Fraude de primeira parte, quando o próprio cliente é o golpista

A maior parte do esforço antifraude parte de um pressuposto: o golpista usa a identidade de outra pessoa. Documento roubado, dado vazado, rosto de terceiro. Esse pressuposto orienta a verificação de identidade inteira, que existe justamente para responder uma pergunta, a pessoa é quem diz ser. Só que há uma família inteira de golpe em que a resposta a essa pergunta é sim, e a fraude acontece mesmo assim.

É a fraude de primeira parte, expressão que traduz o termo em inglês first-party fraud: aquela em que o próprio titular, com o próprio nome, o próprio documento e o próprio rosto, age de má-fé. Ninguém teve a identidade roubada. Quem abre a conta, faz a compra ou pede a devolução é exatamente a pessoa que os dados dizem ser. Por isso ela é traiçoeira: a defesa desenhada para pegar impostor não dispara, porque não há impostor.

Este artigo explica o que é fraude de primeira parte, como ela se separa das outras, quais formatos aparecem com mais frequência no Brasil, por que a verificação de abertura não a impede e quais sinais a denunciam depois. O fio condutor é um só: quando a identidade é verdadeira, a defesa muda de lugar.

Primeira parte, terceiro e sintética

Vale fixar as três categorias, porque elas exigem controles diferentes. A fraude de terceiro é a clássica: alguém usa a identidade de uma vítima real, sem o conhecimento dela. A fraude de identidade sintética monta uma pessoa que não existe, combinando dados reais e inventados até formar um cadastro que passa por gente. A fraude de primeira parte não faz nem uma coisa nem outra: usa uma identidade genuína, a do próprio autor, e mente sobre a intenção ou sobre um fato, não sobre quem é.

A consequência prática é direta. Contra terceiro e contra sintética, confirmar a identidade ajuda muito, porque o golpe depende de uma identidade que não se sustenta. Contra primeira parte, confirmar a identidade não resolve, porque a identidade se sustenta perfeitamente. O que falha não é o cadastro, é o comportamento posterior, e é para ele que o olhar precisa migrar.

Os formatos que aparecem no Brasil

A fraude de primeira parte tem vários rostos, e a maioria já tem nome jurídico ou operacional por aqui.

O primeiro é a autofraude no pedido de devolução. No Pix, o Banco Central criou o Mecanismo Especial de Devolução (MED) pela Resolução BCB nº 103, de 2021, para que a vítima de um golpe possa pedir de volta o valor enviado. A autofraude é a inversão disso: a pessoa faz uma transferência real, para um conhecido ou para uma conta própria, e depois abre a notificação de infração alegando ter sido enganada, para receber o valor de volta e ficar com os dois lados. É o mesmo desenho de conta laranja pelo avesso, e o artigo sobre Pix, MED e conta laranja descreve o mecanismo de devolução que o golpe explora.

O segundo é o estorno de má-fé, o chamado chargeback fraudulento. O titular faz uma compra legítima com o próprio cartão, recebe o produto ou o serviço, e depois contesta a cobrança como se não a reconhecesse, para ficar com o bem e com o dinheiro. Como o cartão é dele e a compra foi feita por ele, nenhuma verificação de identidade no momento da compra flagra a intenção, que só se revela na contestação posterior.

O terceiro é a construção para o calote, conhecida pelo termo bust-out. A pessoa abre o relacionamento com dados verdadeiros, comporta-se de forma exemplar por meses, constrói limite e reputação, e num dado momento saca ou gasta tudo o que consegue e desaparece. O histórico de crédito, disciplinado no Brasil pela Lei 12.414/2011, a lei do Cadastro Positivo, é o mesmo que a fraude usa a favor dela: um bom histórico, construído de propósito, é a isca.

O quarto é a mentira sobre um fato declarado, tipicamente renda ou finalidade. A identidade está correta, mas a informação que sustenta a decisão de risco é falsa, o que contamina limite, elegibilidade e classificação de cliente sem que exista qualquer sinal de documento adulterado.

Por que o KYC de abertura não a detém

O ponto que precisa ficar claro é este: verificar identidade na porta é necessário e não é suficiente contra fraude de primeira parte, por definição. A verificação confirma que o documento é autêntico, que o rosto bate e que o cadastro corresponde a uma pessoa real. Tudo isso é verdade na fraude de primeira parte. A prova de vida passa, o batimento facial passa, a consulta cadastral passa, porque nada ali é falso.

O erro comum é concluir, disso, que a verificação de identidade não serve. Serve, e muito, contra as outras duas famílias, que são a maioria do volume. O erro real é tratar a aprovação na abertura como um selo permanente de confiança. A fraude de primeira parte mora no tempo, no que a pessoa faz depois de entrar, e é por isso que o KYC contínuo existe: cadastro é foto, comportamento é filme, e o golpe de primeira parte só aparece no filme.

Os sinais que a revelam depois

Se a identidade não denuncia, o que denuncia é o padrão. Alguns sinais são estruturais e independem de acusar a pessoa de nada na entrada.

Reincidência é o mais forte. A mesma pessoa que já pediu devolução três vezes, ou já contestou compras que recebeu, deixa um rastro que só aparece se a plataforma guardar memória do comportamento e não apenas do cadastro. Uma blocklist da própria empresa, alimentada por quem já agiu de má-fé, é a materialização dessa memória, e barra o retorno do mesmo autor mesmo quando ele volta com dados igualmente verdadeiros.

Velocidade e concentração ajudam: uma conta que constrói limite e o esgota num intervalo curto, ou um mesmo aparelho por trás de vários cadastros distintos, desenham o bust-out e a operação coordenada antes do prejuízo fechar. E há a ligação por atributo compartilhado, quando cadastros formalmente distintos convergem para o mesmo dispositivo, a mesma conta de saída ou o mesmo destino, que é sinal de rede a investigar, não prova de culpa a aplicar sozinha.

O nome que a lei dá

A fraude de primeira parte não é só um problema de risco, é crime quando envolve enganar para obter vantagem. O estelionato está no artigo 171 do Código Penal, o Decreto-Lei 2.848/1940: obter vantagem ilícita, em prejuízo alheio, induzindo alguém a erro mediante ardil. A autofraude e o estorno de má-fé se encaixam nessa descrição, porque a vantagem vem exatamente de induzir a instituição a erro sobre um fato. A Lei 14.155/2021 acrescentou o parágrafo 2º-A ao artigo 171, a fraude eletrônica, com pena maior quando o golpe usa meio eletrônico, informação fornecida pela vítima ou terceiro induzido a erro. Nomear o crime importa porque orienta a resposta: registro de evidência, comunicação quando cabível e uma trilha que reconstrua o que aconteceu.

Onde o desenho encontra o produto

O resumo operacional é que a verificação de identidade e a defesa contra fraude de primeira parte trabalham em camadas diferentes, e confundir as duas custa caro. A primeira responde quem é a pessoa. A segunda observa o que a pessoa faz ao longo do tempo. Na UNIFOKAL, por exemplo, a verificação de identidade confirma o titular na entrada, e a blocklist da própria empresa somada à busca de duplicatas um para muitos impedem que quem já agiu de má-fé volte com o mesmo rosto sob um cadastro novo, ainda que os dados sejam verdadeiros. É uma peça da defesa, não a defesa inteira: a decisão sobre limite, sobre estorno e sobre bloqueio segue com quem carrega o risco e vê o comportamento completo. Contra fraude de primeira parte, a pergunta deixa de ser a pessoa é quem diz ser, e passa a ser a pessoa está fazendo o que combinou.

Fontes citadas

• Código Penal, Decreto-Lei 2.848/1940, artigo 171, estelionato, e o parágrafo 2º-A, fraude eletrônica, sobre a obtenção de vantagem ilícita mediante indução a erro
• Lei 14.155/2021, que alterou o Código Penal e aumentou a pena de crimes patrimoniais praticados por meio eletrônico, incluindo a fraude eletrônica do artigo 171
• Resolução BCB nº 103, de 2021, do Banco Central do Brasil, que criou o Mecanismo Especial de Devolução (MED) no âmbito do Pix, mecanismo explorado pela autofraude
• Lei 12.414/2011, do Cadastro Positivo, alterada pela Lei Complementar 166/2019, sobre a formação do histórico de crédito que o golpe de construção para o calote usa a favor