O que o comportamento do usuário diz na hora da fraude?
Um documento pode estar correto. O rosto pode passar pelo liveness. E, ainda assim, a operação pode ser fraudulenta. Isso acontece porque identidade e comportamento são duas coisas diferentes, e a fraude moderna aprendeu a produzir a primeira sem conseguir replicar a segunda.
O comportamento do usuário (como ele digita, como move o mouse, como compra, como navega, de onde acessa) carrega um padrão difícil de falsificar. É esse padrão que separa um cliente legítimo operando de forma normal e corriqueira, de alguém, ou algo automatizado, tentando se passar por ele.
Por que o comportamento importa tanto quanto o documento
Verificar documento e prova de vida confirma um instante específico da jornada: o momento do cadastro. Depois disso, a sessão continua, e é justamente nesse “depois” que boa parte da fraude acontece, especialmente em account takeover, automação de contas e fraude orquestrada em escala.
Um CPF pode ser real. Um rosto pode ser genuíno. Mas o jeito de interagir com o teclado, o mouse e o aplicativo é mais difícil de imitar, porque não depende de um dado estático que pode ser roubado ou fabricado. Depende de um padrão construído ao longo de centenas de interações.
Por isso, tratar comportamento como camada de verificação, e não como detalhe de UX, mudou a forma como o mercado financeiro pensa prevenção a fraude.
Tipos comuns de fraude
Antes de entender os sinais comportamentais, vale mapear o que exatamente eles ajudam a identificar. Cada tipo de fraude tem uma mecânica diferente, e isso muda quais sinais comportamentais pesam mais em cada caso.
Fraude de cartão de crédito
Alguém obtém os dados de um cartão que não é seu e usa essas informações para comprar produtos, pagar serviços ou sacar valores. O titular legítimo geralmente só percebe quando a fatura chega ou quando o banco emissor sinaliza a movimentação, e nesse momento já existe prejuízo: o titular contesta a cobrança, o lojista perde o produto vendido e ainda arca com o custo do estorno.
Invasão de contas (account takeover)
Aqui o criminoso não fabrica uma identidade nova. Ele assume uma conta que já existe e já passou pela verificação inicial, geralmente usando credenciais obtidas em vazamentos de dados, phishing ou outras formas de engenharia social. A partir daí, movimenta a conta como se fosse o próprio titular, o que torna esse tipo de fraude particularmente difícil de detectar só com verificação documental, porque nenhum dado cadastral está errado.
Fraude de pagamento
É a categoria mais ampla, e reúne qualquer transação fraudulenta feita com meios de pagamento roubados, clonados ou inteiramente falsificados. Isso inclui cheques fraudados, redirecionamento indevido de transferências, uso de dados de cartão roubados e contas criadas especificamente para simular um comprador legítimo.
Lavagem de dinheiro
O objetivo aqui não é obter um produto ou serviço, mas dar aparência legal a um valor de origem ilícita. O dinheiro passa por uma sequência de transações e contas até que se torne difícil rastrear sua origem criminosa. É nesse ponto que contas laranja e mudanças bruscas de comportamento transacional, já descritas acima, se tornam sinais centrais de detecção.
Fraude interna
Nem toda ameaça vem de fora. Funcionários, prestadores de serviço, parceiros e fornecedores que conhecem os sistemas, processos e protocolos de segurança de uma empresa estão em posição privilegiada para cometer fraude, seja para ganho financeiro direto, seja para desviar dados e propriedade intelectual. Esse tipo de fraude costuma levar mais tempo para ser percebido, justamente porque quem comete já tem acesso legítimo ao sistema.
Sinais comportamentais que indicam fraude
Nenhum sinal isolado prova fraude por si só. Cada um aumenta ou reduz a probabilidade de risco, e o conjunto deles é o que forma o quadro completo.
Velocidade de digitação e uso do mouse
Cada pessoa tem um ritmo próprio de digitação e um jeito característico de mover o cursor. Um fraudador usando dados roubados, ou um bot automatizando o preenchimento de formulários, produz padrões diferentes: digitação uniforme demais, movimento de mouse em linha reta perfeita, ou preenchimento de campos em uma velocidade que nenhum humano sustenta.
Esses sinais são especialmente úteis contra ataques que já passaram pela verificação de identidade e estão testando credenciais ou automatizando cadastros em massa.
Troca de aba durante a verificação
Trocar de aba no meio de uma verificação de identidade não é, por si só, prova de nada. Mas o padrão de quando e por que isso acontece conta uma história. Um fraudador que consulta instruções em outra aba, copia dados de uma fonte externa ou aguarda orientação de terceiros durante o próprio processo de verificação tende a gerar um padrão de troca de foco diferente do de alguém preenchendo o próprio cadastro sem ajuda externa.
Uso de emuladores ou ambientes simulados
Emuladores e ambientes virtualizados permitem rodar um aplicativo como se fosse um dispositivo físico, sem ser um. Isso é usado para automatizar a criação de múltiplas contas, testar cartões roubados em lote ou simular diferentes dispositivos a partir de uma única máquina.
Identificar sinais de emulação (características de hardware inconsistentes, ausência de sensores que um celular real teria, comportamento de sistema típico de máquina virtual) barra esse tipo de operação antes mesmo da câmera ser acionada.
Localização que muda em velocidade anormal
Se uma conta é acessada em São Paulo e, vinte minutos depois, em outro estado ou país, sem nenhum meio de transporte real cobrir essa distância no tempo registrado, existe uma inconsistência que merece atenção. Esse padrão, comum em contas sequestradas ou compartilhadas entre múltiplos operadores fraudulentos, é conhecido como deslocamento impossível.
Sozinho, esse sinal pode ter explicação legítima, como uso de VPN. Combinado com outros sinais de risco, vira um indicador forte de que a sessão não está sendo controlada por quem diz ser o titular da conta.
Mudança brusca no comportamento transacional
Toda conta constrói um histórico: valores médios, frequência de uso, horários habituais. Quando esse histórico muda de forma abrupta (múltiplas transações simultâneas, uma sequência de depósitos fora do padrão, ou movimentações que não têm relação com o comportamento anterior do titular), o sistema está diante de um dos sinais mais fortes de risco.
Esse padrão aparece com frequência em contas de terceiros usadas para lavagem de dinheiro, as chamadas contas “laranja”. O titular é real e o cadastro passou pela verificação inicial sem problema, mas a conta passa a operar como um canal de passagem: recebe valores, movimenta rápido e some.
O comportamento transacional muda antes de qualquer documento ou dado cadastral apontar problema, porque quem está de fato operando a conta não é mais o titular, ou está agindo sob orientação de terceiros em troca de pagamento.
Monitorar esse tipo de mudança depois do onboarding é o que permite identificar uma conta laranja em atividade, mesmo quando toda a verificação de identidade original foi aprovada corretamente.
Como esses sinais entram no score de risco
Nenhum desses sinais funciona isolado como critério de bloqueio. Eles entram como variáveis em um score de risco, que pondera cada um de acordo com o contexto da operação: valor da transação, histórico do cliente, tipo de produto e momento da jornada.
Um pequeno desvio na velocidade de digitação, sozinho, pode não mudar nada. O mesmo desvio, combinado com sinal de emulador e deslocamento impossível na mesma sessão, empurra o score para uma faixa de risco alta e aciona uma resposta diferente.
É esse cruzamento de sinais, mais do que qualquer sinal individual, que permite diferenciar comportamento genuíno de comportamento fabricado sem depender de um único ponto de falha.
O que fazer quando o comportamento foge do padrão
Bloquear automaticamente qualquer desvio de padrão cria o mesmo problema que a fricção excessiva no onboarding: sistema aprovando fraude sofisticada e reprovando cliente legítimo que só está usando uma rede diferente ou um dispositivo novo.
A resposta proporcional funciona em camadas. Um desvio leve pode passar sem interrupção, apenas registrado para refinar o histórico do usuário. Um desvio moderado pode acionar uma verificação adicional, como reconfirmação de identidade. Um desvio grave, com múltiplos sinais de risco convergindo na mesma sessão, pode bloquear a operação até uma revisão manual.
O objetivo não é eliminar toda variação de comportamento. É reconhecer quando a variação para de ser ruído e começa a ser sinal.
Conheça as soluções Legitimuz
O LegitDevice é a camada de inteligência de dispositivo e comportamento da Legitimuz. Ele identifica comportamento fraudulento antes mesmo da captura da câmera, analisando integridade do dispositivo, sinais de emulação, geolocalização e padrões de interação, e alimenta um score de risco que se ajusta a cada operação, sem tratar todo comportamento com o mesmo crivo.
Quer entender como aplicar essa camada de proteção na sua operação sem aumentar a fricção do seu cliente? Fale com um especialista da Legitimuz.
Leia também: