Resumo: deteção de ATO na camada de sessão contra proxy residencial
- Os motores centrais de fraude bancária são excelentes a pontuar a transação que acaba de acontecer e cegos ao dispositivo que a fez, por isso uma credencial válida sobre um proxy residencial passa incólume.
- A cside devolve impressão de dispositivo, estado de VPN por handshake TLS, deteção de agentes de IA e dispositivo novo em conta conhecida nos três vetores fintech, mapeados aos 13,5 mil milhões de USD em perdas de ATO nos EUA em 2025 (subida de 18% face a 2024, 6 milhões de consumidores afetados, segundo a Javelin), tudo com certificação SOC 2 Tipo II.
- Se o teu modelo de risco ainda trata um IP residencial limpo como limpo, junta a camada de sessão. Se os anéis de identidade sintética não estão na tua P&L, mantém o motor de regras que tens.
O software de prevenção de fraude bancária tem de cobrir três vetores de ataque ao mesmo tempo: a tomada de contas com credenciais roubadas, a fraude de novas contas no onboarding e a fraude de identidade sintética que passa o KYC padrão. Cada um deles deixa um sinal no navegador que as plataformas de fraude server-side nunca recolhem, e é por isso que a deteção na camada do navegador se tornou um complemento necessário à infraestrutura central de fraude bancária.
Os três principais vetores de fraude nos serviços financeiros
A tomada de contas é o vetor de fraude de maior volume na banca. Um atacante obtém um par de credenciais válido, normalmente a partir de uma fuga de dados ou de uma campanha de phishing, e usa-o para iniciar sessão. A credencial está correta. O dispositivo não. Um titular de conta real acumula um histórico de fingerprint de dispositivo ao longo do tempo, enquanto o atacante surge a partir de um dispositivo que a conta nunca viu.
A fraude de novas contas visa o processo de abertura de contas. Os fraudadores candidatam-se a contas, produtos de crédito ou empréstimos usando identidades roubadas ou sintéticas construídas a partir de uma mistura de dados reais e fabricados. O objetivo é aceder a crédito, branquear fundos ou criar contas para uso fraudulento posterior.
A fraude de identidade sintética é a mais difícil das três de apanhar no momento da candidatura. Uma identidade sintética costuma passar o KYC padrão porque carrega dados reais suficientes para satisfazer a verificação. O sinal aparece no padrão do dispositivo. Um único dispositivo a abrir várias contas com dados de identidade diferentes é a assinatura de um grupo de identidades sintéticas.
Onde as ferramentas server-side têm uma lacuna de deteção
As plataformas centrais de fraude bancária pontuam transações e eventos de conta com motores de regras e machine learning treinado com dados históricos. Funcionam bem para detetar padrões de transação anómalos depois de uma conta estar estabelecida e ativa.
O que não recolhem são sinais do navegador. Quando um atacante usa um par de credenciais válido a partir de um dispositivo novo num proxy residencial, a verificação server-side vê uma credencial válida, um IP limpo e nenhuma anomalia na transação. Todas as verificações passam. O dispositivo por detrás do proxy, o fingerprint do navegador que apresenta e o facto de um script poder estar a controlá-lo permanecem invisíveis para a camada server-side.
As perdas por tomada de contas nos EUA atingiram os 13,5 mil milhões de dólares em 2025, um aumento de 18% face a 2024, afetando 6 milhões de consumidores, com as contas de serviços financeiros como alvo principal (Javelin Strategy & Research 2026).
| Ano | Perdas por tomada de contas nos EUA |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
O navegador é a única camada onde a discrepância de dispositivo é visível. Uma ferramenta de sinais da camada do navegador recolhe o fingerprint do dispositivo, as características TLS e o comportamento da sessão no carregamento da página, antes de qualquer pedido de autenticação ser despoletado. Essa é a lacuna que as ferramentas da camada do navegador foram construídas para fechar.
Porque é que os proxies residenciais derrotam os controlos baseados em IP
A limitação de taxa por IP e as verificações de reputação de IP são partes padrão de uma stack de fraude bancária. Por si só não bastam, porque os serviços de proxy residencial entregam aos atacantes endereços IP que não têm qualquer histórico de fraude.
Os proxies residenciais encaminham o tráfego de ataque através de ligações de internet de consumidores reais, por isso cada pedido chega num IP residencial limpo. Os sistemas de reputação não têm nada para assinalar. O atacante alterna os IPs entre tentativas, por isso os limites de taxa por IP nunca são acionados.
O fingerprinting TLS TLS handshake fingerprint identifica ligações VPN e de proxy a partir do próprio handshake TLS, independentemente do endereço IP. Um proxy residencial tem uma assinatura TLS handshake fingerprint consistente que difere de um navegador padrão a ligar-se diretamente. Combinado com um novo fingerprint de dispositivo numa conta conhecida, isso é um sinal de ATO de elevada confiança que os controlos baseados em IP não conseguem produzir.
Sinais da camada do navegador da cside em cada vetor fintech
A deteção de fraude na camada do navegador da cside mapeia cada um dos três vetores de fraude bancária com resultados de sinais específicos.
Para a tomada de contas, o fingerprint do dispositivo mostra se a sessão vem de um dispositivo que a conta já usou antes. O sinal TLS TLS handshake fingerprint mostra se a ligação passa por uma VPN ou proxy. Um novo fingerprint mais uma ligação por proxy numa conta de valor elevado é um sinal de risco de alta prioridade. A cside também assinala agentes de IA a controlar a sessão do navegador, incluindo o Playwright, o Puppeteer, o OpenAI Operator e o Claude for Chrome, que aparecem em campanhas automatizadas de credential stuffing.
Para a fraude de novas contas, o fingerprint do dispositivo associa vários pedidos ao mesmo dispositivo, mesmo quando o candidato apaga os cookies ou muda de navegador. Um único dispositivo a submeter vários pedidos de conta com dados pessoais diferentes num curto espaço de tempo é um forte sinal de fraude de novas contas que a verificação de identidade, por si só, não consegue produzir.
Para a fraude de identidade sintética, o padrão do dispositivo é o sinal principal. Um grupo de identidades sintéticas cria várias identidades e abre uma conta com cada uma. Cada identidade passa o KYC isoladamente. Vistas em conjunto entre contas, o fingerprint do dispositivo liga-as de volta ao mesmo dispositivo ou a um pequeno conjunto de dispositivos, o que expõe o grupo.
Integração com a sua stack de fraude existente
A cside devolve os seus sinais como uma resposta de API em JSON. O seu motor de regras de fraude existente lê esses sinais em conjunto com os dados de transação, acrescentando um conjunto de funcionalidades da camada do navegador a qualquer lógica de pontuação que já execute.
A integração é uma tag de script nas suas páginas de início de sessão e de abertura de conta. O script recolhe sinais do navegador e devolve um token de sessão. O seu backend consulta o conjunto de sinais desse token quando processa o evento de autenticação ou de candidatura.
A cside tem certificação SOC 2 Tipo II. O fingerprinting de dispositivos sem cookies significa que nenhuma informação de identificação pessoal é armazenada ou transmitida, o que se alinha com uma base de interesse legítimo do RGPD e evita a sobrecarga de gestão de consentimento que o rastreio de dispositivos baseado em PII acarreta. A certificação enquadra-se nas avaliações de segurança de fornecedores padrão da banca.
Postura de conformidade
A certificação SOC 2 Tipo II abrange os controlos de segurança, disponibilidade e confidencialidade em torno da recolha e processamento de sinais da cside. É a certificação que as equipas de segurança dos serviços financeiros normalmente exigem ao integrar um novo fornecedor.
O fingerprinting sem cookies deriva o identificador do dispositivo inteiramente a partir das características do navegador e do hardware, sem qualquer dependência de cookies ou de armazenamento local. O fingerprint mantém-se consistente ao longo das sessões sem armazenar PII no dispositivo do utilizador, por isso os requisitos de consentimento do RGPD para cookies de rastreio não se aplicam.
Os Requisitos 6.4.3 e 11.6.1 do PCI DSS são obrigatórios desde março de 2025. A cside produz um relatório de conformidade PCI em 2 segundos validado por um QSA da VikingCloud. Para os bancos que operam programas de cartões de pagamento ou aceitação card-not-present, essa cobertura PCI é um benefício adicional a par da função de sinais de fraude.
