O que é roubo de identidade e quais as diferenças com a fraude de identidade?
Os dois termos aparecem juntos com tanta frequência que muita gente trata como sinônimos. Não são. Roubo de identidade é o ato de obter os dados pessoais de alguém sem autorização. Fraude de identidade é o que acontece depois, quando esses dados (ou dados fabricados) são usados para enganar um terceiro e obter alguma vantagem. Um é o meio. O outro é o crime que esse meio viabiliza.
Entender essa diferença importa na prática, porque a defesa contra cada um é diferente. Proteger dados evita o roubo. Verificar identidade e comportamento no momento da transação evita que o dado roubado vire fraude.
O que é roubo de identidade
Roubo de identidade é a obtenção não autorizada de informações pessoais de alguém: CPF, nome completo, data de nascimento, dados de documento, senha, ou qualquer combinação que permita identificar e representar essa pessoa.
Isso acontece por diferentes vias. Vazamento de dados expõe bases inteiras de uma vez. Phishing engana a própria vítima para que ela entregue a informação voluntariamente. Engenharia social manipula alguém, por telefone ou mensagem, a confirmar dados que parecem inofensivos isoladamente. Furto físico de documentos, carteira ou correspondência também é uma via, mais antiga, mas ainda ativa.
Importante: o roubo de identidade, por si só, não gera prejuízo direto. Um CPF vazado em uma base de dados não move dinheiro nem abre uma conta sozinho. O dano começa quando esse dado é usado.
O que é fraude de identidade
Fraude de identidade é o uso de dados pessoais (roubados, comprados ou fabricados) para enganar uma empresa, instituição ou pessoa e obter algum benefício: abrir uma conta, contratar crédito, fazer uma compra, sacar um valor ou acessar um serviço em nome de outra pessoa.
Aqui está o ponto que gera confusão: a fraude de identidade nem sempre depende de um roubo prévio. Existe a identidade sintética, por exemplo, que combina um CPF real (geralmente vazado) com nome e dados inteiramente fabricados, criando um “cliente” que não corresponde a nenhuma pessoa real. Nesse caso, o roubo (do CPF) é parcial, e a fraude é construída em cima de uma mistura de dado real com dado inventado.
As principais diferenças entre os dois
| Roubo de identidade | Fraude de identidade | |
| O que é | Obtenção não autorizada de dados pessoais | Uso desses dados (ou de dados fabricados) para enganar um terceiro |
| Quando acontece | Antes, na origem do dado exposto | Depois, no momento da transação ou do cadastro |
| Gera prejuízo direto? | Não, por si só | Sim, é o ato que causa o dano financeiro ou reputacional |
| Onde a defesa atua | Segurança de dados, higiene de credenciais | Verificação de identidade e comportamento no momento da ação |
| Exemplo típico | Vazamento de base de dados, phishing | Abertura de conta com CPF roubado, account takeover |
A diferença mais prática está na linha do tempo. Roubo de identidade é o evento de origem. Fraude de identidade é a consequência, que pode acontecer dias, meses ou anos depois, e às vezes nem chega a acontecer, se o dado roubado nunca for usado.
Como o roubo de identidade leva à fraude, na prática
Um CPF vazado em um incidente de segurança pode ficar circulando em bases criminosas por anos antes de ser usado. Quando alguém finalmente tenta abrir uma conta, contratar um cartão ou solicitar um empréstimo com esse CPF, o roubo original se transforma em fraude de identidade.
O mesmo dado roubado pode originar fraudes bem diferentes entre si. Pode virar identidade sintética, se combinado com dados fabricados para construir um histórico de crédito falso. Pode virar account takeover, se o criminoso usar credenciais de acesso vazadas para assumir uma conta já existente. Pode virar abertura de conta laranja, se o CPF for usado (com ou sem conhecimento do titular) para movimentar dinheiro de origem ilícita.
É por isso que uma empresa não consegue se proteger apenas verificando se um CPF existe e está regular. Um CPF roubado passa nessa checagem sem problema, porque o número em si é válido. A pergunta que falta responder é se a pessoa por trás daquela solicitação é realmente a titular do documento.
Como se proteger e como as empresas devem responder
Para a pessoa física, a proteção contra roubo de identidade passa por higiene digital básica: não reutilizar senha entre serviços diferentes, desconfiar de mensagens pedindo confirmação de dados, e monitorar se o próprio CPF aparece em vazamentos conhecidos.
Para empresas, a resposta correta não é tentar impedir todo roubo de identidade, algo fora do controle de qualquer instituição isolada. É reduzir a janela entre o roubo e a fraude, verificando com biometria facial e prova de vida se quem está solicitando um cadastro, uma transação ou uma mudança de dados é de fato a pessoa titular daquela identidade, e monitorando o comportamento da conta depois da aprovação inicial, não só no momento do cadastro.
Perguntas frequentes
Roubo de identidade é crime no Brasil? Sim. Dependendo de como os dados são obtidos e usados, pode configurar diferentes crimes previstos no Código Penal, como furto, estelionato ou invasão de dispositivo informático, além de infrações à LGPD quando envolve tratamento indevido de dados pessoais.
Se meu CPF vazou, já significa que sofri fraude de identidade? Não necessariamente. O vazamento é o roubo de identidade. A fraude só acontece se alguém de fato usar esse CPF para tentar enganar uma empresa ou pessoa. Vale a pena monitorar o CPF e agir rápido caso apareça movimentação ou cadastro que você não reconhece.
Identidade sintética é a mesma coisa que roubo de identidade? Não. Identidade sintética combina um dado real (geralmente um CPF roubado) com informações inteiramente fabricadas. É um tipo específico de fraude de identidade, que usa o roubo como matéria-prima parcial, não como cópia integral de uma pessoa real.
Qual a diferença entre fraude de identidade e account takeover? Fraude de identidade é o termo mais amplo, que cobre qualquer uso enganoso de identidade para obter vantagem. Account takeover é um tipo específico de fraude de identidade, em que o criminoso assume o controle de uma conta que já existe e já foi validada, em vez de criar um cadastro novo.
Conheça as soluções Legitimuz
A Legitimuz atua exatamente na janela entre o roubo de identidade e a fraude de identidade. O LegitFace confirma, com prova de vida certificada, se quem está diante da câmera é realmente a pessoa titular da identidade apresentada. O LegitCheck cruza documentos, CPF e listas restritivas em tempo real, e o LegitDevice monitora comportamento e dispositivo depois do cadastro, para identificar quando uma identidade legítima passa a ser operada por outra pessoa.
Quer entender como reduzir a exposição da sua operação a fraude de identidade? Fale com um especialista da Legitimuz.
Leia também: