Como os golpes de identidade funcionam na prática e quais controles técnicos separam um usuário legítimo de um ataque.
Força bruta, credential stuffing e password spraying atacam o login de jeitos diferentes. O que a NIST SP 800-63B-4 e a OWASP pedem para cada um, e por que bloquear a conta inteira ajuda o atacante.
Quando pedir o segundo fator sem cansar quem é legítimo: o que a NIST SP 800-63B-4 diz sobre sinal de risco, qual fator pedir e por quanto tempo a prova vale.
O que a NIST SP 800-63B-4 e o OWASP ASVS 5.0 mandam checar contra senha vazada, em que momento, e o que fazer quando a senha certa do login também está num vazamento.
O 3-D Secure troca dados entre loja e emissor para autenticar o portador. O que a especificação da EMVCo diz que ele faz, e como as regras públicas da Visa mudam a disputa por fraude quando a compra foi autenticada.
Agentes de IA já navegam e preenchem formulários por pessoas. O que os padrões do W3C e da IETF permitem saber sobre o agente, o que deixam de fora e por que a verificação da pessoa continua sendo outra camada.
O que a Lei 10.703/2003 obriga a operadora a guardar sobre o usuário de celular pré-pago, quem pode pedir esse cadastro, e por que um número registrado não prova que a linha está com a pessoa do seu cliente.
O alerta FIN-2024-Alert004 do FinCEN descreve contas abertas com documentos feitos por IA generativa. O que ficou mais barato para o fraudador, o que continua difícil e onde a análise de imagem deixa de bastar.
Duplicata fria é crime do art. 172 do Código Penal. Como conferir o lastro antes de antecipar: a nota fiscal na consulta oficial, a manifestação do destinatário e o que a duplicata escritural da Lei 13.775 registra.
O golpe do falso empréstimo cobra uma taxa para liberar um crédito que não existe. O que a Lei 4.595, a Lei 7.492 e a Resolução CMN 4.935 dizem, e o que a instituição imitada e a que recebe a taxa podem fazer.
O golpe do amor ganha a confiança da vítima e termina em transferências para contas que só repassam o dinheiro. Os sinais nos dois lados da transferência, pelo alerta do FinCEN e pela Carta Circular BCB 4.001.
Holerite e extrato em PDF saem da mão do cliente e se editam com ferramenta comum. O que a Circular 3.978 pede sobre renda, o que os arts. 298, 299 e 304 do Código Penal separam e por que a fonte vale mais que o arquivo.
Cada vez que a foto de um documento é salva em JPEG, detalhe e cor se perdem em blocos de 8 por 8 pixels. O que isso tira da análise de adulteração, com os números do método dos fantasmas JPEG de Hany Farid.
No QR Code Pix o nome que aparece ao pagador vem do DICT, não da imagem impressa. Por que isso põe a defesa do golpe da troca na conta que recebe, e o que o regulamento dá ao recebedor para agir.
A Lei 1.521/1951 chama a pirâmide de bola de neve; a Lei 6.385/1976 faz da oferta pública de investimento coletivo um valor mobiliário. Como separar os dois, e os sinais que a conta que recebe o dinheiro deixa.
O Pix Automático debita sem autenticar a cada cobrança, e o risco de golpe mora em quem recebe. O que o Regulamento do Pix exige da autorização, a restrição de 2025 ao recebedor e quando o MED devolve.
Login forte não protege a conta se a recuperação aceita um código por SMS. As quatro classes de recuperação da NIST SP 800-63B-4, o que ela exige numa conta AAL2 e onde a verificação de identidade volta.
Autenticar quem está na conta não prova que ele aprovou este valor para este destinatário. A ligação dinâmica europeia, a confirmação de pagamento do W3C e o OpenID4VP mostram como amarrar o ato.
Testar uma regra antifraude no histórico parece simples e engana de dois jeitos: divisão aleatória que mistura passado e futuro e rótulo de fraude que ainda não amadureceu. Como montar o corte.
A Lei 15.397/2026 criou a cessão de conta laranja no art. 171, § 2º, VII, do Código Penal. O texto exato, a finalidade que o tipo exige, a pena e o que muda para quem abre e monitora contas.
Quando o pedido de pagamento chega por vídeo, voz ou mensagem que o golpista ofereceu, a defesa está fora da conversa. Canal cadastrado, código que expira e fator do titular.
O art. 2º-A da Resolução BCB 142/2021, incluído pela Resolução BCB 501/2025, manda rejeitar pagamentos destinados a conta sob fundada suspeita de fraude. Quem deve, o que alcança e o que registrar.
Identidade roubada passa na checagem de antecedentes e foto alterada passa na entrevista. O que o FBI, o Departamento de Justiça dos EUA e um caso relatado pela própria empresa ensinam ao RH.
Dois aparelhos com a mesma assinatura e um aparelho com assinatura nova depois de uma atualização. O que cinco estudos revisados por pares mediram e por que igualdade exata erra nos dois sentidos.
Ligar a passkey a uma conta com identidade verificada cria uma corrente que precisa ser cuidada a vida toda: vincular, acrescentar, revogar e recuperar, pela NIST SP 800-63B-4 e pelo WebAuthn.
Num golpe com rosto e voz sintéticos, perguntar se o vídeo é falso é jogar no terreno do golpista. O caso de Hong Kong, o alerta do FBI e a NIST mostram onde a decisão de confiança deve morar.
A Resolução BCB 584/2026 leva a Resolução BCB 142/2021 às prestadoras de ativos virtuais: retenção cautelar de 24 horas contada do aporte, critérios de risco, registro diário de fraude e o que já vale antes de 2027.
Em julho de 2026 a Terceira Turma do STJ manteve a negativa de indenização num golpe da falsa central: os Pix não eram incompatíveis com o histórico. Onde a norma já pede esse perfil.
NAT de operadora e iCloud Private Relay põem muitos usuários atrás do mesmo endereço. O que a IETF e a Apple documentam sobre isso e o que um servidor precisa registrar para não punir a multidão.
A NIST SP 800-63B-4 proíbe comparação biométrica por voz, e o FBI relata voz clonada usada para entrar em conta bancária. O que tirar da voz e o que pôr no lugar dela numa central ou num banco.
Como desenhar uma lista de permissão que reduz o desafio da prova de vida de quem a empresa já conhece, sem pular rosto, documento, lista de bloqueio nem sanção.
Quem verifica identidade vira nome de isca. O que o golpe pede, por que ele convence, o que uma verificação legítima nunca faz e onde o aviso antifraude precisa morar.
Senha vazada se troca, rosto não. O que a ISO/IEC 24745 chama de proteção de template biométrico, as propriedades que ela cobra e por que cifrar o vetor não é a mesma coisa.
O CAPTCHA barra automação barata, não o atacante que paga por resolução humana. O que o W3C e a WCAG 2.2 dizem, o custo em conversão e quais alternativas de desenho usar.
O seguro confere identidade com rigor na contratação e afrouxa no sinistro, que é onde o dinheiro sai. O que a Lei 15.040/2024 mudou e como desenhar o controle.
A vaga falsa coleta documento e selfie na origem, com a cooperação da vítima. O que esse material atravessa num cadastro, o que ele não atravessa e como a empresa citada se protege.
Por que a leitura do chip por aproximação exige aplicativo nativo, por que o navegador não serve, e por que sem ler a faixa MRZ antes o circuito não abre.
O escopo da ISO/IEC 30107-3, o que APCER e BPCER significam e por que o ataque de injeção fica fora da norma que rege a detecção de ataque de apresentação.
O que a avaliação pública do NIST mede na estimativa facial de idade, por que o erro médio é a régua errada para barrar menor e como ler a taxa de falso positivo no ponto de corte.
As duas taxas de um confronto 1:1, o limiar que as amarra, a condição de impostor de esforço zero em que o um em dez mil da NIST vale e as perguntas que revelam se o número do fornecedor mede alguma coisa.
A norma do INSS exige autorização por biometria com validação de vivacidade no Meu INSS e recusa a gravação de voz como prova. O que a Lei 10.820/2003 delega e o que a IN 138/2022 pede hoje.
Data, aparelho e GPS podem estar no arquivo e somem em qualquer reencode. Por que metadado ausente não é sinal de fraude, o que o metadado presente informa e onde a orientação quebra o face match.
A assinatura dentro do circuito do passaporte prova origem e integridade dos dados, e não prova que o chip não é cópia. O que o Doc 9303 separa entre autenticação passiva, ativa e de chip.
O que a Resolução CONTRAN 886/2021 diz que o QR Code da CNH carrega, contra o que ele é conferido, e por que um leitor genérico devolve dados sem provar nada sobre o documento.
O que a ISO/IEC 29794-5 padroniza, por que um escore único esconde o defeito e como a avaliação NIST IR 8485 testa a detecção de pose, exposição, oclusão e desfoque.
O relatório NIST IR 8280 testou 189 algoritmos e separou falso positivo de falso negativo por sexo, idade e origem. Os números, o efeito do limiar fixo e o que o estudo não fez.
Pedir a selfie de novo parece trivial até a pergunta virar "comparar com o quê". A referência que envelhece, o limite de tentativas que a norma já fixou e por que quem não tem matrícula não pode ser recusado.
Comparar o GPS de um evento com a geolocalização de IP do seguinte produz velocidade impossível sem que ninguém tenha viajado. Como desenhar a regra, quais pisos ela precisa e o que ela pode decidir.
O pacote da Resolução BCB 403/2024 limitou o Pix em dispositivo não cadastrado a R$ 200 por transação e R$ 1.000 por dia, e moveu o golpe para o cadastro do aparelho.
O que o identificador diz antes do OTP: domínio descartável, e-mail sintético, linha VoIP, portabilidade e número reciclado como pesos num score.
Como o golpe do falso fornecedor desvia cobranças legítimas trocando dados bancários por e-mail, por que ele passa pelo contas a pagar e como barrá-lo.
Como a tomada de conta difere da fraude de cadastro, os vetores que derrubam uma conta legítima e as defesas em camadas do NIST SP 800-63B.
O fraudador barrado na marca A entra na marca B do mesmo grupo cinco minutos depois. Quando o bloqueio atravessa CNPJs, com que base legal e com que desenho técnico.
A lista interna de bloqueio é o antifraude mais barato e o mais fácil de envenenar. Critério de entrada, prazo de revisão, hash com pimenta e o que a LGPD cobra de quem bloqueia por sistema.
Comparar dois rostos e procurar um rosto numa base inteira são problemas diferentes. O que significam FNIR e FPIR nas avaliações do NIST, por que o limiar depende do tamanho da galeria e onde o índice erra sozinho.
Quando contratar o primeiro analista, como separar a operação da engenharia de regras, quais métricas acompanhar e onde a Circular BCB 3.978/2020 entra no desenho do time.
A busca biométrica apontou que o rosto novo já existe na base. Similaridade não é veredito: a triagem, os três desfechos possíveis e o que a LGPD exige antes de qualquer bloqueio.
Por que a central de atendimento é o elo fraco da fraude, como funciona o roteiro do golpista e como desenhar re-verificação forte, scripts seguros e limites para ações sensíveis.
Como promoções de indicação e cashback criam incentivo ao multi-cadastro, por que deduplicar por CPF e e-mail não basta e como desenhar regras que cortam o abuso sem travar a conversão.
O roteiro do golpe da falsa central passo a passo, por que ele convence tanta gente e as contramedidas de produto que funcionam, do canal de retorno oficial ao MED do Pix.
A selfie segurando o RG virou praxe no cadastro brasileiro. O que essa foto comprova, o que ela é incapaz de comprovar, por que ela piora a biometria e qual desenho a substitui.
Numa página web, sem app instalado, o que dá para saber sobre o aparelho que preenche o cadastro, o que não dá de jeito nenhum, e por que rótulo isolado nunca deve reprovar sozinho.
A tela pede RG, a pessoa fotografa a CNH e o extrator devolve campo vazio. Como classificar o tipo de documento no servidor e por que a divergência sozinha nunca deve reprovar ninguém.
O IP é o sinal mais fácil de coletar e o mais fácil de interpretar errado. O que dá para afirmar com o WHOIS, o que o CGNAT destrói e por que confiar no X-Forwarded-For é um convite à fraude.
Phishing que clona a tela de KYC colhe selfie e documento da vítima. Os sinais que o usuário consegue checar, os deveres da empresa imitada e por que o material roubado alimenta os próximos ataques.
Anatomia da troca de chip, por que o código por SMS prova posse do número e não da pessoa, o que o NIST SP 800-63B classifica como restrito e como combinar canais sem matar a conversão.
Por que funis de onboarding atraem bots, o que o catálogo OWASP de ameaças automatizadas descreve, quais sinais o servidor enxerga e como montar defesa em camadas sem punir o usuário legítimo.
Impressão digital de dispositivo é dado pessoal e a LGPD se aplica: qual base legal sustenta o uso antifraude, que limites valem na prática e por que sinal de dispositivo não deve recusar sozinho.
Na fraude de primeira parte a identidade é verdadeira, então a verificação de cadastro passa. Veja os tipos que aparecem no Brasil, por que o KYC de abertura não a detém e quais sinais a revelam depois.
O MED devolve um Pix de golpe, mas só o que ainda está nas contas e nunca do terceiro de boa-fé. O rito vigente do Regulamento do Pix, o rastreio do MED 2.0, a marcação no DICT e a defesa na abertura.
O Banco Central autorizou instituições a trocar indícios de fraude entre si. O que a Resolução Conjunta CMN/BCB 6/2023 permite compartilhar, o que fica de fora, e como isso convive com o sigilo bancário e a LGPD.
Onde a lei brasileira exige barrar menores, por que a autodeclaração não vale nada e como documento, biometria e estimativa facial de idade se combinam num desenho honesto.
Prova de vida não é um modelo, é uma fusão de camadas, e cada uma tem preço em milissegundos de CPU por quadro. O orçamento aberto, com números publicados e medidos, e a lição de compra que vem junto.
Ligar cadastros por atributo compartilhado encontra quadrilha e também a família que divide o roteador. Por que o grafo colapsa num componente gigante e as três decisões que separam sinal de coincidência.
A conta laranja passa no cadastro porque a identidade é real. Os sinais da Carta Circular BCB 4.001, o que o MED do Pix devolve e não devolve, e a porta que a busca facial 1:N fecha.
O que um rosto sintético consegue contra a prova de vida, por onde ele entra no fluxo e por que defesa séria é em camadas. Com ISO/IEC 30107, as avaliações públicas do NIST e o alerta da Europol.
Contrafação, adulteração, documento verdadeiro nas mãos erradas: as quatro famílias de fraude documental, o que os artigos 297 a 304 do Código Penal tipificam e onde a detecção automatizada enxerga cada uma.
Reprovar cliente legítimo destrói conversão em silêncio. FMR e FNMR segundo a ISO/IEC 19795-1, os vieses documentados pelo NIST e o desenho de recaptura que devolve a segunda chance.
Como golpistas montam identidades misturando dados reais e inventados, por que cadastros ingênuos as aprovam e quais checagens em camadas desmontam o esquema.
Um mapa dos pontos de vazamento do cadastro digital, do dado declarado ao pós-aprovação: o que ataca cada etapa, qual controle fecha o furo e o que exigem a Lei 9.613/1998 e a Circular BCB 3.978/2020.
Como combinar sinais de verificação num score auditável: portões e pesos em vez de média opaca, o que o art. 20 da LGPD exige de decisões automatizadas e o que versionar para sobreviver a auditoria.
Bônus de boas-vindas e limites por usuário criam incentivo para a mesma pessoa abrir muitas contas. Como funciona a busca facial 1:N, o que dizem ISO/IEC 19795 e NIST, e os cuidados da LGPD.
Abrir conta com CPF alheio é crime tipificado e um dos ataques mais comuns contra onboarding digital. O que dizem os artigos 171 e 307 do Código Penal e onde a verificação quebra o golpe.
Câmera virtual e manipulação do fluxo de captura entregam vídeo falso direto ao software, fora do alcance da prova de vida. O que a ISO/IEC 30107 cobre, o que não cobre, e como se defender.
A perda com a fraude em si é só a primeira parcela. Multas da Lei 9.613/1998, sanções da LGPD, chargeback, revisão manual e falso positivo compõem a conta completa, item a item.
Ataques de apresentação são o jeito mais barato de fraudar biometria facial. O que a norma ISO/IEC 30107 define, como funciona a detecção e o que perguntar a quem vende liveness.
