Tomada de conta: quando a fraude começa depois do cadastro aprovado
Como a tomada de conta difere da fraude de cadastro, os vetores que derrubam uma conta legítima e as defesas em camadas do NIST SP 800-63B.
O investimento antifraude costuma se concentrar na porta de entrada: documento, biometria, checagem cadastral, tudo para impedir que um impostor abra conta. A tomada de conta, o account takeover, abreviado como ATO, ataca outro momento da vida do cliente. A conta foi aberta pela pessoa certa, passou por todas as verificações com honestidade e funcionou normalmente por meses. Então, num dia qualquer, ela muda de mãos.
A distinção em relação à fraude de cadastro não é preciosismo de vocabulário, é o que define a defesa. Na fraude de cadastro, a conta nasce comprometida: o dado é de terceiro ou inventado, e o melhor lugar para barrar é o onboarding. Na tomada de conta, o onboarding não tem nada de errado para achar, porque quem se cadastrou era legítimo. O alvo do ataque é a credencial e a sessão, não o cadastro, e a vítima é justamente o seu melhor cliente: antigo, verificado, com saldo e com um histórico limpo que faz qualquer motor de regras relaxar.
Este texto percorre os vetores mais comuns, os sinais de que uma conta caiu e as defesas que funcionam em camadas, tendo como referência central o NIST (National Institute of Standards and Technology, o instituto de padrões e tecnologia dos Estados Unidos) e sua publicação SP 800-63B.
A conta é legítima, e é isso que muda tudo
Essa inversão tem consequências práticas. A primeira é que a detecção não pode morar só no onboarding: precisa viver no dia a dia da conta, observando comportamento, porque o cadastro em si nunca vai acusar nada. A segunda é o perfil do prejuízo. Na fraude de cadastro, quem perde primeiro é a empresa, em crédito concedido ou em cobrança contestada. Na tomada de conta, quem perde primeiro é o cliente, em saldo e em dados, e a empresa perde em seguida, em ressarcimento, em atendimento e na confiança que não volta.
A terceira é jurídica. No Brasil, a Lei 14.155/2021 endureceu as penas da invasão de dispositivo informático, o artigo 154-A do Código Penal (Decreto-Lei 2.848/1940), e criou a fraude eletrônica do artigo 171, parágrafo 2º-A, com reclusão de quatro a oito anos para o estelionato cometido com informação fornecida pela vítima ou por terceiro induzido a erro por meio eletrônico. E há uma quarta consequência, mais incômoda: o histórico limpo do cliente vira arma do atacante, porque motores de risco aprendem a confiar em contas antigas.
Os vetores: quatro caminhos até a credencial
Credential stuffing. A OWASP (Open Worldwide Application Security Project) define o ataque como a injeção automatizada de pares de usuário e senha roubados em formulários de login para obter acesso fraudulento a contas. Ele funciona porque as pessoas reutilizam senhas entre serviços: o atacante não adivinha nada, apenas reaplica credenciais vazadas de um serviço em centenas de outros. É por isso que o NIST SP 800-63B, na seção 5.1.1.2, exige que o verificador compare toda senha nova com listas de valores comprometidos em vazamentos anteriores: a senha que já vazou em qualquer lugar não protege em lugar nenhum.
Phishing. A página falsa colhe a senha e, nas versões atuais, também o código de uso único (OTP, one-time password), repassado em tempo real para o site verdadeiro. A vítima entrega os dois fatores acreditando estar no lugar certo.
SIM swap. A troca de chip transfere o número da vítima para o atacante e converte o SMS (Short Message Service) de recuperação em porta de entrada. É um vetor entre vários, não o ataque inteiro, e a anatomia dele já está detalhada em por que a troca de chip derrota o SMS.
Malware e acesso remoto. Programas ladrões de credencial exportam senhas e cookies de sessão salvos no navegador, e o cookie roubado dispensa até o login. Na variante por engenharia social, o falso atendente convence a vítima a instalar um aplicativo de acesso remoto, roteiro clássico do golpe da falsa central, e passa a operar a conta pelo aparelho dela.
Os sinais: a conta passa a se comportar como outra pessoa
Nenhum vetor é invisível depois que entra. O que muda é quem está do outro lado, e isso deixa rastro em três eixos.
O primeiro é o contexto de acesso: dispositivo nunca visto, endereço de IP (Internet Protocol) de rede diferente da habitual, horário fora do padrão daquele cliente. Cada um desses sinais, sozinho, é fraco: gente troca de celular, viaja e perde o sono. O segundo eixo é a sequência de ações. A assinatura clássica da tomada de conta é mudança de dado cadastral seguida de movimentação: troca de e-mail, de telefone ou de senha e, minutos depois, uma transferência atípica, um resgate, um pedido de crédito. O terceiro eixo é o conjunto: o mesmo dispositivo novo aparecendo em várias contas na mesma semana não é coincidência, é operação.
A leitura certa é a combinação com peso, não a regra isolada com gatilho. Na UNIFOKAL, por exemplo, a verificação de IP entra como um dos sinais de antifraude que compõem a avaliação de uma verificação: um peso entre outros, nunca um veredito.
As defesas: camadas, com um portão forte no fundo
A defesa contra tomada de conta é um empilhamento deliberado, em que cada camada cobre a falha da anterior.
- Senha checada contra vazamentos. A exigência da seção 5.1.1.2 do NIST SP 800-63B corta o credential stuffing na raiz: se a senha vazada não pode ser cadastrada, o replay dela não abre nada.
- MFA resistente a phishing. A autenticação multifator (MFA) por código digitável cai na página falsa, porque o código é copiável. A seção 5.2.5 do NIST SP 800-63B descreve a propriedade que resolve o problema, a resistência à personificação do verificador: o autenticador vincula a resposta ao canal autenticado da sessão, e uma resposta capturada por um site impostor não vale no site verdadeiro. Chaves de segurança e passkeys implementam isso. Como adotar o segundo fator sem travar a operação é assunto de MFA obrigatório sem trancar a equipe.
- Re-verificação por evento sensível. Troca de canal cadastrado, dispositivo novo, elevação de limite e transferência atípica merecem um degrau extra de prova no momento do evento, proporcional ao risco, e não um interrogatório permanente.
- Recuperação de conta tratada como porta principal. É onde o atacante converte um vetor em posse total. Recuperação séria reapresenta prova de identidade, com biometria facial e prova de vida diante da câmera, e nunca depende só de um código por SMS.
- Carência depois da mudança. Uma janela de espera entre trocar dispositivo ou canal e poder movimentar valores altos tira do atacante o insumo de que ele mais precisa: a velocidade.
Nenhuma camada é perfeita, e não precisa ser. O objetivo é obrigar o atacante a vencer todas ao mesmo tempo. Fraude de cadastro se vence na porta; tomada de conta se vence no corredor, com a conta inteira sob observação discreta e portões que só aparecem quando o risco aparece.