LegitFace: como fintechs brasileiras reduzem fraude no onboarding digital sem perder conversão
O LegitFace é a tecnologia de verificação de vivacidade biométrica da Legitimuz que confirma, em segundos e sem exigir gestos, que existe uma pessoa real diante da câmera no onboarding digital, barrando fotos, vídeos, máscaras, deepfakes e imagens injetadas no aplicativo.
Para uma fintech, o onboarding é o momento mais sensível da relação com o cliente. É ali que o fraudador tenta abrir contas com identidades roubadas ou sintéticas, e é ali também que o cliente legítimo decide se continua ou abandona o cadastro.
Neste guia, você entende onde a fraude entra no onboarding, como o LegitFace protege cada etapa, como ele apoia as obrigações de KYC e AML e por que segurança e conversão podem andar juntas na abertura de contas.
Em resumo
- O LegitFace usa liveness passivo: o usuário só enquadra o rosto, sem piscar ou virar a cabeça.
- Duas camadas atuam juntas: PAD contra ataques de apresentação e IAD contra ataques de injeção.
- É o único do setor com a combinação iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3 e BixeLab IAD.
- Mantém menos de 1,33% de reprovação de usuários legítimos em produção.
- Foi treinado para a diversidade do público brasileiro e funciona em aparelhos antigos e redes 3G.
Onde a fraude entra no onboarding de uma fintech
O onboarding digital concentra a maior parte das tentativas de fraude de identidade porque é o ponto em que uma conta nasce. Uma conta aprovada com identidade falsa vira canal para golpes, lavagem de dinheiro e prejuízo de crédito.
Identidade roubada
O fraudador usa dados reais de outra pessoa, obtidos em vazamentos, e tenta passar pela selfie com uma foto ou vídeo da vítima. Sem liveness, o sistema compara o rosto da foto com o documento e aprova.
Identidade sintética
A identidade sintética mistura dados reais e inventados, como um CPF verdadeiro com nome, foto e endereço falsos. Ela é criada para parecer um cliente novo e legítimo, e muitas vezes só é descoberta quando o prejuízo já aconteceu.
Deepfake e ataques de injeção
A inteligência artificial generativa permite trocar um rosto em tempo real durante a captura. Esse conteúdo costuma chegar ao aplicativo por injeção, com câmeras virtuais e emuladores que inserem a imagem diretamente no fluxo, sem passar pela câmera física.
Segundo análise da DuckDuckGoose sobre liveness e detecção de deepfakes, um relatório do Cybercrime Atlas, do Fórum Econômico Mundial, publicado em janeiro de 2026, mostra que criminosos já combinam documentos gerados por IA, troca de rosto e injeção de câmera em um mesmo ataque.
Contas laranja
Parte das contas abertas no onboarding existe apenas para receber e pulverizar dinheiro de golpes. Barrar essas contas na entrada reduz o risco regulatório e o uso da fintech como canal de lavagem.
O que é o LegitFace e como funciona o liveness passivo
The LegitFace é a tecnologia proprietária de liveness da Legitimuz. Ele responde a uma pergunta que vem antes de qualquer reconhecimento facial: essa selfie veio de uma pessoa viva, presente diante da câmera, no momento da captura?
O reconhecimento facial compara um rosto com outro. O liveness garante que o rosto analisado é legítimo. Sem essa camada, todas as etapas seguintes do onboarding trabalham com um dado contaminado.
Liveness ativo e liveness passivo
O liveness ativo pede que o usuário pisque, sorria, vire a cabeça ou siga um ponto na tela. Essa abordagem perdeu força com os deepfakes em tempo real, capazes de responder a desafios de movimento, e ainda aumenta o abandono no cadastro.
O liveness passivo faz a verificação sem pedir gestos. O LegitFace segue essa linha: o usuário enquadra o rosto, e o sistema identifica em segundos os sinais que diferenciam um rosto real de uma reprodução, com a mesma robustez da abordagem ativa e menos fricção.
Duas perguntas, duas camadas
Em cada captura, o LegitFace responde a duas perguntas:
- Existe uma pessoa real diante da câmera? A camada PAD (Presentation Attack Detection) identifica fotos, vídeos e máscaras.
- A imagem realmente veio da câmera do dispositivo? A camada IAD (Injection Attack Detection) detecta câmeras virtuais, emuladores e imagens inseridas por software.
As duas camadas atuam juntas. Quem tenta contornar uma esbarra na outra.
Para um aprofundamento técnico, veja o guia completo sobre o LegitFace.
O que o LegitFace faz em cada etapa do onboarding
No onboarding de uma fintech, o LegitFace atua junto com as outras soluções da Legitimuz, formando uma verificação em camadas.
1. Captura da selfie
O usuário enquadra o rosto e a captura acontece automaticamente, sem tocar em botão. Instruções faladas em português orientam cada etapa, o que reduz erros e tentativas repetidas.
2. Prova de vida
As camadas PAD e IAD analisam a captura e confirmam que há uma pessoa real presente e que a imagem veio da câmera do dispositivo. Fotos, vídeos, máscaras, deepfakes e imagens injetadas são barrados aqui.
3. Conferência com o documento
The LegitDoc verifica a autenticidade do documento, incluindo CNH Digital e CIN Digital. O rosto validado pelo LegitFace é comparado com a foto do documento.
4. Checagem de identidade única
The LegitID faz a busca 1:N em uma base de milhões de faces. Se o mesmo rosto aparece em cadastros com CPFs diferentes, a fintech identifica identidade sintética ou conta duplicada antes da aprovação.
5. Contexto e background
The LegitDevice analisa mais de 60 sinais do dispositivo por sessão, como VPN, proxy, Tor e multicontas. O LegitCheck completa a análise com consultas de CPF, PEP, PLD/FTP, sanções e processos judiciais.
Essa combinação responde ao tipo de ataque coordenado que mistura documento falso, rosto manipulado e dispositivo adulterado.
Como o LegitFace apoia KYC e AML
Fintechs e bancos digitais precisam conhecer o cliente (KYC) e prevenir a lavagem de dinheiro e o financiamento do terrorismo (AML, ou PLD/FT). As duas obrigações começam pela mesma base: saber, com segurança, quem está abrindo a conta.
Identificação confiável desde o primeiro acesso
As normas de PLD/FT do Banco Central, como a Circular BCB nº 3.978/2020, exigem procedimentos para identificar e qualificar clientes. O liveness garante que a pessoa identificada no cadastro é real e é a dona do documento apresentado, o que dá sustentação a todo o processo de KYC.
Autenticação forte em operações sensíveis
A Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025, em vigor desde 1º de março de 2026, reforçam a exigência de autenticação multifator. A biometria facial com liveness é um dos fatores mais robustos para essas jornadas, porque depende da presença física do titular.
Rastreabilidade para auditoria
Cada verificação gera um registro da decisão. Isso ajuda a fintech a demonstrar, em auditorias e fiscalizações, que adotou controles adequados no onboarding.
Proteção dos dados biométricos
A biometria é dado pessoal sensível pela LGPD. A Legitimuz é certificada em ISO 27001, norma internacional de gestão de segurança da informação, o que garante processos maduros de proteção dos dados tratados na verificação.
Segurança sem perder conversão na abertura de contas
Toda área de risco conhece o dilema: regras rígidas barram fraudadores, mas também afastam bons clientes. Regras permissivas aumentam a conversão, mas abrem espaço para a fraude. O LegitFace foi desenhado para reduzir as duas pontas ao mesmo tempo.
Menos de 1,33% de reprovação de legítimos
Em produção, o LegitFace mantém menos de 1,33% de reprovação de usuários legítimos. Cada cliente aprovado na primeira tentativa é um custo de aquisição que vira conta ativa.
Menos passos, menos abandono
Com liveness passivo e captura automática, o cliente não precisa repetir gestos nem acertar o momento de apertar um botão. Menos passos significam menos abandono e menos tentativas repetidas, sem flexibilizar a segurança.
Feito para o público brasileiro
Modelos treinados com bases pouco representativas tendem a errar mais com diferentes tons de pele, traços e condições de iluminação. O LegitFace foi treinado para a diversidade do Brasil e é robusto com pessoas idosas e rostos atípicos, incluindo vitiligo, albinismo, cicatrizes, paralisia facial e síndrome de Down.
Funciona no celular real do cliente
A verificação roda em aparelhos com Android 7, em versões anteriores do iOS e em redes 3G, com compatibilidade com TalkBack e VoiceOver. Isso amplia a base de clientes atendida, um ponto que o post sobre o dispositivo do cliente no KYC detalha com dados brasileiros.
Escala comprovada
A Legitimuz protege mais de 150 empresas clientes e realiza cerca de 400 milhões de autenticações por ano.
Certificações e o que elas significam para o compliance
Certificações independentes são a forma mais objetiva de comparar soluções de liveness. Para o time de compliance, elas também funcionam como evidência de diligência na escolha do fornecedor.
A mesma análise da DuckDuckGoose lembra a previsão do Gartner de que, até 2026, 30% das empresas deixariam de considerar confiáveis as soluções de verificação de identidade usadas de forma isolada. Certificação e proteção em camadas respondem a essa desconfiança.
O LegitFace é o único do setor com esta combinação de certificações:
| Certificação | O que valida |
|---|---|
| iBeta PAD Levels 1 e 2 | Proteção contra ataques de apresentação, como fotos, vídeos e máscaras, segundo a norma ISO/IEC 30107-3 |
| BixeLab PAD Levels 1, 2 e 3 | Robustez contra ataques de apresentação cada vez mais sofisticados, incluindo máscaras de alta fidelidade no nível 3 |
| BixeLab IAD | Detecção de ataques de injeção, o vetor que mais cresce com os deepfakes |
Além das certificações do produto, a Legitimuz é certificada em ISO 27001 e soma mais de 15 certificações conquistadas em 18 meses.
Casos de uso: bancos digitais, fintechs e carteiras digitais
Abertura de conta em bancos digitais
No onboarding, o LegitFace impede a abertura de contas com identidades roubadas ou sintéticas. Combinado ao LegitID, ele também barra a mesma pessoa tentando abrir várias contas com CPFs diferentes.
Carteiras digitais
Carteiras digitais precisam de cadastro rápido para crescer e, ao mesmo tempo, são alvo de contas laranja e de account takeover. O liveness passivo mantém o cadastro simples e cria uma barreira biométrica que senha e código por SMS não oferecem.
Crédito digital
Na concessão de crédito, a fraude de identidade gera inadimplência que nunca será recuperada. O liveness confirma que quem contrata é o titular do CPF.
Operações sensíveis depois do onboarding
A proteção continua depois da abertura de conta. Recuperação de acesso, troca de dispositivo, cadastro de chaves Pix e transferências de alto valor podem exigir uma nova validação facial com liveness, barrando o fraudador que obteve a senha do cliente.
Perguntas frequentes sobre o LegitFace no onboarding digital
O que é verificação de vivacidade biométrica?
É a tecnologia que confirma que existe uma pessoa real e presente diante da câmera no momento da captura. Ela impede que fotos, vídeos, máscaras ou imagens geradas por IA sejam usadas para passar pela validação facial.
O LegitFace detecta deepfakes?
Sim. A combinação das camadas PAD e IAD barra deepfakes apresentados à câmera e também os injetados por câmeras virtuais e emuladores, o vetor mais usado nesse tipo de ataque.
O cliente precisa fazer algum movimento durante a selfie?
Não. O LegitFace usa liveness passivo e captura automática. O cliente apenas enquadra o rosto e segue as instruções faladas.
O liveness passivo é menos seguro que o ativo?
No LegitFace, o liveness passivo tem a mesma robustez do ativo, com menos fricção. A segurança vem das camadas PAD e IAD certificadas, sem depender de gestos do usuário.
Como o LegitFace ajuda no cumprimento de KYC e AML?
Ele garante que a pessoa identificada no cadastro é real e dona do documento, base para os procedimentos de identificação exigidos pelas normas de PLD/FT, e serve como fator biométrico na autenticação multifator.
O LegitFace reduz a conversão na abertura de contas?
O LegitFace mantém menos de 1,33% de reprovação de usuários legítimos em produção. Com captura automática e sem gestos, o cadastro fica mais rápido e com menos abandono.
O LegitFace funciona em celulares antigos?
Sim. A solução roda em aparelhos com Android 7, em versões anteriores do iOS e em redes 3G.
Proteja o onboarding da sua fintech com o LegitFace
O onboarding é onde a fraude tenta entrar e onde o cliente decide ficar. Com liveness passivo certificado contra apresentação e injeção, o LegitFace barra o fraudador e mantém o cadastro simples para quem é legítimo.
Fale com um especialista da Legitimuz e veja como o LegitFace se encaixa na sua operação.
Leia também: