Resumo: o que é device fingerprinting
- 102+ sinais de navegador, hardware e rede coletados, com 40+ atributos hasheados em um identificador de dispositivo que sobrevive a limpezas de cookie, incognito e mudanças de IP.
- Cinco categorias de sinais: hardware (GPU, CPU), rendering (canvas, WebGL, fontes), ambiente (fuso horário, idioma), rede (TLS, ordem de headers), comportamento (mouse, digitação).
- Seu trabalho principal em trabalho de fraude 2026: evidência CE 3.0 para disputas de chargeback.
Como funciona o device fingerprinting
Todo o processo corre dentro do navegador do utilizador, não armazena nenhum cookie e devolve um veredito de risco via API antes de um início de sessão ou uma transação se concluir. Eis como funciona, passo a passo.
-
Um script leve corre dentro do navegador do utilizador no início de uma sessão. Normalmente é entregue através de uma única tag de script e não acrescenta latência percetível.
-
O script lê mais de 100 propriedades de navegador e hardware. Estas incluem o resultado da renderização de canvas (o resultado de desenhar uma imagem de teste num elemento canvas de HTML usando a GPU e o controlador gráfico do dispositivo), o comportamento do WebGL que reflete o modelo da GPU e a versão do controlador, os tipos de letra instalados que variam consoante o sistema operativo e a configuração de software, a impressão digital do audio-context produzida pelo pipeline de áudio do navegador, a resolução e a profundidade de cor do ecrã, o fabricante da GPU e a string do renderizador, o número de núcleos do CPU, a memória do dispositivo e a assinatura TLS handshake fingerprint TLS, uma característica da forma como o navegador negoceia ligações encriptadas.
-
Estas propriedades são combinadas num hash, uma string de comprimento fixo que representa essa configuração específica do dispositivo. Dois dispositivos com hardware e software idênticos produzem hashes idênticos. Alterar qualquer propriedade relevante, como atualizar o controlador gráfico ou mudar de versão do navegador, produz um hash diferente, que a cside usa para detetar alterações de configuração que possam sinalizar fraude.
-
O hash é comparado com o histórico do dispositivo na plataforma. O sistema pergunta: este dispositivo já foi visto antes, está associado à conta que está a tentar iniciar sessão, apareceu o mesmo dispositivo em várias contas distintas, apareceu em eventos de fraude anteriores?
-
Um veredito de risco é devolvido em tempo real via API, antes de qualquer transação ou início de sessão se concluir. O veredito alimenta diretamente os fluxos de trabalho de autenticação, checkout e revisão de fraude.
O que o device fingerprinting apanha
O device fingerprinting deteta quatro tipos distintos de fraude: account takeover, multi-contas, fraude de novas contas e fraude de chargeback. Cada um assenta no mesmo hash de dispositivo estável gerado no início da sessão, que persiste através do modo de navegação anónima, do encaminhamento por VPN e da limpeza de cookies.
Account takeover. Quando uma conta conhecida submete credenciais válidas mas a impressão digital do dispositivo é desconhecida, é um forte indicador de que as credenciais foram comprometidas e estão a ser usadas no dispositivo do atacante. Palavra-passe correta, dispositivo errado. A divergência de impressão digital despoleta um desafio adicional (step-up) ou bloqueia a sessão até revisão manual. Veja como isto se traduz nas defesas de account takeover.
Multi-contas. Quando a mesma impressão digital de dispositivo regista várias contas, revela uma rede de contas falsas independentemente de como o atacante variou os endereços de e-mail, os nomes ou os endereços IP. Um dispositivo equivale a um ator. O padrão é especialmente prejudicial no abuso de bónus em iGaming, na manipulação de vendedores em marketplaces e no cultivo de identidades em fintech, tudo alvos da deteção de multi-contas.
Fraude de novas contas. Um dispositivo desconhecido combinado com uma elevada velocidade de registos, sinais de geolocalização incongruentes e dados pessoais sintéticos cria um quadro de risco compósito. O device fingerprinting ancora esse quadro a uma máquina específica, tornando possível associar tentativas de registo fraudulentas ao longo de várias sessões e dias.
Fraude de chargeback. Um ID de dispositivo capturado no checkout cria um registo permanente de qual o dispositivo que concluiu a transação. Quando um cliente contesta uma compra legítima, a impressão digital do dispositivo é prova corroborativa de que foi concluída no seu dispositivo conhecido. A cside integra isto em provas de chargeback para respostas a contestações.
O account takeover é o mais caro destes. As perdas por account takeover nos EUA ascendem a dezenas de milhares de milhões de dólares por ano na investigação sobre fraude de identidade da Javelin, e o device fingerprinting na autenticação é um dos controlos mais diretos contra as campanhas de credential stuffing que estão por trás dessas perdas.
Porque é que o device fingerprinting supera os cookies e o rastreio por IP
Comparam-se habitualmente três métodos de rastreio. O device fingerprinting é o único que resiste nas condições que os fraudadores criam rotineiramente.
Os cookies são ficheiros armazenados no dispositivo do utilizador. Um fraudador limpa os cookies entre sessões e a ligação de rastreio quebra-se. Os navegadores em modo privado ou anónimo também suprimem o armazenamento de cookies. Para a deteção de fraude, um identificador baseado em cookies é reposto em cada sessão de ataque.
Os endereços IP são atribuídos pelos fornecedores de serviços de Internet e mudam com frequência. Mais crítico ainda, as redes de proxy residencial atribuem um endereço IP novo a cada pedido, tornando impossível associar o mesmo atacante entre sessões apenas pelo IP. As listas de reputação de IP não conseguem acompanhar a escala da infraestrutura moderna de proxy residencial.
As impressões digitais de dispositivo derivam do estado do hardware e do software, e não de qualquer identificador armazenado ou atributo ao nível da rede. O resultado da renderização de canvas, o comportamento da GPU e os resultados do audio-context não mudam quando um utilizador limpa os cookies, abre um separador anónimo ou se liga através de uma VPN. O dispositivo subjacente é o mesmo, e a impressão digital reflete isso.
O device fingerprinting é legal? RGPD e privacidade
O device fingerprinting para prevenção de fraude é lícito ao abrigo do RGPD, desde que a implementação não armazene dados pessoais e use uma base jurídica apropriada.
Não são armazenados dados pessoais no pipeline de fingerprinting da cside. A impressão digital é um hash de propriedades do dispositivo, não um identificador pessoal. Não está associada a um nome, endereço de e-mail ou endereço IP no armazenamento de dados, e conhecer um hash não identifica um indivíduo.
A base jurídica aplicável ao abrigo do artigo 6.º, n.º 1, alínea f), do RGPD é o interesse legítimo. A prevenção de fraude é um interesse legítimo reconhecido, e o processamento de um hash de dispositivo não pessoal com o fim de detetar fraude satisfaz o teste de três partes: existe uma finalidade legítima, o processamento é necessário para essa finalidade e os direitos fundamentais do indivíduo não são sobrepostos dados os dados mínimos envolvidos.
O processo de fingerprinting não define nenhum cookie. Isso significa que não é necessário nenhum banner de consentimento de cookies, mecanismo de opt-in ou atualização da plataforma de gestão de consentimento.
O device fingerprinting da cside tem certificação SOC 2 Type II, fornecendo a verificação por um auditor independente dos controlos de segurança em torno do tratamento de dados. Essa certificação é importante para a due diligence de aquisição empresarial e para implementações em setores regulados nos serviços financeiros, no gaming e na saúde.
