A fraude entra pelo mesmo formulário que um cliente.

O que a prevenção à fraude exige na Argentina

Comecemos pelo que não existe: não há na Argentina um regime único que diga "previna a fraude de identidade assim". A obrigação chega por três caminhos separados, e cada um olha uma parte diferente do problema.

• Pelo regime de prevenção à lavagem. A UIF exige identificar e conhecer o cliente antes de ele operar e monitorá-lo depois. Uma identidade falsa aceita no cadastro quebra tudo o que vem depois, então o controle contra a falsificação de identidade é, na prática, uma condição do regime, ainda que não seja nomeado como tal.
• Pela regulação de canais eletrônicos. Para as entidades financeiras, o BCRA regula como operam os seus canais digitais, incluída a vinculação à distância e a segurança dos acessos.
• Pelo regime de proteção de dados pessoais. Impõe medidas de segurança proporcionais sobre os dados tratados. Uma fraude de identidade quase sempre é também um incidente de dados.

A isso se soma a via penal, que pune a conduta depois de ocorrida e não ajuda a preveni-la.

A consequência prática de a exigência estar repartida é que ninguém recebe uma lista de controles a implementar. Cada sujeito obrigado precisa derivar os seus próprios controles do risco que declarou e, depois, conseguir explicar por que escolheu esses. É a mesma abordagem baseada em risco do resto do regime, aplicada a um problema que se move mais rápido que as normas.

A fraude de identidade aparece em dois momentos, e são problemas distintos:

• No cadastro. Alguém se registra usando a identidade de outra pessoa, ou uma identidade sintética montada misturando dados reais com dados inventados. A conta nasce fraudulenta e nenhum monitoramento posterior vai marcá-la como anômala, porque ela se comporta como foi desenhada para se comportar.
• No acesso. Alguém toma o controle de uma conta legítima que já existe, por roubo de credenciais, por engano ao titular ou por captura do seu número de telefone.

O que a VU automatiza na prevenção à fraude

A VU trabalha sobre a fraude de identidade, que é uma parte da fraude, e não toda a fraude. A distinção define bem o que ela cobre.

• Controle de presença na captura — a prova de vida, que impede que uma foto, um vídeo ou um rosto gerado se passe por uma pessoa. É o controle com evidência independente: é certificado pela iBeta no Nível 2 do seu programa de ensaio, que aplica a metodologia da norma ISO/IEC 30107-3 para os ataques de apresentação.
• Verificação do documento — para que uma identidade montada sobre um documento adulterado não entre.
• Reconhecimento de dispositivo — sinais do navegador e do celular que permitem ver quando o mesmo aparelho aparece por trás de muitos cadastros diferentes.
• Autenticação forte no acesso — vários fatores disponíveis para o momento do login e da recuperação, que é onde se concentra o sequestro de contas.
• Orquestração dos controles — rodar as comprovações antes, durante ou depois de uma ação, em série ou em paralelo, com novas tentativas e tempos de espera definidos.

E o que a VU não faz, que neste tema é metade da conversa:

• Não faz monitoramento transacional. Detectar uma operação anômala pelo seu valor, pelo seu destino ou pela sua frequência é um controle sobre dados de negócio que fica nos sistemas do sujeito obrigado.
• Não é um motor de regras de fraude com cartões nem de scoring de pagamentos. É uma categoria vizinha e distinta.
• Não decide bloqueios por conta própria. Produz sinais e evidência; o que se bloqueia, o que se encaminha para revisão e o que se deixa passar é política de risco.
• Não resolve a fraude de primeira parte. Quando quem mente é o próprio titular real, a identidade está bem verificada e o problema é outro. Ela tem a sua própria página.
• Os ataques de injeção são uma categoria à parte. Um vídeo sintético inserido diretamente no canal, sem passar pela câmera, não é um ataque de apresentação, então o ensaio independente descrito acima não diz nada sobre ele. Detê-lo exige controles de integridade do canal de captura, que são outro trabalho.

Casos de uso na Argentina

Onde esse problema aparece na operação real do mercado argentino.

• Cadastros em massa em carteiras digitais e plataformas de apostas. Produtos com alta velocidade de registro e baixa barreira de entrada, que atraem registros automatizados e contas criadas para serem usadas por terceiros.

• Contas criadas para movimentar o dinheiro de outra pessoa. O cadastro é feito com uma identidade real, às vezes do próprio titular que a cede, e a conta funciona como elo de uma cadeia.

• Identidades sintéticas que amadurecem. Um perfil montado com dados parcialmente reais, que opera normalmente durante meses antes de ser usado e que nenhum monitoramento marca porque não há uma vítima que reclame.

• Recuperação de acesso como porta de entrada. O ponto em que um atacante que já conhece os dados da vítima tenta substituir o fator de autenticação, e o que costuma receber menos atenção de desenho.

• Dados pessoais vazados em circulação. Números de documento, fotos de DNI e dados de contato disponíveis em volume, que tornam inútil qualquer controle baseado em conhecer um dado.

• Falsificação de identidade assistida por ferramentas de geração. Rostos e documentos sintéticos que já não exigem equipamento especializado e que elevam o piso do que um controle precisa resistir.