A maioria das operações brasileiras de médio e grande porte tem antifraude no checkout. Regra de score, análise de comportamento na transação, revisão manual acima de determinado ticket. É um investimento maduro e razoavelmente bem executado.
O problema é que ele foi desenhado para proteger o momento do pagamento, e a fraude com inteligência artificial deslocou o ataque para antes disso. Quando a tentativa chega no seu antifraude, boa parte do trabalho do fraudador já foi feita, e feita com uma identidade que passa em verificação.
Principais pontos do artigo
- O uso de mídia gerada ou manipulada por inteligência artificial em tentativas de fraude cresceu de forma expressiva em 2025.
- O ponto de ataque migrou da transação para o cadastro e o acesso à conta.
- Antifraude de checkout não enxerga criação de conta em massa nem tomada de conta legítima.
- A ANPD colocou incidentes de segurança no centro da sua agenda de fiscalização para 2026 e 2027.
- Coletar mais dado para reduzir fraude aumenta a superfície do próximo incidente, e isso precisa ser decidido conscientemente.
O que os dados mostram
O relatório de fraude de identidade da Veriff referente a 2026 traz dois números que resumem a mudança. Primeiro: 4,18% de todas as tentativas de verificação de identidade em 2025 foram fraudulentas. Segundo, e mais relevante: o uso de mídia gerada ou manipulada por inteligência artificial nessas tentativas cresceu 300% em relação a 2024.
O que esse crescimento descreve não é sofisticação técnica apenas. É queda de custo. Produzir um documento sintético convincente, uma selfie que passa em prova de vida ou uma voz para engenharia social por telefone deixou de exigir habilidade especializada. Passou a exigir uma ferramenta. Quando o custo unitário do ataque cai, o volume sobe, e o alvo deixa de ser apenas a operação grande e visível.
Do outro lado, o regulador se moveu. A ANPD concentrou seu mapa de temas prioritários para 2026 e 2027 em incidentes de segurança e no tratamento de dados de alto risco. Na prática, isso significa que a consequência de um vazamento deixou de ser reputacional apenas.
Por que o antifraude de checkout não vê
Vale ser específico sobre a lacuna, porque ela não é falha de produto, é limite de escopo.
Criação de conta em massa. Contas legítimas do ponto de vista de dados, criadas em volume, aquecidas com navegação e às vezes com uma compra pequena de baixo risco, para só depois serem usadas. Quando a transação fraudulenta acontece, o antifraude vê uma conta com histórico. O sinal estava no ritmo de criação de contas semanas antes, e ninguém estava olhando esse gráfico.
Tomada de conta. O fraudador não cria conta, ele entra na do seu cliente real. Credenciais vazadas em outro serviço, testadas em massa contra o seu login. A transação parte de uma conta legítima, com histórico legítimo, muitas vezes de um endereço já cadastrado. Do ponto de vista do antifraude de checkout, é o seu melhor cliente comprando.
Fraude documental sintética. Onde há verificação de identidade, o documento gerado por inteligência artificial ataca exatamente a etapa que deveria ser a mais confiável do fluxo.
O denominador comum dos três é temporal: o ataque acontece antes do checkout, às vezes semanas antes. Quem só instrumenta o momento da transação está observando o fim de uma história cujo começo não registrou.
O que instrumentar na sua operação
Quatro frentes, e nenhuma delas exige comprar produto novo antes de esgotar o que já existe.
Métricas de cadastro e de acesso como sinal de segurança. Taxa de criação de conta por hora, taxa de falha de login, volume de recuperação de senha, contas criadas por faixa de origem. São números que a maioria das operações já pode extrair e que quase ninguém observa com olho de segurança. Um pico de recuperação de senha é evento de segurança, não de atendimento.
Limitação de tentativa e proteção da borda. Limite de tentativas de login por origem, atrito progressivo após falhas sucessivas, proteção contra automação na criação de conta. Isso encarece o ataque em volume, que é o modelo econômico que a inteligência artificial barateou.
Higiene do painel administrativo. Autenticação em múltiplos fatores obrigatória, revisão periódica de contas administrativas ativas, remoção de acesso de prestador que encerrou trabalho, e o básico que continua sendo violado: caminho do painel fora do padrão e sem exposição pública desnecessária. Comprometimento administrativo continua sendo o incidente com maior dano por evento.
Verificação proporcional ao risco. Aplicar verificação reforçada em todo mundo destrói conversão. Aplicar em nenhum lugar deixa a porta aberta. O desenho correto é por gatilho: primeira compra com entrega em endereço novo, mudança de dado cadastral seguida de compra, ticket fora do padrão histórico da conta.
O paradoxo que precisa ser decidido, não evitado
Existe uma tensão real neste tema, e ela raramente é colocada de forma explícita.
Reduzir fraude de identidade tipicamente significa coletar mais dado: documento, biometria, prova de vida, histórico comportamental. Cada um desses dados é dado pessoal, vários são dados sensíveis, e todos aumentam o tamanho do problema no dia em que houver um incidente.
Ou seja: a medida que protege contra fraude aumenta o dano potencial do vazamento. Isso não é motivo para não coletar. É motivo para decidir com critério explícito, e três perguntas resolvem: qual é a base legal para cada dado coletado, qual é o prazo de retenção definido, e quem tem acesso a esse armazenamento.
Operação que coleta documento de identidade e mantém por tempo indeterminado, sem controle de acesso segmentado, trocou um risco por outro maior. E é exatamente esse cenário que a agenda de fiscalização da ANPD para 2026 e 2027 mira.
A métrica que quase ninguém acompanha
Existe um número que resume a maturidade de uma operação nesse tema, e raramente ele é medido: quanto tempo passa entre o início de um comportamento anômalo e o momento em que alguém percebe.
Em fraude de transação, essa janela é curta por construção, porque o antifraude decide em tempo real. Em fraude de identidade e de conta, ela costuma ser de semanas. A conta foi criada em agosto, aquecida em setembro, usada em outubro. Quando o prejuízo aparece, a evidência do início já rotacionou fora do período de retenção dos registros, o que impede tanto a investigação quanto o aprendizado.
Duas providências baratas encurtam essa janela. A primeira é definir prazo de retenção de registros de acesso e de criação de conta compatível com o ciclo do ataque, e não com o custo de armazenamento. Reter trinta dias quando o ciclo do fraudador é de sessenta significa nunca conseguir reconstruir o que houve. A segunda é estabelecer uma revisão periódica desses indicadores com alguém responsável, ainda que quinzenal. A maior parte dos sinais está disponível hoje na sua operação; o que falta é alguém com a tarefa de olhar.
Como a Trezo trata esse cenário
A Trezo trabalha exclusivamente com Magento há mais de 16 anos, em operações de médio e grande porte nos setores de eletrônicos, beleza, farma, alimentos, agronegócio e autopeças. Somos parceiros AWS Partner Network e certificados ISO 27001, o que significa que infraestrutura e tratamento de dados seguem processo auditado, não improviso.
Se essa conversa está em aberto na sua operação e você ainda não tem um diagnóstico escrito para levar à diretoria, vale meia hora. Fale com nossos especialistas.
Perguntas frequentes
Na maioria dos casos, não. O antifraude de transação continua fazendo o trabalho dele. O que falta é instrumentação nas etapas anteriores, cadastro e autenticação, que normalmente não é função dele. Antes de trocar de fornecedor, vale verificar se as métricas de cadastro e acesso estão sendo observadas por alguém.
Prejudica quando aplicada de forma indiscriminada. Aplicada por gatilho de risco, atinge uma fração pequena das sessões e o impacto agregado em conversão é baixo. O erro comum é escolher entre aplicar a todos ou a ninguém, quando a decisão correta é definir os gatilhos.
A plataforma oferece a base: autenticação em múltiplos fatores no painel, políticas de senha, controle de tentativas e registro de acesso administrativo. O que não é nativo é a camada de observação, ou seja, alguém acompanhando esses sinais e reagindo a desvio. Essa parte é processo, e é onde a maioria das operações tem lacuna.
