Mulas financeiras e contas laranja: detecção pós-onboarding

Quase toda defesa de onboarding responde a uma pergunta só: essa pessoa é quem diz ser? A conta laranja responde "sim", com sinceridade. O documento é autêntico, o rosto é o do titular, a prova de vida passa, o cadastro está regular. Não há o que reprovar, porque não existe fraude de identidade ali. Existe uma pessoa real que combinou entregar a própria conta a terceiros, ou que foi convencida a isso.

O crime começa depois. Recursos de golpes ou de qualquer outra infração penal entram e saem em minutos, quebrados em várias contas, até o rastro ficar caro demais para percorrer. O mercado chama isso de conta laranja, a literatura internacional chama de mula financeira, e a defesa não está no cadastro, está no que vem depois dele. Este artigo cobre os padrões que denunciam a conta, o mecanismo que o Banco Central criou para devolver o dinheiro, e onde a verificação de identidade ainda fecha uma porta de entrada.

A conta laranja não é fraude de identidade

Vale separar três situações tratadas como uma só.

• Conta cedida: o titular abre a conta com os próprios documentos e entrega acesso, cartão ou chave Pix a terceiros, por dinheiro ou por promessa de trabalho. O cadastro é impecável.
• Conta aberta em nome de terceiro: alguém usa documento e dados de outra pessoa. É a fraude de identidade clássica, o que a verificação com biometria e documento barra.
• Conta tomada: a vítima perde o acesso por engenharia social ou malware. O titular é real e inocente, e a conta se comporta como mula sem que ele saiba.

Ceder a conta não é favor sem consequência. Movimentar, transferir ou ter em depósito valores provenientes de infração penal, para ocultar ou dissimular sua utilização, está no artigo 1º, parágrafo 1º, inciso II, da Lei 9.613/1998, com pena de reclusão de três a dez anos e multa, aumentada de um terço a dois terços quando o crime é reiterado ou praticado por organização criminosa. O golpe de origem costuma ser o estelionato do artigo 171 do Código Penal, na fraude eletrônica do parágrafo 2º-A, com reclusão de quatro a oito anos, incluída pela Lei 14.155/2021.

O que o recrutamento deixa no cadastro

O recrutamento é comercial: anúncio de renda fácil, oferta de aluguel de conta, falsa vaga que exige uma conta nova para receber pagamentos. Nenhum desses sinais aparece dentro de um cadastro isolado, e é assim que a norma brasileira os descreve.

A Carta Circular BCB 4.001/2020 divulga a relação de operações e situações que podem configurar indícios dos crimes da Lei 9.613/1998, para os procedimentos de monitoramento e seleção da Circular BCB 3.978/2020. Entre as situações de qualificação de clientes, ela cita o cadastramento de várias contas em uma mesma data, ou em curto período, com depósitos de valores idênticos ou aproximados, ou com outros elementos em comum, tais como origem dos recursos, procuradores, endereço ou telefone. Cita também o mesmo endereço residencial informado por pessoas naturais sem relação familiar ou comercial demonstrada, o mesmo e-mail ou IP registrado por pessoas naturais sem justificativa razoável, e a movimentação de contas por detentor de procuração.

A leitura prática é direta: o sinal de recrutamento é de coorte, não de indivíduo. Quem avalia cadastro por cadastro nunca vê a safra de contas irmãs que entrou na mesma semana.

Os padrões transacionais que denunciam a conta

A mesma Carta Circular descreve o comportamento da conta já aberta. Os itens que mais interessam:

• Movimentação incompatível com o patrimônio, a atividade econômica ou a capacidade financeira do cliente.
• Movimentação significativa em conta até então pouco movimentada, ou que acolha depósito inusitado, e movimentação de alto valor, de forma contumaz, em benefício de terceiros.
• Recebimento de créditos com o imediato débito dos valores, ou com imediata compra de instrumentos para transferências a terceiros, sem justificativa.
• Depósitos de diversas origens sem fundamentação econômica, especialmente de regiões distantes do domicílio da pessoa natural.

A norma cita ainda, entre as operações em espécie, os saques de conta que receba vários depósitos por transferência eletrônica de várias origens em curto período, a descrição literal do ponto em que o dinheiro sai do sistema.

Confirmada a suspeita, a Lei 9.613/1998, no artigo 11, inciso II, manda comunicar ao COAF em vinte e quatro horas, sem dar ciência do ato a qualquer pessoa, inclusive ao próprio cliente. Monitorar vira dever legal, não só boa prática, como já tratamos em KYC contínuo e na comunicação ao COAF.

O MED devolve dinheiro, ele não detecta fraude

A Resolução BCB 103, de 8 de junho de 2021, alterou o Regulamento do Pix e criou o Mecanismo Especial de Devolução, o MED, com efeitos a partir de 16 de novembro de 2021. O artigo 41-B o define como o conjunto de regras e procedimentos para devolver um Pix quando exista fundada suspeita do uso do arranjo para fraude, ou falha operacional de sistema de um participante.

O rito importa para quem opera risco. A devolução é iniciada pelo prestador de serviço de pagamento do recebedor, por conta própria ou por solicitação do prestador do pagador via DICT, e depende de autorização prévia e expressa do recebedor que contemple o bloqueio, em cláusula em destaque no contrato. Quando decorre de suspeita de fraude, fica condicionada à notificação de infração e implica bloqueio imediato do valor pedido, ou do saldo disponível se for menor. Toda devolução no Pix precisa ser iniciada em até noventa dias da transação original, e o recebedor pode pedir o cancelamento em trinta dias contados da comunicação. Os prazos máximos de bloqueio ficam no Manual Operacional do DICT.

Dois limites explicam por que o MED não substitui detecção. O parágrafo único do artigo 41-B deixa de fora as transações em que os recursos foram para a conta de um terceiro de boa-fé. E o MED só devolve o que ainda está na conta, sendo que a cadeia de mulas existe justamente para esvaziá-la antes disso. O valor recuperado é, na prática, função da velocidade com que a instituição percebe o problema.

O que a rede compartilha e a porta que o 1:N fecha

Nenhuma instituição enxerga a rede inteira sozinha, e a regulação assumiu isso. A Resolução Conjunta CMN/BCB 6/2023 obriga instituições financeiras, instituições de pagamento e demais autorizadas pelo Banco Central a compartilhar indícios de fraude por sistema eletrônico, com consentimento prévio e geral do cliente em cláusula de destaque no contrato. O registro precisa identificar quem teria executado a fraude e também a conta destinatária e seu titular, que é a conta laranja nomeada em norma. A Resolução BCB 343/2023 exige o registro em até vinte e quatro horas da identificação do indício e uma declaração de conformidade mensal até o dia 15, e a Resolução BCB 569/2026 estendeu o regime a ativos virtuais e a operadoras de apostas não autorizadas, com prazos em outubro e dezembro de 2026.

Falta a porta de entrada. A mula recrutada com identidade própria é invisível para a busca facial. Mas boa parte do laranja industrial não é essa: é o mesmo operador abrindo dezenas de contas com dados de pessoas diferentes, aparecendo na selfie de todas. A busca um para muitos compara o rosto da sessão contra a base já cadastrada e encontra a repetição que o documento esconde, o mesmo padrão de coorte que a Carta Circular descreve. As métricas da ISO/IEC 19795-1 e as avaliações de identificação do NIST deixam claro que essa busca exige limiar próprio, mais conservador que o da verificação, e que o resultado seja tratado como candidato a revisão, não veredito. Na UNIFOKAL, por exemplo, ela é um módulo do fluxo, com limiar separado do usado na comparação com o documento, tema detalhado na detecção de contas duplicadas.

O desenho final é simples. O cadastro amarra a conta a uma pessoa e barra o laranja industrial. O monitoramento transacional, com a lista da Carta Circular como ponto de partida, encontra a conta que virou mula depois. O MED e o compartilhamento de indícios reduzem o prejuízo e avisam o mercado. Tratar uma dessas camadas como suficiente é escolher que parte do prejuízo pagar.

Fontes citadas

• Lei 9.613/1998, artigos 1º e 11, texto consolidado no portal do Senado Federal: legis.senado.leg.br
• Lei 14.155/2021, que inseriu a fraude eletrônica no artigo 171, parágrafo 2º-A, do Código Penal: in.gov.br
• Carta Circular BCB 4.001/2020, operações e situações que podem configurar indícios: in.gov.br
• Circular BCB 3.978/2020, procedimentos de monitoramento e seleção citados na Carta Circular 4.001
• Resolução BCB 103/2021, que criou o Mecanismo Especial de Devolução no Pix: in.gov.br
• Resolução Conjunta CMN/BCB 6/2023, compartilhamento de indícios de fraude: in.gov.br
• Resolução BCB 343/2023, execução desse compartilhamento: in.gov.br
• Resolução BCB 569/2026, que estendeu o regime a ativos virtuais e a apostas não autorizadas: in.gov.br
• COAF, Conselho de Controle de Atividades Financeiras, portal oficial: gov.br/coaf
• ISO/IEC 19795-1, métricas de desempenho biométrico, e o programa público de avaliação facial do NIST, com trilha de identificação 1:N