Fraude com CPF de terceiro, como o golpe funciona e como é barrado

O roubo de identidade mais praticado no Brasil não envolve nenhuma técnica sofisticada: é usar o CPF e os dados de uma pessoa real para abrir conta, contratar crédito ou movimentar dinheiro em nome dela. A vítima costuma descobrir meses depois, pela negativação ou pela cobrança de uma dívida que nunca contraiu. Para a empresa que aceitou o cadastro, o prejuízo vem em três parcelas: a perda financeira direta, o custo de tratar a contestação e a exposição legal por ter aberto a porta.

Este artigo descreve o golpe do ponto de vista de quem precisa barrá-lo: quais dados o fraudador tem, o que a lei diz, e em que ponto exato do fluxo cada defesa atua.

O que o fraudador tem na mão

O ponto de partida do golpe é a disponibilidade de dados pessoais vazados. Nome completo, CPF, data de nascimento, nome da mãe e endereço circulam em bases vendidas ilegalmente, alimentadas por anos de vazamentos de fontes diversas. Isso significa uma premissa de desenho que separa sistemas ingênuos de sistemas sérios: saber os dados de alguém não prova ser essa pessoa. Um formulário que valida apenas se o CPF existe e se o nome bate com a base da Receita Federal confirma que o fraudador copiou direito, nada mais.

Com os dados em mãos, as variantes clássicas do ataque são três. Na mais simples, o fraudador preenche o cadastro com os dados da vítima e um documento falsificado ou adulterado digitalmente. Na segunda, apresenta documento verdadeiro de terceiro, obtido por furto ou vazamento de imagem, e tenta passar pela biometria com foto ou vídeo da vítima. Na terceira, o alvo é a conta laranja: a pessoa cujo nome consta no cadastro participa, vendendo ou alugando a própria identidade para receber dinheiro de origem ilícita.

O que a lei diz

O uso de identidade alheia para obter vantagem é crime em mais de um tipo penal. O estelionato, artigo 171 do Código Penal, pune obter vantagem ilícita em prejuízo alheio induzindo alguém em erro; desde a Lei 14.155/2021, o parágrafo 2º-A do mesmo artigo tipifica a fraude eletrônica, cometida com uso de informações fornecidas pela vítima ou por terceiro induzido a erro por redes sociais, contatos telefônicos ou correio eletrônico fraudulento, com pena de reclusão de quatro a oito anos. Atribuir-se falsamente identidade alheia para obter vantagem é o crime de falsa identidade do artigo 307, e inserir declaração falsa em documento para alterar a verdade sobre fato juridicamente relevante é a falsidade ideológica do artigo 299. A falsificação material de documento público está nos artigos 297 e seguintes.

Do lado da vítima, o Banco Central mantém o Registrato, sistema público em que qualquer cidadão consulta as contas, chaves Pix e operações de crédito vinculadas ao seu CPF, e a Receita Federal oferece a consulta da situação cadastral do CPF. São os canais oficiais por onde as vítimas descobrem e documentam o uso indevido do próprio nome.

Do lado das instituições, a preocupação regulatória com fraude em cadastro é explícita: a Resolução Conjunta CMN/BCB 6/2023 criou a obrigação de compartilhamento, entre instituições financeiras e de pagamento, de dados e informações sobre indícios de ocorrência ou tentativa de fraude, exatamente para que o fraudador barrado numa instituição não recomece limpo na seguinte.

Onde cada defesa atua no fluxo

Pensando o onboarding como uma sequência, cada variante do golpe é quebrada por uma checagem específica:

1. Validação cadastral na fonte: o CPF existe, está regular, e os dados batem com a base oficial. Barra erro e cadastro de fantasia, mas não barra o fraudador com dados corretos da vítima.
2. Análise do documento: o documento apresentado é autêntico? Adulterações de fotografia, fonte tipográfica e campos variáveis são detectáveis por análise de imagem. Barra o documento montado.
3. Comparação facial: a pessoa da selfie é a mesma da foto do documento. É aqui que morre a variante mais comum, dados da vítima com o rosto do fraudador, porque o rosto não bate.
4. Prova de vida: a selfie veio de uma pessoa presente, não de uma foto da vítima exibida em tela. Sem essa camada, a comparação facial é contornável com uma imagem pública do rosto da vítima.
5. Sinais de risco da sessão: dispositivo, comportamento e procedência da captura. É a camada que encarece o ataque em escala, inclusive contra quem tenta injetar vídeo sem câmera.

A ordem importa porque o custo do ataque cresce a cada degrau. Dados vazados custam centavos; um documento falso convincente custa mais; enganar comparação facial com prova de vida exige rosto parecido ou técnica de outro nível; e fazer tudo isso em escala, muitas vezes, é o que separa a fraude artesanal da industrial. O objetivo econômico do desenho de verificação é empurrar o fraudador para degraus onde o ataque deixa de compensar. Em fluxos como os da UNIFOKAL, essas camadas rodam juntas numa única verificação, e a decisão sai com a trilha de qual checagem barrou o quê.

O caso que a biometria não resolve sozinha

A conta laranja merece nota separada, porque nela a identidade é verdadeira: documento legítimo, rosto legítimo, prova de vida aprovada. A pessoa é real e está cooperando com o esquema. As defesas aqui são de outra natureza: análise de risco cadastral e comportamental, triagem de listas, monitoramento de movimentação após a abertura, e os mecanismos de compartilhamento de indícios entre instituições criados pela Resolução Conjunta 6/2023. Nenhum fornecedor de verificação honesto promete que biometria elimina laranja; o que a verificação forte faz é garantir que a identidade registrada é real e rastreável, o que muda o cálculo de quem empresta o nome, porque a trilha aponta para ele.

Para a empresa, a lição estrutural é simples de enunciar: cada camada barra uma variante específica do golpe, e a segurança do conjunto é a do degrau mais fraco que o fraudador conseguir escolher como caminho.

Fontes citadas

• Código Penal, Decreto-Lei 2.848/1940, artigos 171, 297, 299 e 307, disponível no portal do Planalto: planalto.gov.br
• Lei 14.155/2021, que criou a figura da fraude eletrônica no artigo 171, parágrafo 2º-A
• Registrato, do Banco Central do Brasil, sistema de consulta cidadã a contas e operações vinculadas ao CPF
• Consulta de situação cadastral do CPF, da Receita Federal do Brasil
• Resolução Conjunta CMN/BCB 6/2023, sobre compartilhamento de dados de indícios de fraude entre instituições