O KYC perdeu para a IA. E quase ninguém percebeu.

Em fevereiro de 2024, um operador financeiro em Hong Kong recebeu uma chamada de vídeo do CFO da empresa. Era ele. A voz, o rosto, o jeito de gesticular. Pediu uma transferência de 25 milhões de dólares para uma operação confidencial. O funcionário, depois de “ver” o CFO em call com outros executivos da empresa, autorizou.

Tudo era deepfake. O dinheiro foi embora. A empresa, a multinacional Arup, só descobriu dias depois.

Esse é o tipo de notícia que circulou pelo mundo de finanças nos últimos dezoito meses. E o ponto importante não é o crime isolado. É o que ele revela sobre a infraestrutura de identidade que sustenta praticamente toda fintech, todo banco digital, todo BaaS no Brasil.

Sua tecnologia de KYC foi desenhada para um mundo onde a fraude tinha mãos humanas. Esse mundo acabou.

Os números que mudaram a equação

Três relatórios publicados em 2024 e 2025 deram a dimensão do problema.

O Sumsub Identity Fraud Report 2024 mostrou que tentativas de fraude usando deepfake contra processos de onboarding cresceram 31 vezes entre 2022 e 2023, e mais 245% só no primeiro semestre de 2024. Em algumas verticais do mercado financeiro, deepfake já responde por 5% a 7% de todas as tentativas de identity fraud detectadas.

A Onfido, agora parte da Entrust, divulgou que uma em cada quatro tentativas de identidade fraudulenta em 2024 usou alguma forma de IA generativa, contra menos de 1% em 2022.

O Microsoft Digital Defense Report 2024 mediu crescimento de 1.265% em campanhas de phishing baseadas em IA no último ano. Voice cloning cresceu mais de 1.300% segundo o Anti-Phishing Working Group.

E a Deloitte, em estudo de outubro de 2024, projetou que fraude generativa contra o setor financeiro nos Estados Unidos custará US$ 40 bilhões até 2027, partindo de US$ 12,3 bilhões em 2023. É CAGR de 32% ao ano. Nenhum CFO programa orçamento de prevenção crescendo 32% ao ano. Os fraudadores programaram.

No Brasil, a foto é coerente. A FEBRABAN registrou R$ 2,7 bilhões em perdas por fraudes bancárias em 2024, alta de mais de 20% sobre o ano anterior. PIX virou o trilho preferido. O Banco Central anunciou bloqueios cautelares e novas regras de devolução, mas a velocidade da regulação não acompanha a velocidade do criminoso.

Por que o seu KYC não vê o que precisa ver

A maior parte das fintechs brasileiras usa uma stack de onboarding parecida. Document upload, selfie com prova de vida básica, OCR, match facial contra a foto do documento, consulta a bureaus, decisão.

Esse desenho assume três coisas que pararam de ser verdade.

Primeira: que uma selfie ao vivo é difícil de forjar. Hoje não é. Ferramentas open source permitem face swap em tempo real com uma única foto de input. Há aplicativos comerciais cobrando US$ 20 por mês para esse uso. O liveness check tradicional, que pede ao usuário para piscar ou virar a cabeça, é trivialmente derrotado por modelo de difusão que renderiza o movimento.

Segunda: que o documento físico é a âncora da identidade. Já não é. Modelos generativos produzem RG, CNH e comprovante de residência indistinguíveis ao olho humano. O OCR captura os dados perfeitamente. A trilha de auditoria fica linda. O usuário não existe.

Terceira: que o atendimento humano por telefone ou vídeo é uma segunda linha de defesa. Era. Voice clone reproduz vozes a partir de três segundos de áudio. Vídeos sintéticos passam por chamadas de Zoom e Teams como mostrou o caso Arup.

O resultado prático é que uma fintech operando KYC tradicional em 2026 está aceitando contas que não correspondem a humanos reais com taxa muito maior do que sua matriz de risco assume. E, pior, está concedendo cartão, conta, crédito e capacidade de transferência via PIX para essas contas.

O que mudou na defesa, e o que precisa mudar

Quem trabalha em prevenção de fraude no banking sabe que a resposta não é uma única tecnologia. É uma arquitetura.

Em 2025, três camadas se consolidaram como o novo padrão do que se chama internamente de “advanced identity assurance”.

Liveness ativo com desafios randômicos. Em vez de pedir uma piscada, o sistema pede ao usuário para mover a cabeça em ângulos não previsíveis, ler uma sequência de números gerada na hora, ou interagir com elementos posicionados em coordenadas aleatórias na tela. Modelos generativos ainda não respondem bem a estímulos imprevistos.

Document verification com análise de propriedades físicas. Sai a checagem de OCR. Entra a análise de hologramas, microimpressões, padrões de impressão tinta versus laser, e propriedades de captura ótica do scanner. Documento renderizado por IA pode ter dados corretos, mas não tem as propriedades físicas que sensores conseguem detectar.

Biometria comportamental contínua. A forma como você digita, segura o telefone, pausa entre toques, move o cursor. Tudo isso compõe um padrão único. Continua sendo monitorado depois do login, não só no onboarding. É o que captura o fato de que um deepfake passa pelo KYC mas não comporta-se como humano nos primeiros 30 dias.

Adicione a isso device intelligence, análise de risco baseada em grafo de relacionamento, e modelos próprios de detecção de anomalia. E você tem um stack que funciona. O problema é que esse stack envolve quatro, cinco, seis fornecedores diferentes.

Onde vivem providers nessa conversa

Aqui é onde a história fica concreta para quem está construindo fintech em 2026.

Trocar fornecedor de antifraude é um projeto de meses. Trocar provedor de KYC, idem. Adicionar biometria comportamental nova ao app exige refatoração do SDK. Integrar liveness ativo demanda time de produto, de design, de mobile, de back-end. E nenhuma dessas integrações conversa entre si por padrão.

O resultado é que mesmo fintechs que sabem o que precisam fazer, levam de seis a doze meses para ajustar a stack. Nesse intervalo, a fraude está rodando.

A camada de orquestração que construímos, CoreFlow, foi desenhada exatamente para esse tipo de cenário. Em vez de cada fintech precisar integrar diretamente com Sumsub, Unico, Idwall, ClearSale, Sift, e mais quatro outros, a aplicação se conecta com o CoreFlow. O CoreFlow conecta com todos eles. Trocar um fornecedor passa a ser uma decisão de produto, não um projeto de engenharia.

Em prevenção de fraude isso é decisivo. Porque a velocidade que o atacante muda de vetor é hoje semanal, não anual. Se o seu provedor de liveness é derrotado por uma nova técnica, você precisa conseguir trocar de provedor em horas, não em trimestres.

Esse é o ponto que muda margem para fintechs no próximo ciclo. Não é qual provedor antifraude você usa. É a sua capacidade de mudar de provedor sem mexer no app.

Três perguntas para a sua mesa, na próxima reunião

A última coisa que faço quando converso com C-level de fintech sobre segurança é deixar três perguntas. Funcionam como termômetro.

Quanto tempo levou seu time para trocar de provedor de biometria na última vez? E quanto levaria se precisasse trocar amanhã? A diferença entre essas duas respostas mostra a sua dívida de arquitetura.

Sua matriz de risco assume qual percentual de contas abertas em 2026 podem não corresponder a humanos reais? Se a resposta não foi atualizada nos últimos seis meses, está errada.

Quantos vetores de identidade você combina antes de liberar uma conta com capacidade de PIX? Se forem três ou menos, você está operando padrão de 2021.

A fraude com IA generativa é uma das poucas histórias em fintech onde a aceleração do atacante é exponencial e a aceleração da defesa é linear. Quem entender isso e desenhar a arquitetura para mudar de fornecedor rápido vai pagar o preço da defesa. Quem não entender vai pagar o preço da fraude.

E em 2026, o segundo preço já é o mais caro.

Fontes citadas neste post:

Sumsub. Identity Fraud Report 2024. sumsub.com/resources
Onfido (Entrust). Identity Fraud Report 2024. onfido.com
Microsoft. Digital Defense Report 2024. microsoft.com/security
Anti-Phishing Working Group. Phishing Activity Trends Report 2024. apwg.org
Deloitte Center for Financial Services. Generative AI is Expected to Magnify the Risk of Deepfakes and Other Fraud in Banking. outubro 2024.
FEBRABAN. Pesquisa de Fraudes 2024. febraban.org.br
Banco Central do Brasil. Resoluções sobre PIX e devolução cautelar 2024-2025. bcb.gov.br
Reuters. Arup deepfake fraud case. fevereiro 2024.