Onboarding digital e fraude de identidade, onde o funil vaza

Onboarding digital é o processo de transformar um desconhecido em cliente sem que ninguém se encontre pessoalmente. A cada ano ele se torna mais o caminho padrão: a Pesquisa Febraban de Tecnologia Bancária, conduzida com a Deloitte, registra edição após edição a migração das transações e das aberturas de conta para os canais digitais. Onde o cliente legítimo entra por uma porta, o fraudador tenta a mesma porta.

A boa notícia é que o cadastro digital não é uma muralha única que resiste ou cai: é um funil com etapas, e cada etapa tem um modo próprio de vazar e um controle próprio que o fecha. Mapear o funil etapa por etapa é a forma mais honesta de decidir onde investir, porque nenhum orçamento cobre tudo com a mesma força.

O quadro conceitual ajuda: a publicação NIST SP 800-63A, do instituto de padrões dos Estados Unidos, separa a prova de identidade em resolução (a identidade declarada existe e é única?), validação (as evidências apresentadas são genuínas?) e verificação (quem apresenta as evidências é o dono delas?). Cada vazamento do funil ataca um desses elos.

Etapa 1: o dado declarado

O funil começa com nome, CPF e data de nascimento digitados num formulário. O ataque mais comum aqui não exige técnica nenhuma: usar dados verdadeiros de outra pessoa, obtidos em vazamentos, como descreve o artigo sobre fraude com CPF de terceiro. Uma variação mais paciente combina dados reais com dados inventados para montar uma pessoa que não existe, a fraude de identidade sintética.

O controle desta etapa é a resolução: confrontar o que foi digitado com a fonte cadastral. CPF que não existe, nome que não bate com o CPF ou situação cadastral irregular derrubam o ataque antes de qualquer biometria. O que este controle não faz, sozinho, é provar que o dono do CPF é quem está digitando. Dado vazado é dado verdadeiro; por isso o funil continua.

Etapa 2: o documento

A etapa seguinte pede a foto de um documento de identidade. Aqui vazam os documentos falsificados, os adulterados digitalmente e os documentos verdadeiros de terceiros. O controle é a validação da evidência: conferir os elementos do próprio documento, extrair os campos por leitura automática e cruzar cada um com o que a etapa 1 declarou. Documento legítimo de terceiro passa na análise visual, mas denuncia o golpe no cruzamento, porque o CPF do documento não pertence a quem preencheu o formulário. O modelo novo de identidade brasileira facilita a checagem automatizada, como explica o artigo sobre CIN e RG legado, mas o parque de documentos antigos em circulação mantém essa etapa difícil por muitos anos.

Etapa 3: a selfie e a prova de vida

A selfie com prova de vida responde ao elo de verificação: o portador do documento está aqui, vivo, agora? É a etapa mais atacada em profundidade técnica: foto impressa, vídeo exibido em tela, máscara, rosto sintético e injeção direta do vídeo no software, cada um com sua contramedida, como detalha o artigo sobre deepfake em verificação remota. O controle é a comparação biométrica entre selfie e documento somada à detecção de ataque, e a lição de arquitetura é uma só: nenhuma dessas defesas basta isolada, elas funcionam como camadas.

Etapa 4: o canal de contato

E-mail e telefone parecem detalhe burocrático, mas são o canal por onde a conta será recuperada e avisada amanhã. Cadastro com canal não verificado é conta sequestrável. O controle é o código de uso único que prova posse do canal, com as limitações e os cuidados descritos no artigo sobre verificação por OTP.

Etapa 5: depois do sim

O vazamento menos visível acontece após a aprovação. A conta aberta com identidade legítima pode ser vendida ou emprestada para virar conta de passagem de dinheiro de terceiros, a chamada conta laranja, e a conta sintética amadurece meses antes de dar o golpe. Por isso a regulação não trata o cadastro como foto única: a Lei 9.613/1998 exige manter cadastros atualizados e comunicar operações suspeitas, e a Circular BCB 3.978/2020 obriga as instituições do perímetro do Banco Central a monitorar operações com prazos e dossiês formais, desenho que o artigo sobre a Circular 3.978 seção por seção percorre. A mesma circular, no artigo 23, veda iniciar a relação de negócio sem concluir a identificação: o funil não pode ser enfeite pós-venda.

O vazamento reverso: fechar demais

Há um segundo modo de perder dinheiro no funil, menos comentado: reprovar gente boa. Cada exigência adicional derruba conversão, e um limiar de risco apertado demais transforma clientes legítimos em falsos positivos. A orientação do GAFI, o Grupo de Ação Financeira Internacional, sobre identidade digital, publicada em 2020, aponta na direção certa: onboarding não presencial com identidade digital de garantia adequada não é automaticamente de risco alto. O ajuste fino entre os dois erros é decisão de negócio, tomada com número na mesa: quanto custa a fraude que passa e quanto custa o cliente que desiste. Quem nunca fez essa conta costuma descobrir, tarde, que o segundo número era o maior dos dois.

É o desenho que aplicamos na UNIFOKAL: cada etapa do funil como um módulo com resultado e motivo registrados, para que a decisão final seja auditável e o limiar seja escolha informada de quem opera, não caixa-preta de fornecedor.

Fontes citadas

• Lei 9.613/1998, artigos 10 e 11, disponível no portal do Planalto
• Circular BCB 3.978/2020, do Banco Central do Brasil, em especial o artigo 23 e os capítulos de monitoramento
• NIST SP 800-63A, Digital Identity Guidelines: Enrollment and Identity Proofing, do instituto de padrões dos Estados Unidos: pages.nist.gov
• FATF (GAFI), Guidance on Digital Identity, 2020
• Pesquisa Febraban de Tecnologia Bancária, da Federação Brasileira de Bancos com a Deloitte, sobre a digitalização dos canais bancários