ChatGPT
Claude
Perplexity
Gemini
O roubo de identidade é uma fraude silenciosa. A vítima normalmente só descobre quando a cobrança chega, quando o nome aparece em um cadastro de inadimplentes ou quando uma linha telefônica que ela nunca contratou começa a ser usada em golpes. Do outro lado, a empresa que aprovou o cadastro também perde: assume o prejuízo financeiro, gasta com contestação e atendimento e ainda carrega a responsabilidade de ter deixado aquela conta nascer. Este texto explica o que é roubo de identidade, como ele acontece, o tamanho do problema no Brasil e quais camadas uma empresa precisa ter para impedir que dados de terceiros virem contas abertas.
O que é roubo de identidade
Roubo de identidade é o uso dos dados pessoais de outra pessoa, sem autorização, para obter alguma vantagem. Na maioria dos casos, a vantagem é financeira: abrir conta, contratar crédito, fazer compras parceladas, habilitar linha telefônica ou cadastrar uma empresa em nome de alguém que não sabe de nada.
O termo convive com outros que parecem sinônimos, mas não são, e a diferença importa para quem desenha a defesa.
Roubo de identidade é a obtenção dos dados de uma pessoa real.
Fraude de identidade é o uso desses dados para enganar uma empresa, e é o nome que o mercado de prevenção costuma dar para o ataque no momento do cadastro.
Identidade sintética é a combinação de dados reais e inventados, como um CPF verdadeiro com um nome e uma foto que não pertencem ao titular. É mais difícil de detectar porque parte da informação passa em qualquer conferência simples.
Falsa identidade é o nome jurídico da conduta de se passar por outra pessoa, prevista no Código Penal.
Como o roubo de identidade acontece
Os dados chegam ao fraudador por caminhos diferentes, e cada caminho deixa um tipo de rastro no cadastro.
Vazamentos e bases de dados vendidas
Nome completo, CPF, data de nascimento, nome da mãe e endereço circulam em bases vendidas em fóruns e canais de mensagem. Com esses dados, o fraudador passa em qualquer conferência que se limite a checar se o CPF existe e se os campos batem entre si.
Engenharia social
Ligações de falsa central, mensagens de falso funcionário, links de falso aplicativo. A vítima entrega os dados, às vezes um código de confirmação, convencida de que está resolvendo um problema. É a forma de obtenção que mais cresce, porque não depende de invasão técnica, só de convencer alguém.
Documentos perdidos, roubados ou fotografados
Um documento físico perdido, uma foto enviada em uma conversa, uma cópia esquecida em um balcão. Com a imagem de um documento verdadeiro, o fraudador tenta passar pela etapa de envio de documento do cadastro digital.
Selfie falsa e deepfake
O passo seguinte é passar pela verificação facial. Fotos impressas, vídeos reproduzidos em outra tela, máscaras e, cada vez mais, rostos gerados por inteligência artificial e injetados diretamente no fluxo de dados. O tema está detalhado em antifraude e deepfakes.
Tomada da linha telefônica
Com a linha da vítima sob controle, o fraudador recebe os códigos de confirmação enviados por mensagem e assume as contas que a vítima já tinha. Não é um cadastro novo, mas é a mesma fraude por outro caminho.
O tamanho do problema no Brasil
Os números deixam claro que não se trata de um risco eventual. O levantamento da Serasa Experian sobre o primeiro semestre de 2026 registrou 2.860.957 tentativas de fraude de identidade no onboarding, ou seja, na abertura de conta e na validação de identidade. É uma tentativa a cada 5,5 segundos, com alta de 32,9% sobre o mesmo período de 2025.
A distribuição por setor mostra onde o fraudador concentra o esforço. Meios de pagamento responderam por 42,6% das ocorrências e telefonia por 22,1%. Somados, os segmentos financeiros chegaram a 61,1% do total. Os crescimentos mais fortes vieram do varejo, com alta de 120,7%, da telefonia, com 51,4%, e de serviços, com 40,2%. O mesmo levantamento estima que as fraudes evitadas no semestre representaram R$ 3,77 bilhões em perdas potenciais.
A leitura útil para qualquer operação é direta: quem abre cadastro digital está na mira, e o setor que ainda não foi muito atacado tende a ser o próximo, justamente porque costuma ter a defesa mais fraca.
Quer saber quantos dos seus cadastros carregam sinal de identidade de terceiro? Fale com um especialista da Valid.
O que a lei diz sobre roubo de identidade
Quem trabalha com prevenção precisa conhecer o enquadramento, porque ele define o que a empresa registra e como reporta.
O Código Penal trata da falsa identidade no artigo 307, que pune quem atribui a si ou a terceiro identidade falsa para obter vantagem. Quando o uso dos dados serve para enganar alguém e obter ganho, a conduta entra no estelionato, do artigo 171. A Lei nº 14.155/2021 criou a modalidade de fraude eletrônica, no parágrafo 2º-A deste artigo, com pena de reclusão de quatro a oito anos e multa quando a fraude usa informações obtidas por redes sociais, contatos telefônicos, e-mail fraudulento ou meio análogo.
Em 2026, a Lei nº 15.397 acrescentou ao artigo 171 a conduta de ceder conta bancária, gratuitamente ou não, para que nela transitem recursos ligados à atividade criminosa, alcançando quem empresta a própria conta para o golpe.
Do lado das instituições reguladas pelo Banco Central, a Resolução Conjunta nº 6/2023 obriga o compartilhamento de dados sobre indícios de fraude entre instituições financeiras, de pagamento e demais autorizadas. Na prática, um sinal de fraude registrado em uma instituição passa a ajudar a próxima a barrar a mesma tentativa.
Como as empresas evitam contas abertas com dados de terceiros
O roubo de identidade é derrotado no mesmo lugar em que acontece: no cadastro. E nenhuma checagem sozinha resolve, porque cada técnica de ataque passa por uma camada e trava em outra.
Camada 1: o documento é verdadeiro?
O primeiro passo é ler e conferir o documento enviado. A leitura automática de documentos extrai os dados em segundos, e a documentoscopia verifica se o documento segue o padrão oficial de emissão e se as informações conferem com fontes externas. Esta camada barra o documento adulterado e o documento montado do zero.
Camada 2: existe uma pessoa real do outro lado?
O documento verdadeiro de outra pessoa passa pela camada anterior. O que barra esse caso é a prova de vida. O liveness confirma, a partir de uma selfie, que há uma pessoa real diante da câmera, e não uma foto, uma tela, uma máscara ou uma imagem injetada.
Camada 3: essa pessoa é a titular?
Uma pessoa real pode estar tentando usar o documento de outra. A verificação biométrica confronta o rosto capturado com bases de referência e responde se a face pertence ao dono do CPF informado. Na Plataforma de Segurança Digital da Valid, os motores de biometria somam mais de 3 bilhões de validações por ano, com cobertura acima de 90% na base nacional.
Camada 4: os dados contam uma história coerente?
Mesmo com identidade confirmada, o perfil precisa fazer sentido. Endereço que não combina com o histórico, telefone recém-ativado, e-mail criado na véspera, renda declarada incompatível. O bureau traz situação cadastral, vínculos, endereços e sinais de risco do CPF ou do CNPJ, e o processo de KYC e KYB transforma esses achados em uma classificação de risco.
Camada 5: o canal pertence ao titular?
Confirmar que o telefone ou o e-mail informados estão sob controle do titular reduz o risco de cadastro com contato do fraudador. Depois da abertura, a autenticação multifator protege os acessos e as operações sensíveis, assunto detalhado em MFA: o que é a autenticação multifator.
Os sinais de alerta que aparecem no cadastro
Algumas combinações merecem atenção redobrada, mesmo quando cada dado parece correto isoladamente.
Mesmo dispositivo, vários CPFs. Um aparelho que tenta abrir cadastros para pessoas diferentes em sequência é sinal clássico de operação organizada.
Selfie recusada várias vezes seguidas. Tentativas repetidas de prova de vida costumam indicar alguém testando o que passa.
Dados de contato recém-criados. E-mail e telefone sem histórico, informados por um titular com décadas de vida financeira, não combinam.
Pressa fora do padrão. Cadastro concluído em tempo muito abaixo da média, com dados colados e não digitados, sugere automação.
Endereço de entrega diferente do cadastral. Em compras e envio de cartões, é o ponto em que o fraudador desvia o que conseguiu.
O titular também pode se proteger
A prevenção não depende só das empresas. Desde dezembro de 2025, o BC Protege+, serviço do Banco Central, permite que a pessoa bloqueie a abertura de contas em seu nome. Com a proteção ativada pelo site do Banco Central, as instituições ficam impedidas de abrir determinadas modalidades de conta vinculadas àquele CPF ou CNPJ, e o titular consegue consultar quem tentou. Para a empresa, isso reforça um ponto: o sistema financeiro está fechando portas, e quem ainda abre cadastro com checagem frágil vira o caminho mais fácil.
Quando a fraude passa: o que fazer
Nenhuma defesa é perfeita, e a resposta ao caso que passou faz parte do processo. Bloquear a conta assim que a fraude é confirmada, registrar todo o histórico da tentativa, compartilhar o indício nos canais previstos pela regulação, atender a vítima com prioridade e, principalmente, voltar ao fluxo para entender qual camada deixou passar. Cada caso confirmado é um ajuste possível na régua de risco.
A confiança não vem de uma tecnologia isolada. Ela vem da integração entre camadas de verificação, combinadas conforme o risco de cada jornada. Na Plataforma de Segurança Digital da Valid, essa combinação é montada no orquestrador de produtos, totalmente no-code, o que permite endurecer a régua em um canal sob ataque sem travar os outros.
A identidade é o ativo, e o cadastro é a porta
O roubo de identidade não vai diminuir enquanto dados pessoais continuarem circulando e enquanto houver cadastro que aceite esses dados sem perguntar quem está do outro lado. A boa notícia é que cada técnica do fraudador deixa um rastro, e cada rastro tem uma camada capaz de reconhecer.
A Valid é emissora dos principais documentos oficiais do Brasil e conhece, de dentro, como uma identidade legítima é construída e como ela se comporta. É essa experiência que sustenta a Plataforma de Segurança Digital da Valid. Se a sua operação ainda aprova cadastros sem confirmar que a pessoa é real e é a titular, converse com o time da Valid e monte a defesa em camadas.
