ATO (account takeover): como prevenir essa fraude
O cliente é real. O CPF foi validado. O documento passou pela análise. O onboarding funcionou.
Meses depois, a mesma conta transfere R$ 12 mil às três da manhã para um destinatário que nunca apareceu no histórico. O titular está dormindo, sem saber que perdeu o controle da própria conta.
Isso é account takeover. O ataque não mira a porta de entrada. Mira o que vem depois dela, quando todo o investimento em verificação de identidade já foi feito e a conta se tornou um ativo de confiança dentro do seu sistema.
O que é account takeover
Account takeover (ATO) é a fraude em que um criminoso assume o controle de uma conta legítima já existente, usando credenciais roubadas ou engenharia social, para movimentar essa conta em nome do titular verdadeiro.
Em português, o termo também aparece como tomada de conta ou invasão de conta. A sigla ATO é a mais usada em documentação técnica e relatórios de risco.
Por que o ATO exige uma defesa diferente
Account takeover costuma ser confundido com fraude de identidade, mas as duas coisas pedem respostas diferentes.
| Tipo de fraude | Quem é o titular | Quando acontece | O que falha |
| Account takeover | Pessoa real, vítima | Depois do cadastro | Controle de acesso |
| Identidade sintética | Identidade fabricada | No cadastro | Verificação de origem |
| Autofraude | O próprio titular | Na transação | Prova de autoria |
| Fraude de cartão | Pessoa real, vítima | Na transação isolada | Validação do meio de pagamento |
O que diferencia o ATO é o momento do ataque. Uma esteira de KYC pode estar tecnicamente perfeita e a perda acontece do mesmo jeito, porque a verificação de identidade responde a uma pergunta feita uma única vez: essa pessoa é quem diz ser no dia da abertura de conta? O account takeover explora exatamente a lacuna entre essa resposta e todos os acessos que vêm depois.
Como um ataque de account takeover se estrutura
O ataque raramente é executado por uma única pessoa. Existe divisão de trabalho entre quem obtém a credencial, quem contorna a autenticação e quem recebe o dinheiro no final.
Fase 1: obtenção da credencial
A origem costuma ser uma base de dados vazada, que não precisa ter vindo do seu sistema. Pode vir de qualquer serviço onde o usuário repetiu a mesma senha.
No credential stuffing, o fraudador testa de forma automatizada combinações de e-mail e senha vazadas contra outros serviços. Ele não tenta adivinhar nada, já tem a senha e está apenas procurando onde mais ela funciona. A taxa de sucesso por tentativa é baixa, mas o volume compensa: testar milhões de combinações produz um número relevante de acessos válidos.
Esse vetor é difícil de barrar porque a credencial usada está correta (o sistema não vê erro nenhum no login), o tráfego costuma vir distribuído por proxies residenciais, o que dilui o padrão por IP, e o volume de tentativas por conta é baixo, o que não aciona bloqueio por força bruta tradicional.
Fase 2: contorno da autenticação em duas etapas
Com a credencial validada, o próximo obstáculo é o segundo fator. No Brasil, o vetor mais comum ataca a camada de telefonia.
No SIM swap, o criminoso transfere o número da vítima para outro chip e passa a receber os códigos de verificação enviados por SMS. A Anatel endureceu a portabilidade numérica em agosto de 2023 justamente para reduzir esse tipo de fraude: desde então, o titular precisa confirmar a portabilidade por SMS em até seis horas, ou a solicitação é cancelada automaticamente.
A regra reduziu a portabilidade fraudulenta, mas não cobre pedidos de segunda via de chip nem engenharia social aplicada diretamente ao atendimento da operadora. Quando o segundo fator depende de um canal que o próprio setor reconhece como vulnerável, ele deixa de ser barreira e passa a ser apenas mais uma etapa a contornar.
Fase 3: engenharia social
Parte relevante das credenciais é entregue pela própria vítima. Isso acontece por phishing (páginas e e-mails falsos que capturam login e código de acesso em tempo real), vishing (ligação em que o criminoso se passa por um atendente e pede o token por voz), ou pelo chamado golpe do acesso remoto, em que a vítima é convencida a instalar um aplicativo de acesso remoto no próprio celular, permitindo que o fraudador opere a conta a partir do dispositivo legítimo.
Esse último caso é o mais difícil de detectar por sinal técnico isolado. Dispositivo conhecido, rede conhecida, padrão de digitação plausível: a conta foi tomada sem que nenhum dado de sessão mudasse de forma óbvia.
Fase 4: monetização
O dinheiro precisa sair e entrar em algum lugar. O destino costuma ser uma conta receptora aberta com identidade cedida ou fabricada, o que conecta diretamente o ciclo do account takeover ao ciclo da conta laranja.
Sinais de que uma conta foi comprometida
Nenhum sinal isolado prova ATO por conta própria. Cada um, sozinho, também aparece em situações legítimas. A decisão de risco nasce da combinação:
- Login a partir de dispositivo e localização sem histórico na conta
- Alteração de e-mail, telefone ou chave Pix seguida de transação em janela curta
- Sequência de tentativas de recuperação de senha
- Mudança abrupta no valor médio e no horário das operações
- Desativação de notificações push ou alertas por e-mail
- Beneficiário novo recebendo valor alto já na primeira transferência
O quinto sinal merece atenção especial. Desligar notificação, isolado, é uma ação de baixo risco. Quando antecede uma movimentação atípica, é o fraudador comprando tempo antes que a vítima perceba o que está acontecendo.
O impacto do account takeover na operação
A perda direta é a parte mais visível, e não é a maior. Segundo a Febraban, as perdas do sistema financeiro brasileiro com fraudes e golpes chegaram a R$ 10,1 bilhões em 2024, alta de 17% sobre o ano anterior.
Ao redor da perda direta, existem custos que aparecem depois: o ônus operacional de apurar cada disputa caso a caso, a exposição regulatória quando a instituição não demonstra controle adequado, o churn de clientes que raramente permanecem depois de ter a conta tomada, e a carga extra em atendimento, com chamados longos e de alta tensão emocional.
Camadas de proteção contra account takeover
Não existe controle isolado capaz de responder por todo o risco de ATO. A defesa funciona por sobreposição, com cada camada cobrindo o ponto cego da anterior.
Higiene de credenciais
Monitorar vazamentos e cruzar contra a base de usuários, bloqueando senhas já expostas e impedindo reuso, reduz o insumo do credential stuffing. Essa camada não impede o ataque por si só, mas reduz a matéria-prima disponível para ele.
Inteligência de dispositivo e comportamento
Esta é a camada que transforma um login tecnicamente válido em uma decisão de risco. Ela avalia integridade do dispositivo, geolocalização, reputação de conexão e padrão de comportamento, cruzando a pergunta certa: a credencial está correta, mas o contexto do acesso confere com o histórico dessa conta?
Deslocamentos geograficamente impossíveis (uma conta acessada em duas cidades distantes em um intervalo de tempo que nenhum meio de transporte cobre) são um dos sinais mais fortes dessa camada, especialmente quando combinados com mudança de dispositivo ou de padrão transacional.
Prova de identidade no acesso crítico
Senha valida o que a pessoa sabe. Token valida o que a pessoa possui. Os dois são transferíveis, seja por vazamento, seja por engenharia social. Biometria facial com prova de vida valida quem a pessoa é, no instante exato da ação, e por isso fecha uma lacuna que as camadas anteriores deixam aberta.
Aplicar essa camada como reautenticação (step-up) faz sentido em pontos específicos da jornada: transferência acima do limite de risco definido, alteração de dados cadastrais ou de chave Pix, contratação de crédito ou elevação de limite, e primeiro acesso a partir de um dispositivo desconhecido.
Essa camada só funciona se o liveness por trás dela for robusto. Sem certificação sólida contra fotos, vídeos, máscaras e deepfakes, a própria camada de prova de identidade vira um novo ponto de falha.
Inteligência sobre reincidência
As camadas anteriores olham para o titular da conta. Esta olha para quem está do outro lado, tentando identificar se aquele rosto ou aquele padrão de comportamento já apareceu antes, ligado a outra identidade ou outra conta.
O LegitID, da Legitimuz, cruza o rosto capturado contra uma base de milhões de faces únicas para detectar identidade sintética, contas duplicadas e tentativas de account takeover repetidas pelo mesmo operador fraudulento em diferentes contas.
O que a regulação brasileira já exige
A Resolução BCB nº 501/2025, que incluiu o art. 2º-A na Resolução BCB nº 142/2021, determina que instituições rejeitem transações destinadas a contas de depósito à vista, poupança e pagamento pré-pagas quando houver fundada suspeita de envolvimento em fraude, permitindo que essa avaliação use informações de bases de dados públicas ou privadas.
No campo penal, a Lei nº 15.397/2026, sancionada em maio de 2026, inseriu no Código Penal um tipo específico para a cessão de conta laranja, com pena de reclusão de um a cinco anos, e criou a figura do estelionato qualificado por fraude eletrônica, com pena de quatro a oito anos quando o golpe envolve clonagem de dispositivo. A norma também devolveu ao Ministério Público a titularidade da ação penal pública incondicionada para crimes digitais patrimoniais.
Na prática, isso significa que contar apenas com KYC de onboarding para provar diligência deixou de ser suficiente. A regulação já espera monitoramento contínuo, não verificação pontual.
O que fazer quando o account takeover já aconteceu
A resposta a um incidente de ATO segue uma sequência lógica: conter a sessão ativa e bloquear operações de saída na conta afetada, revalidar o titular por biometria com prova de vida (nunca por um canal que possa estar comprometido, como o mesmo número de telefone que sofreu o SIM swap), mapear a cadeia transacional para identificar as contas receptoras, comunicar o cliente e acionar os fluxos regulatórios aplicáveis, e registrar o padrão detectado para que a mesma tática não se repita em outra conta.
O ponto onde a maioria das operações falha é a revalidação. Devolver acesso por SMS a uma vítima de SIM swap simplesmente entrega a conta ao fraudador pela segunda vez.
Conheça as soluções Legitimuz
Account takeover é um risco pós-onboarding, e por isso exige validação contínua, não verificação única. O LegitDevice identifica comportamento fraudulento e sinais de risco no dispositivo antes mesmo de qualquer captura de câmera.
O LegitFace garante que a reautenticação em pontos críticos da jornada seja feita com prova de vida real, certificada contra fotos, vídeos, máscaras e deepfakes.
O LegitID cruza o rosto do usuário contra uma base de milhões de faces para identificar reincidência, contas duplicadas e tentativas de account takeover em andamento.
Quer blindar os acessos críticos da sua operação? Fale com um especialista da Legitimuz.
Leia também: