta a compra ou transação como fraudulenta para obter estorno indevido. O tema é tratado no artigo sobre autofraude ou fraude amigável e afeta com força setores de e-commerce e pagamentos.
Ataques de spoofing biométrico
O fraudador usa fotos, vídeos, máscaras ou deepfakes para tentar enganar sistemas de biometria facial. As contramedidas passam por prova de vida ativa e passiva, associadas a análise de qualidade de imagem. O artigo sobre ataques de spoofing detalha os principais vetores.
Impactos para instituições financeiras
Cada fraude aprovada gera três tipos de custo para a instituição.
Perdas diretas. O crédito concedido não retorna. O produto ou serviço contratado não é pago. A instituição arca com o prejuízo integral e, em muitos casos, precisa devolver ao consumidor por decisão judicial ou administrativa.
Perdas regulatórias. Falhas em processos de KYC resultam em multas do Banco Central e do Coaf. A Resolução BCB 501/2025 endureceu requisitos de verificação de identidade, monitoramento contínuo e reporte de operações suspeitas para instituições autorizadas a operar no país. Para clientes classificados como pessoa politicamente exposta, o rigor é maior.
Perdas reputacionais. Uma fraude aprovada com repercussão pública pode custar clientes, contratos B2B e a confiança do mercado. Investidores e reguladores cobram indicadores objetivos de mitigação de risco.
Some-se a esses custos o efeito cascata. Uma conta fraudada aprovada abre portas para outras contas, cartões e financiamentos, com o mesmo par de rosto e CPF em fluxo.
A FEBRABAN estimou perdas de R$ 10,1 bilhões com fraudes no sistema financeiro brasileiro em 2024, alta de 17% frente a 2023.
Como detectar e prevenir fraude de identidade
A defesa moderna não depende de uma tecnologia isolada. Ela combina camadas que operam em conjunto e trocam sinais em tempo real.
Camadas de proteção no onboarding
Um fluxo maduro começa por consulta a bases positivas e negativas de dados cadastrais, valida documentos com análise de documentoscopia, executa biometria facial e aplica prova de vida para descartar fotos, vídeos e máscaras. As soluções antifraude convergem para esse desenho em camadas.
Prova de vida em tempo real
A prova de vida, ou liveness, valida em 1 a 2 segundos que o rosto capturado pertence a uma pessoa presente na frente da câmera. É a barreira principal contra spoofing e deepfake em processos digitais.
A tecnologia opera em duas variantes: ativa (com instruções ao usuário) e passiva (transparente ao usuário). Os detalhes técnicos estão no artigo sobre liveness e na documentação técnica no DevCenter da CertiFace.
Base de fraudadores conhecidos
Quando o mesmo rosto tenta se cadastrar em várias instituições, ou reaparece após uma tentativa anterior de fraude, uma base compartilhada faz a diferença.
O Risk Detection da CertiFace consulta uma base de 3.6 milhões de faces com restrição e retorna resposta binária (0 ou 1) em tempo real, sem exposição de dados pessoais do fraudador.
O modelo pay-per-hit remunera as consultas com correspondência positiva.
Biometria 1:N e face token
Além da comparação 1:1 (o rosto capturado bate com o documento), a comparação 1:N confere o rosto contra uma base ampla para checar se o titular já apareceu antes com outro CPF ou em outra instituição.
É o modelo do Bureau de Faces, com 120 milhões de faces únicas cadastradas. O conceito de facematch integra as duas modalidades.
Análise contextual em tempo real
Modelos de risco analisam o comportamento do usuário, o dispositivo, a localização, o horário e o histórico.
Uma tentativa suspeita não vira bloqueio automático: o motor eleva o rigor do processo, pede autenticação adicional e registra o evento para revisão. Esse desenho de score-based decisioning evita bloquear clientes legítimos e captura desvios em tempo real.
O artigo sobre redução de fraudes com biometria facial explora esses fluxos.
Autenticação contínua
A validação de identidade não termina no cadastro. Transações sensíveis, mudanças de dados e novos contratos exigem confirmação com prova de vida. A autenticação digital recorrente reduz o risco de account takeover após o onboarding.
O papel da regulação e da LGPD
O tratamento de dados de fraudadores em bases compartilhadas exige balanço fino entre proteção do mercado e direitos do titular.
A Lei 15.397/2026, sancionada em 4 de maio de 2026, endureceu a resposta penal ao problema. A cessão de conta laranja passou a ser crime específico, com pena de 1 a 5 anos de reclusão (art. 171, §2º-B do Código Penal).
A fraude eletrônica qualificada, prevista no art. 171, §2º-A, tem pena de 4 a 8 anos.
O estelionato voltou a ser ação penal pública incondicionada: o Ministério Público age sem precisar de representação da vítima.
Do lado do titular, a Lei Geral de Proteção de Dados assegura direitos essenciais mesmo em bases de restrição. O art. 18 garante acesso, correção, anonimização e oposição ao tratamento.
Bases como a da CertiFace operam com finalidade específica, prazo definido e canais de contestação disponíveis. Não são listas públicas nem produzem ranking de gravidade. São históricos de eventos de risco que passam por revisão sempre que o titular questiona.
Conclusão
Os 3.6 milhões de faces com restrição na base da CertiFace refletem a magnitude do problema e, ao mesmo tempo, dão à indústria uma ferramenta de defesa colaborativa. Cada face registrada é um sinal para o mercado, com respeito integral aos direitos do titular assegurados pela LGPD.
Bancos, fintechs e demais empresas do setor que operam onboarding digital precisam desenhar a defesa como um conjunto de camadas, integradas por dados em tempo real e monitoradas com governança. É esse desenho que reduz perdas, mantém compliance e blinda a jornada do cliente legítimo.
FAQ
Qual a diferença entre fraude e roubo de identidade?
Roubo de identidade é a obtenção de dados pessoais de uma vítima. Fraude de identidade é o uso desses dados para tirar vantagem econômica. Um alimenta o outro. A defesa combate ambos com bases compartilhadas de fraudadores, biometria facial e monitoramento contínuo.
Como saber se meu CPF foi usado indevidamente?
Sinais comuns são cobranças que a pessoa não reconhece, notificações de crédito não solicitado, restrições cadastrais inesperadas e ligações de cobrança sobre contratos desconhecidos. Consultas a birôs de crédito e ao Registrato do Banco Central ajudam a identificar movimentações em andamento.
Como uma empresa deve responder a uma fraude aprovada?
O playbook mínimo envolve: identificar o vetor que passou pelas camadas de defesa, congelar a conta ou contrato, notificar o titular legítimo, reportar ao Coaf quando houver movimentação financeira suspeita, registrar o rosto na base de fraudadores para prevenir reincidência e revisar o fluxo de onboarding para fechar a brecha. O processo precisa estar documentado, com prazos e responsáveis definidos, para responder a auditorias regulatórias.
Como bancos identificam fraudadores em tempo real?
Combinando consulta a bases negativas e positivas, biometria facial 1:1 e 1:N, prova de vida, análise documental e modelos de risco contextuais. A resposta chega em segundos. O Risk Detection retorna binário (0 ou 1) para bases de fraudadores conhecidos com pay-per-hit.
Quais tecnologias previnem fraude de identidade no onboarding?
Camadas de biometria facial com prova de vida, validação documental, consulta a bases de restrição, KYC estruturado e monitoramento comportamental integram os fluxos maduros. Nenhuma tecnologia isolada resolve. O desenho por camadas é o que reduz o risco de forma consistente.
