ChatGPT
Claude
Perplexity
Gemini
Se o seu processo de abertura de conta valida o documento, confere o rosto contra a base oficial e ainda aplica prova de vida, provavelmente seu fluxo já eliminou boa parte das fraudes de conta fria, aquela aberta com a identidade de alguém que nem sabe.
Mas a conta laranja é outro tipo de problema. Nela, o titular é quem diz ser, apresenta o próprio documento, olha para a câmera e consente. Nenhuma camada de verificação biométrica resolve isso sozinha, porque, tecnicamente, está tudo "certo". O crime começa depois.
Conta laranja, conta fria e conta de bet irregular: três problemas diferentes
Tratar os três como sinônimo é o primeiro erro de desenho, porque cada um exige um controle distinto.
Conta laranja. Aberta de forma legítima, por um titular verdadeiro, que depois cede o acesso para movimentação de recursos de terceiros. O titular pode receber pagamento por isso, pode ser aliciado por uma promessa de renda fácil nas redes sociais ou pode estar sob coação.
Conta fria. Aberta com dados e documentos de uma pessoa que não sabe de nada. É fraude de identidade pura, o alvo clássico do antifraude de cadastro.
Conta de operação irregular. Conta usada por atividade não autorizada, como plataformas de apostas fora das regras, geralmente com estrutura de laranjas por trás.
A conta fria é barrada por verificação de identidade. A conta laranja não, e é aí que mora a lacuna da maioria das operações.
O que mudou na lei em 2026
A Lei nº 15.397/2026, sancionada em 4 de maio de 2026, alterou o Código Penal para tratar crimes cometidos em ambiente digital e criou um tipo penal específico para a cessão de conta bancária. Pela nova regra, quem cede uma conta, com ou sem remuneração, para a movimentação de recursos ligados à atividade criminosa fica sujeito a reclusão de um a cinco anos, além de multa. A lei também endureceu a punição para a fraude eletrônica praticada com clonagem de dispositivos, com pena de quatro a oito anos.
Do lado das instituições, o texto reforça deveres que já vinham sendo cobrados: manter política capaz de identificar contas usadas de forma ilícita, recusar transações suspeitas, encerrar de imediato as contas irregulares e comunicar os casos ao Banco Central, com possibilidade de compartilhamento entre instituições.
Esse movimento não veio isolado. Desde 27 de outubro de 2025, a autorregulação da Federação Brasileira de Bancos já obriga as instituições signatárias a manter critérios próprios de detecção, encerrar contas laranja, contas frias e contas de apostas irregulares assim que identificadas, notificar o titular, reportar o encerramento ao Banco Central e apresentar declaração de conformidade assinada por área independente, como auditoria interna, compliance ou controles internos. O descumprimento leva a sanções que vão de recomendação de correção até exclusão do sistema de autorregulação.
E há ainda o BC Protege+, serviço do Banco Central que permite ao cidadão bloquear o próprio CPF ou CNPJ para impedir a abertura de novas contas em seu nome. Para as instituições, isso cria uma etapa de consulta antes da abertura e a necessidade de guardar a evidência de que essa consulta foi feita.
Somando as três frentes, o recado é o mesmo: detectar deixou de ser diferencial competitivo e virou obrigação demonstrável.
Por que o onboarding padrão não pega a conta laranja
Vale ser específico, porque o argumento contrário aparece rápido em qualquer reunião: "mas a gente já faz biometria".
Faz, e isso é indispensável. A documentoscopia confirma se o RG, a CNH, o passaporte ou a CIN apresentados são legítimos, cruzando dados do documento, características de impressão e biometria em camadas independentes. O liveness derruba foto impressa, vídeo repetido, máscara e tela apontada para a câmera. A verificação biométrica confirma que aquele rosto corresponde ao CPF informado, com nível de confiança declarado.
Só que nenhum desses controles é violado na conta laranja. O documento é autêntico. A pessoa está viva e presente. O rosto bate com o CPF. Do ponto de vista da identidade, o cadastro é perfeito.
O que não bate é o contexto. E o contexto não se lê no rosto, se lê no dado.
Esse é o ponto em que a confiança deixa de depender de uma tecnologia isolada. Ela nasce da integração entre camadas de autenticação que se confirmam umas às outras e conseguem responder, em qualquer jornada digital, quem a pessoa realmente é. Documentoscopia, prova de vida, verificação biométrica, consulta a bureau de dados e autenticação não competem entre si: cada uma cobre um tipo de sinal, e é a leitura conjunta desses sinais que revela o que o cadastro isolado esconde.
É assim que a plataforma da Valid foi construída. As camadas ficam disponíveis no mesmo ambiente e são combinadas de acordo com o risco de cada operação e as regras de negócio da instituição, sem exigir uma integração diferente para cada verificação. Vale conhecer a plataforma de identidade digital da Valid para ver como essas camadas se articulam dentro de um único fluxo.
As quatro camadas que realmente barram a conta laranja
1. Consistência entre perfil declarado e perfil real
A pessoa laranja que é recrutada costuma ter um perfil socioeconômico que não conversa com a movimentação que a conta vai receber. A consulta ao bureau de dados devolve, em uma única integração, dados cadastrais, histórico profissional, situação financeira, vínculos societários, exposição política, sanções e indicadores de risco de crédito para CPF e porte, faturamento, quadro societário, grupo econômico, processos e certidões para CNPJ.
O sinal não é um dado isolado, é a combinação. Renda declarada incompatível com o limite pretendido, endereço recém-alterado, vínculo societário em empresa aberta há poucas semanas e ausência completa de histórico financeiro formam, juntos, um padrão que nenhum desses itens produz sozinho.
2. Sinais de rede e de repetição
Fraude organizada é industrial e operação industrial deixa rastro de repetição. Mesmo dispositivo abrindo contas para CPFs diferentes, mesmo número de telefone reaproveitado em cadastros distintos, mesmo endereço de entrega, mesma faixa de horário, mesma sequência de cliques. O caso isolado parece legítimo e o conjunto denuncia a operação.
Por isso a regra de decisão precisa enxergar além do cadastro individual. É esse o papel do orquestrador de jornadas: montar essa lógica sem escrever código, definindo quais validações entram, em que ordem e sob quais condições cada cadastro é aprovado, recusado ou enviado para análise humana. Como as camadas já conversam entre si dentro do mesmo ambiente, mudar uma regra de risco não significa refazer integração.
3. Confirmação de canal com o titular verdadeiro
Muito aliciamento acontece com o titular entregando dados e códigos a terceiros. A autenticação de dois fatores não resolve sozinha esse cenário, porque o titular pode repassar o código de boa vontade, mas ela cumpre dois papéis: garante que o canal de contato pertence de fato a quem está no cadastro e cria um registro de tentativa quando o mesmo telefone ou e-mail aparece em vários cadastros diferentes.
4. Monitoramento depois da abertura
Esta é a camada mais negligenciada e a mais decisiva. Como a conta laranja nasce legítima, o comportamento suspeito só aparece nos primeiros dias ou semanas de uso: entrada de valores muito acima do perfil, saída imediata para várias contas, uso concentrado em horários atípicos, mudança rápida de dados cadastrais.
Verificar identidade uma única vez, na abertura, é uma foto de um momento. O que separa quem detecta de quem descobre pelo relatório de perdas é reverificar CPF, CNPJ e vínculos ao longo do relacionamento.
As quatro camadas não são alternativas entre si. Elas cobrem sinais diferentes e foram desenhadas para operar juntas: a identidade confirmada dá a base, o contexto de dados e os sinais de rede dão a leitura de risco e o monitoramento mantém essa leitura viva depois da abertura. É a combinação delas, calibrada pelo apetite de risco e pelas regras de negócio de cada instituição, que fecha a porta que a verificação isolada deixa aberta.
O tamanho do problema, em números
A Serasa Experian registrou 1.495.696 tentativas de fraude de identidade e cadastral no primeiro trimestre de 2026, alta de 36,6% sobre o mesmo período de 2025, o que dá aproximadamente uma tentativa a cada cinco segundos. Meios de pagamento lideraram com 644.586 tentativas, seguidos por telecomunicações, com 313.200, e bancos e cartões, com 259.160. O setor financeiro concentrou cerca de 60% do total, e a perda potencial estimada, caso essas tentativas tivessem passado, chegaria perto de R$ 2 bilhões.
Esses números medem tentativa de fraude de identidade, que é o vetor da conta fria. A conta laranja não entra nessa contagem justamente porque não há fraude de identidade nela, o que sugere que o problema real é maior do que a estatística disponível consegue mostrar.
O custo de errar para os dois lados
Um cadastro que recusa por sinal fraco derruba cliente bom e o abandono no onboarding é uma das maiores fontes de perda silenciosa em operações digitais. Um cadastro frouxo, por outro lado, acumula contas que vão precisar ser encerradas às pressas com notificação ao titular, reporte ao Banco Central e explicação ao regulador.
A saída não é escolher um extremo, é escalonar. Cadastro de baixo risco segue por um caminho curto. Cadastro com sinal de alerta recebe verificação adicional antes da decisão e não uma recusa automática. Cadastro com combinação de sinais vai para análise humana com o dossiê já montado, em vez de obrigar o analista a abrir sete telas. Esse escalonamento é uma regra configurável, e não um projeto: as camadas de verificação já estão integradas entre si, e o que muda de um caminho para o outro é a combinação acionada em cada faixa de risco.
Um diagnóstico rápido da sua operação
Quatro perguntas costumam revelar a lacuna em menos de uma reunião:
Você consegue dizer quantas contas abertas nos últimos noventa dias tiveram movimentação incompatível com o perfil declarado? Se a resposta depende de extração manual, o monitoramento não está operando.
Quantos cadastros distintos compartilham o mesmo dispositivo, telefone ou endereço? Se ninguém olha esse cruzamento, a rede de laranjas é invisível para você.
Quando uma conta é encerrada por suspeita, o que acontece com os cadastros ligados a ela? Sem propagação, o mesmo grupo reabre na semana seguinte.
Você tem evidência armazenada de cada verificação feita na abertura? É essa evidência que sustenta a declaração de conformidade e a resposta ao regulador.
Fraude organizada não se combate com uma trava só
A conta laranja existe porque o fraudador entendeu, antes do mercado, que a maneira mais barata de furar um controle de identidade é não furar controle nenhum: basta usar uma identidade verdadeira. Contra isso, verificação de documento e prova de vida continuam necessárias, mas não são suficientes.
O que fecha a porta é a combinação de identidade confirmada, contexto de dados consultado, sinais de rede cruzados e monitoramento que segue vivo depois da abertura, tudo dentro de um único fluxo com registro auditável de cada decisão.
É esse desenho que a Valid entrega em uma plataforma só com documentoscopia, liveness, verificação biométrica, bureau de dados e autenticação combinados no orquestrador de jornadas. Fale com o time da Valid e descubra com os números da sua operação, onde estão as portas ainda abertas.
