Rede de fraude: por que ligar contas por IP e aparelho acusa família e escritório

Toda equipe de risco chega no mesmo lugar: um cadastro isolado quase nunca denuncia fraude organizada, mas a relação entre cadastros denuncia. Daí nasce a ideia de ligar contas por atributo compartilhado, o mesmo IP, o mesmo e-mail, o mesmo aparelho, o mesmo endereço, e olhar o que forma agrupamento. A primeira versão do painel costuma funcionar: aparece a quadrilha, dez contas abertas na mesma madrugada, do mesmo terminal, com o mesmo padrão de dados.

Na semana seguinte aparece o resto. A família de quatro pessoas que divide o roteador de casa. O escritório de contabilidade que abriu conta para trinta clientes do computador do balcão. O condomínio, a lan house, o hospital, a operadora inteira. Não é erro de implementação, é o comportamento esperado quando ninguém decide o que o modelo pode atravessar. Vale entender por que isso é estrutural, e quais três decisões separam sinal de coincidência.

O componente gigante come o painel

O modelo usual é um grafo com dois tipos de nó: o cadastro e a chave. Cada cadastro liga-se às chaves que apresentou, e dois cadastros ficam a dois passos quando compartilham uma chave. "Quem está ligado a quem" vira pergunta sobre componentes conexos.

É aí que a teoria de grafos dá o aviso. Em Networks, Crowds, and Markets (Easley e Kleinberg, Cambridge University Press, 2010), a seção 2.2 descreve o componente gigante, componente conexo que contém fração significativa de todos os nós, e observa que, quando ele existe, quase sempre existe apenas um: se houvesse dois, bastaria uma única aresta entre eles para fundir os dois num só.

Uma chave de grau altíssimo é essa aresta, multiplicada. Um IP de operadora com quinze mil cadastros pendurados não adiciona uma ligação, adiciona quinze mil, e emenda de uma vez populações que nada têm em comum. Depois disso, qualquer medida calculada por cima do grafo, tamanho de componente, distância, densidade, mede a chave lixo, não as pessoas. O painel não fica impreciso, fica ruído.

O IP não é quem você pensa que é

Entre as chaves fracas, o IP é a pior, e há norma explicando por quê. O RFC 6598 alocou o bloco 100.64.0.0/10 como espaço de endereçamento compartilhado, para numerar as interfaces entre o equipamento de tradução em escala de operadora, o CGN, e o equipamento na casa do assinante. O RFC 6888, que fixa os requisitos desses equipamentos, é direto na motivação: um endereço IPv4 público seria compartilhado por muitos assinantes.

A consequência prática está no texto do RFC 6888. Para identificar depois qual assinante estava atrás de um endereço, o registro precisa conter protocolo de transporte, identificador do assinante, endereço externo de origem, porta externa de origem e carimbo de tempo. O endereço sozinho não identifica ninguém, e o conjunto que identifica está com a operadora, não com você. O RFC 6598, por sua vez, lista entre os serviços prejudicados pelo CGN a geolocalização e o login simultâneo, dois sinais caros a times de risco.

A lei brasileira diz o mesmo. A Lei 12.965/2014, o Marco Civil da Internet, define no artigo 5º, inciso III, o endereço IP como o código atribuído a um terminal de uma rede para permitir sua identificação, e no inciso VI define registro de conexão pelas informações de data, hora e duração da conexão e pelo IP utilizado pelo terminal. O artigo 13 põe a guarda desse registro, por um ano e sob sigilo, com o administrador de sistema autônomo. Terminal, não pessoa, e o registro que amarra terminal a assinante fica com a operadora.

O aparelho é chave melhor que o IP, e ainda assim probabilística. O documento do W3C Mitigating Browser Fingerprinting in Web Specifications, Group Note de 25 de setembro de 2025, define superfície de impressão digital como o conjunto de características observáveis que, em conjunto, identificam um usuário, agente ou dispositivo, ou correlacionam sua atividade. Ele trata o IP como característica passiva e lembra que cerca de trinta bits de entropia bastariam para individualizar cada pessoa. Um identificador tirado do navegador pode carregar entropia de sobra ou quase nenhuma: padronização aumenta o conjunto de anonimato, e aparelhos comuns colidem entre si.

Três decisões que separam sinal de coincidência

Podar a chave de grau alto em vez de atravessá-la. Antes da travessia, calcule o grau de cada nó de chave e imponha um teto. Chave acima do teto não deixa de existir, deixa de ser ponte: segue registrada como atributo do cadastro, mas a busca não passa por ela. O teto não é constante universal, sai da distribuição de graus da sua própria base, sempre de cauda longa. Quem monta esse painel descobre que uma dezena de chaves responde por quase todas as ligações, e que removê-las como ponte devolve ao grafo a forma esperada.

Limitar o número de saltos. Distância em rede real é curta. O estudo de Leskovec e Horvitz sobre 240 milhões de contas ativas do Microsoft Instant Messenger, descrito na seção 2.3 do mesmo livro, encontrou componente gigante com quase todos os nós, distância média estimada de 6,6 e mediana de sete. Com essa geometria, três saltos já alcançam parcela enorme da base. Um salto é chave compartilhada direta, dois saltos são compartilhar chave com quem compartilha chave, e do terceiro em diante a resposta tende a ser a base inteira. Limite também o componente devolvido: quatro mil cadastros ligados não são evidência, são defeito.

Pesar a evidência por tipo de chave. Rosto repetido em busca um para muitos e documento repetido dizem que a pessoa é a mesma, ou que o documento foi reutilizado. Telefone e e-mail ficam no meio: são trocáveis, mas compartilhá-los é ato deliberado. IP e aparelho são ambientais, e ambiente compartilhado é o caso normal de família, escritório e coworking. Há uma armadilha cara aqui: chaves fracas são correlacionadas entre si. A mesma casa produz o mesmo IP, o mesmo aparelho e o mesmo endereço, e somar as três como evidências independentes conta o mesmo fato três vezes, transformando uma família em cartel. O peso é por família de chave, não por chave.

A norma brasileira já embute essa ressalva: a Carta Circular BCB 4.001/2020, que lista situações capazes de configurar indícios dos crimes da Lei 9.613/1998, cita o mesmo endereço residencial informado por pessoas naturais sem relação familiar ou comercial demonstrada, e o mesmo e-mail ou IP registrado por pessoas naturais sem justificativa razoável. A qualificação está escrita na norma: o indício não é o compartilhamento, é o compartilhamento sem explicação.

Rede é motivo de revisão, nunca recusa automática

O grafo produz hipótese, não veredito. A Lei 13.709/2018, no artigo 20 com a redação da Lei 13.853/2019, dá ao titular o direito de solicitar revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, e o parágrafo 1º obriga o controlador a informar com clareza os critérios e procedimentos usados, observados os segredos comercial e industrial. Recusa disparada por proximidade em grafo é o caso de manual desse artigo, e o caminho seguro é o do falso positivo em verificação: a rede vira motivo de revisão, com o fio da meada na mão do analista.

Falta a parte que quase todo mundo erra: o que volta na resposta da API. A tentação é devolver o IP, o e-mail e o documento que ligaram as contas, porque é o que o analista quer ver. Só que são dados de terceiros, e devolvê-los ao cliente é tratamento novo, sem necessidade, contra o artigo 6º, inciso III, da LGPD, que limita o tratamento ao mínimo necessário. Trocar o valor por um hash não resolve: o artigo 12 só tira o dado anonimizado do alcance da lei enquanto a anonimização não puder ser revertida com esforços razoáveis, e hash de e-mail é recomputável por quem tem o e-mail.

A resposta deve conter a forma da rede, não o conteúdo dela: que existe ligação, quantos cadastros, de que família de chave, com que força, e uma referência opaca que o analista abre num console com controle de acesso e auditoria. Na UNIFOKAL, por exemplo, é assim que tratamos a busca facial um para muitos, com limiar próprio e saída de revisão em vez de bloqueio. Rede de fraude existe e vale perseguir. O que não pode é chamar de rede o roteador da casa de alguém.

Fontes citadas

• Easley, D. e Kleinberg, J., Networks, Crowds, and Markets, Cambridge University Press, 2010, seções 2.2 e 2.3: cs.cornell.edu
• Leskovec, J. e Horvitz, E., estudo do Microsoft Instant Messenger, citado na seção 2.3 acima
• IETF, RFC 6598, espaço de endereçamento compartilhado: rfc-editor.org
• IETF, RFC 6888, requisitos comuns para CGN: rfc-editor.org
• W3C, Mitigating Browser Fingerprinting in Web Specifications, Group Note de 2025: w3.org
• Lei 12.965/2014, Marco Civil da Internet, artigos 5º e 13: legis.senado.leg.br
• Lei 13.709/2018, LGPD, artigos 6º, 12 e 20: legis.senado.leg.br
• Lei 13.853/2019, redação vigente do artigo 20 da LGPD: legis.senado.leg.br
• Carta Circular BCB 4.001/2020, indícios dos crimes da Lei 9.613/1998: in.gov.br