Resumo: fraude de nova conta em 2026
- Três formas: identidade sintética (fabricada), identidade roubada (vítima real), e abuso de bônus ou trial (e-mail descartável).
- O stack de detecção: continuidade de fingerprint de dispositivo, reputação de e-mail e telefone, velocidade comportamental, correlação entre contas.
- Capturar no cadastro é muito mais barato que remediar depois. Pós-cadastro você paga em chargebacks e reputação.
O que é a fraude de novas contas?
A fraude de novas contas (NAF) ocorre quando um fraudador abre uma conta usando uma identidade fabricada, roubada ou descartável em vez de comprometer uma existente. Distingue-se da tomada de controlo de conta (ATO): a ATO ataca uma conta estabelecida após o facto, enquanto a NAF ataca o próprio registo. A janela de deteção é diferente, o que significa que os sinais relevantes estão na interação de registo, não no comportamento pós-início de sessão.
O termo é usado por analistas de fraude, instituições financeiras e empresas de pagamentos como a categoria abrangente para três padrões de ataque distintos.
Os três tipos de fraude de novas contas
| Tipo | Identidade utilizada | Alvos principais | Objetivo principal |
|---|---|---|---|
| Fraude de identidade sintética | Fabricada ou mistura real+fabricada | Bancos, credores, fintech | Acumular crédito, depois desaparecer |
| Manipulação de identidade real | Identidade real roubada | Qualquer produto financeiro com KYC | Extrair valor em nome da vítima |
| Criação de contas falsas | Dados de contacto descartáveis ou gerados | SaaS, jogos, e-commerce, fintech | Abuso de bónus, acesso a períodos de avaliação, multi-contas |
Fraude de identidade sintética
A fraude de identidade sintética constrói uma nova identidade em vez de roubar uma existente. Um método comum combina um número de Segurança Social real, muitas vezes pertencente a uma criança ou a uma pessoa com pouco historial de crédito, com um nome, data de nascimento e morada inventados. A identidade resultante pode passar em muitas verificações padrão porque um elemento é real.
Após abrir uma conta, os fraudadores de identidade sintética normalmente constroem um historial de pagamentos ao longo de meses, aumentando gradualmente os limites de crédito. No momento de crédito disponível máximo, executam um "bust-out": retiram todo o crédito disponível e abandonam a conta. O Federal Reserve Bank de Nova Iorque identificou a fraude de identidade sintética como uma das formas de criminalidade financeira de crescimento mais rápido no sistema de pagamentos dos EUA numa investigação que se tornou a referência padrão para o setor de crédito.
Manipulação de identidade real
A manipulação de identidade real usa uma identidade completa e real, obtida através de uma violação de dados, campanha de phishing ou dark web, para abrir novas contas em nome da vítima sem o seu conhecimento. A vítima descobre a fraude quando recebe um extrato, quando uma verificação de crédito assinala novas contas, ou quando começa a atividade de cobrança de dívidas que não contraiu.
O desafio para a deteção é que a identidade em si é legítima. Os controlos de verificação padrão podem ser superados porque o fraudador apresenta informações precisas sobre a pessoa real. A deteção deve vir de sinais externos aos dados de identidade: comportamento do dispositivo, padrões de interação no registo e sinais de infraestrutura de email que não correspondem ao historial da pessoa real cuja identidade está a ser utilizada.
Criação de contas falsas
A criação de contas falsas usa dados de contacto descartáveis ou gerados, endereços de email temporários, números de telefone temporários, informações pessoais sintéticas, para abrir contas com o único propósito de extrair valor da plataforma. Os objetivos variam: bónus de registo, períodos de avaliação gratuita, recompensas por referência ou vantagens de múltiplas contas em jogos.
A criação organizada de contas falsas opera em escala. Um único operador pode criar centenas de contas falsas em horas combinando frameworks de automação, navegadores anti-deteção e redes de proxies residenciais. Cada ferramenta na pilha contorna uma camada de deteção específica: o navegador anti-deteção roda as impressões digitais do dispositivo para que cada registo pareça vir de um dispositivo diferente; o proxy residencial roda os endereços IP para que cada registo pareça vir de uma ligação doméstica diferente; o framework de automação injeta padrões de comportamento de rato e teclado para que a interação pareça humana ao nível do formulário.
Onde os controlos de registo tradicionais ficam aquém
A segurança de registo padrão assenta em três categorias de sinais: verificação de email, verificação de telefone e reputação de IP. Cada uma cobre um vetor do ataque.
A verificação de email confirma que uma caixa de correio pode receber mensagens. Não confirma que o registante é humano, que o domínio pertence a uma empresa real, ou que a caixa de correio não é temporária. A nova infraestrutura de email descartável, domínios registados na semana anterior, aprovisionados para uma campanha de fraude, passa nas verificações de listas de bloqueio de domínios porque as listas cobrem fornecedores conhecidos, não novos.
A verificação de telefone por SMS OTP confirma que um SIM pode receber mensagens. Não confirma que o SIM pertence ao registante. As APIs de números de telefone temporários que approvisionam um número, recebem um código de verificação e descartam o número a seguir estão disponíveis comercialmente e contornam o SMS OTP na camada de criação de conta.
As verificações de reputação de IP assinalam pontos de saída de VPN conhecidos e intervalos de centros de dados. As redes de proxies residenciais encaminham o tráfego através de ligações residenciais legítimas, tornando os registos de um proxy residencial indistinguíveis dos de um consumidor real numa ligação de banda larga doméstica.
A lacuna é o próprio navegador. Nenhum destes três controlos vê o que está a acontecer no navegador no momento do registo. Um atacante que usa um novo domínio de email descartável, encaminha através de um proxy residencial e apresenta uma impressão digital de dispositivo limpa de um navegador anti-deteção passa nas três categorias de sinais simultaneamente.
O que a deteção na camada do navegador acrescenta
A deteção na camada do navegador funciona na própria interação de registo, antes de os sinais de identidade serem submetidos. Observa o ambiente de execução do navegador, onde as ferramentas anti-deteção e os frameworks de automação operam, em vez dos dados de identidade que essas ferramentas apresentam.
Os sinais disponíveis nesta camada existem independentemente dos identificadores que os fraudadores rodam:
- Sinais do contexto de execução: as ferramentas de navegadores anti-deteção deixam rastos no ambiente de execução JavaScript que são detetáveis mesmo quando a falsificação de APIs de fingerprinting individuais é bem-sucedida. A ferramenta ocupa o ambiente de execução de formas que os navegadores genuínos não fazem.
- Sinais comportamentais: o timing de interação, os padrões de trajetória do rato e o ritmo de preenchimento de formulários distinguem o comportamento com script da interação humana genuína, mesmo quando o scripting foi ajustado para imitar padrões humanos.
- Consistência do dispositivo entre sessões: correlacionar sinais de dispositivo entre sessões de registo da mesma infraestrutura identifica campanhas coordenadas mesmo quando cada registo individual parece independente.
O Signup Shield implementa como um único fragmento JavaScript de primeira parte no registo. Sem proxy, sem alterações de DNS, funciona na página de registo ativa nos navegadores reais dos visitantes. Produz um veredicto de confiança ao nível da sessão antes de a criação da conta estar concluída, dando às equipas de fraude e crescimento a opção de bloquear, sinalizar ou aumentar a verificação de um registo suspeito antes de a conta existir.
Para uma análise mais aprofundada das técnicas específicas que os atacantes utilizam e os controlos que param a criação de contas falsas em cada camada, consulte como prevenir a criação de contas falsas. Para a fraude de múltiplas contas especificamente em fintech e SaaS, incluindo a impressão digital de dispositivos e a inteligência de domínio de email aplicada a populações de contas existentes, consulte deteção de fraude de múltiplas contas.
