O onboarding é o único momento em que a sua empresa decide, com informação incompleta, se uma pessoa é quem diz ser. Todo o resto do relacionamento é construído sobre essa decisão e é exatamente aí que a fraude mais sofisticada de 2026 escolheu atacar.
A fraude de identidade sintética não rouba a identidade de ninguém. Ela fabrica uma, que podem pertencer a uma ou mais pessoas, com informações fictícias, adulteradas ou obtidas de fontes públicas. Combina um dado real, tipicamente um CPF válido obtido em vazamento, com informações inventadas ou colhidas de fontes públicas.
O resultado é um cadastro que passa em quase todas as validações porque, tecnicamente, cada peça isolada está correta. O que não existe é a pessoa.
O tamanho do problema
Os números de 2025 e 2026 convergem para o mesmo diagnóstico
Em pesquisa da Veriff, o Brasil apresentou a maior taxa entre todos os mercados pesquisados de pessoas que já encontraram deepfakes online, com 80%.
A precisão de detecção humana ficou em 0,08 numa escala até 1,0, mal acima do acerto aleatório. Traduzindo: pedir para um analista “olhar o documento e ver se parece falso” deixou de ser um controle.
Como a identidade sintética é construídac
O ciclo tem quatro fases, e a lógica de cada uma explica por que a detecção falha.
A fase 3 é o que diferencia essa fraude de todas as outras. O fraudador não busca o ganho imediato. Ele alimenta o sistema com bom comportamento por meses, deixando que os próprios modelos de risco da empresa classifiquem a identidade como confiável.
Quando o colapso acontece, o alerta não dispara: o perfil tinha histórico impecável até a véspera.
Alvos preferenciais são CPFs de crianças e de idosos, justamente porque são números pouco movimentados e vulneráveis, cujo histórico ninguém acompanha. A fraude pode operar por anos antes de qualquer suspeita.
Por que o KYC tradicional não detecta
Processos de onboarding construídos entre 2018 e 2022 foram desenhados para um adversário diferente: alguém tentando se passar por outra pessoa real. Contra identidade sintética, cada controle clássico falha por um motivo específico.
Existe ainda uma falha estrutural, e é a mais importante de entender: não há vítima reclamando. Em fraude de identidade tradicional, a pessoa real percebe a conta aberta em seu nome e contesta. Isso gera o sinal que alimenta a detecção. Na fraude sintética, a identidade não pertence a ninguém, então nada retorna.
A perda entra na contabilidade como inadimplência comum, não como fraude, e o modelo nunca aprende a reconhecer o padrão.
Muitas empresas têm taxa de fraude sintética maior do que imaginam. Elas simplesmente estão classificando o prejuízo na conta errada.
Os controles que funcionam
A resposta não é adicionar mais uma checagem à esteira. É mudar a pergunta que o onboarding faz. Em vez de “esses dados são válidos?”, passa a ser “essa identidade tem existência verificável ao longo do tempo e coerência entre canais?”.
A camada 7 merece destaque. Identidades sintéticas raramente vêm sozinhas: são produzidas em lote, e lotes compartilham fragmentos, como um telefone reaproveitado ou um padrão de endereço. Isoladamente, cada cadastro passa. Vistos como grafo, formam um agrupamento que nenhuma população legítima produziria.
Já a camada 8 muda a natureza do controle: onboarding deixa de ser um portão e vira processo contínuo, o que permite interceptar a fase de colapso.
O ponto cego regulatório: seus controles antifraude também são tratamento de dados sensíveis
Aqui está o que a maioria dos projetos de antifraude esquece, e o que costuma aparecer como não conformidade em auditoria.
Biometria facial, biometria de voz e análise comportamental biométrica são dados pessoais sensíveis pela LGPD (art. 5º, II). Isso significa que a base legal do legítimo interesse, tão usada em projetos de segurança, não está disponível: o art. 11 não a contempla.
A base correta existe e é específica. O art. 11, II, alínea “g”, autoriza o tratamento de dados sensíveis para garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos previstos no art. 9º e exceto quando prevalecerem direitos e liberdades fundamentais do titular.
Ou seja: a lei permite biometria no onboarding, mas sob condições. Na prática, isso exige quatro coisas.
Esse último ponto é o mais negligenciado. Ao contratar uma plataforma de verificação de identidade, sua empresa passa a compartilhar dados sensíveis de todos os candidatos a cliente com um terceiro.
Se esse fornecedor sofrer um incidente, a responsabilidade não desaparece. Estruturamos essa frente em gestão de fornecedores e LGPD.
E o cenário está prestes a ficar mais exigente. A ANPD colocou o tratamento de dados biométricos no item 5 da Agenda Regulatória 2025-2026 (Resolução CD/ANPD nº 23/2024), realizou tomada de subsídios em 2025 e analisou 1.594 contribuições enviadas por 88 participantes, com previsão de concluir as regras ao longo de 2026.
A diretora Miriam Wimmer chegou a falar em banalização do uso de dados biométricos. Quem estruturar governança agora chega na regulamentação com o dever de casa feito. Acompanhe também o Mapa de Fiscalização da ANPD para 2026-2027.
Vale lembrar o custo de errar: coleta de biometria sem base legal adequada sujeita a empresa às sanções do art. 52, incluindo multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Perguntas Frequentes
É uma identidade fabricada que combina um dado real (geralmente um CPF válido obtido em vazamento) com informações inventadas ou colhidas de fontes públicas, como nome, endereço e fotos de redes sociais. O resultado é um cadastro que passa nas validações tradicionais, mas não corresponde a nenhuma pessoa real.
Porque cada dado isolado é tecnicamente válido: o CPF existe, o documento tem layout correto, a selfie mostra um rosto humano. Os controles clássicos foram desenhados para identificar alguém se passando por outra pessoa real, não para detectar uma pessoa que simplesmente não existe. Além disso, não há vítima reclamando, então o sinal que alimenta a detecção nunca chega.
O setor financeiro concentra 6 em cada 10 ocorrências de fraude de identidade no Brasil, segundo a Serasa Experian. Qualquer empresa que faça onboarding digital em volume (fintechs, bancos, seguradoras, marketplaces) é alvo potencial, especialmente se depende apenas de validação cadastral e checagem documental.
Sim. Biometria facial é dado pessoal sensível, e a base legal correta é o art. 11, II, “g” da LGPD (prevenção à fraude em processos de identificação e autenticação eletrônica), não o legítimo interesse. Na prática, isso exige registro correto da base legal, elaboração de RIPD, transparência ao titular e governança dos fornecedores de KYC e biometria que atuam como operadores de dados.
O grafo de identidade (camada 7). Identidades sintéticas são produzidas em lote e compartilham fragmentos, como telefones reaproveitados ou padrões de endereço. Isoladamente cada cadastro passa, mas quando visualizados em rede formam agrupamentos que nenhuma população legítima produziria. Combinado ao monitoramento contínuo pós-onboarding, é a defesa mais robusta contra esse tipo de fraude.
O que fazer a seguir
Fraude de identidade sintética não se resolve comprando uma ferramenta. Ela explora a lacuna entre o que a empresa valida e o que a empresa realmente sabe sobre quem está do outro lado. Fechar essa lacuna exige camadas de verificação e, principalmente, governança que sustente tudo isso sem criar um novo risco regulatório no caminho.
Na DataGuide, atuamos nas duas pontas dessa equação: a estrutura de segurança da informação que sustenta os controles e a governança de privacidade que os torna defensáveis perante a ANPD.
- DPO as a Service: base legal, RIPD de operações biométricas, governança de fornecedores e resposta a incidentes.
- GAP Analysis: diagnóstico da jornada de onboarding, do formulário à retenção, com plano de ação priorizado por risco.
- ISO/IEC 27001 e 27701: evidência auditável dos controles, cada vez mais exigida em contratos e due diligence.
- Pentest: teste de intrusão nas aplicações e APIs de cadastro.
Se sua operação faz onboarding digital em volume, o primeiro passo é descobrir quanto da sua perda atual está classificada na conta errada. Fale com um especialista da DataGuide.
