O chamado golpe do sósia está colocando à prova a segurança dos sistemas de reconhecimento facial utilizados por bancos e plataformas digitais no Brasil.
Identificada pela Serasa Experian, a modalidade utiliza ferramentas tecnológicas para localizar pessoas fisicamente semelhantes aos criminosos, que tentam assumir suas identidades durante a abertura de contas e a contratação de serviços financeiros.
A ameaça surge em um cenário de crescimento das fraudes de identidade, somente no primeiro semestre de 2026, foram identificadas 2,86 milhões de tentativas, aumento de 32,9% em relação ao mesmo período de 2025.
O levantamento da Serasa Experian aponta que as tentativas detectadas representavam prejuízos potenciais de R$ 3,77 bilhões.
Desse total, 61,1% das ocorrências estavam relacionadas ao setor financeiro, incluindo bancos, financeiras e meios de pagamento.
A expansão desse tipo de crime também levanta dúvidas sobre a responsabilidade das instituições quando a biometria aprova uma identidade falsa.
Para Armando Augusto Piva, especialista em cybersecurity, coordenador e docente do curso de Análise e Desenvolvimento de Sistemas do Centro Universitário de Pinhais (Fapi), a tecnologia continua relevante, mas não deve funcionar isoladamente.
Como funciona
Diferentemente dos golpes tradicionais, nos quais criminosos obtêm primeiro os documentos de uma vítima, a nova modalidade começa pela busca de alguém com características faciais semelhantes às do fraudador.
Segundo a Serasa Experian, sistemas de comparação podem analisar imagens disponíveis em diferentes bases, inclusive aquelas obtidas ilegalmente.
Com a identificação de um possível sósia, os criminosos tentam utilizar seus dados pessoais em cadastros e operações financeiras.
"O problema é que essa tecnologia trabalha com níveis de semelhança e probabilidades, e não com uma identificação absolutamente infalível", explica Piva.
O especialista também aponta que imagens manipuladas por inteligência artificial podem aumentar a complexidade das tentativas de fraude.
Biometria vulnerável
A identificação facial utiliza características do rosto para comparar uma imagem capturada com outra previamente cadastrada.
A aprovação depende de parâmetros técnicos de correspondência definidos pelos sistemas.
"Criminosos podem explorar características físicas semelhantes às de outra pessoa para tentar enganar esses sistemas, especialmente quando existem falhas na verificação de identidade", afirma o docente.
O crescimento das ameaças é acompanhado por investimentos em ferramentas de prevenção.
Apenas no setor financeiro, a Serasa Experian identificou 1,75 milhão de tentativas de fraude de identidade entre janeiro e junho de 2026, alta de 9,5% na comparação anual.
Para Piva, o enfrentamento exige atualização tecnológica e procedimentos adicionais de conferência.
"Por isso, a biometria facial não deve ser utilizada como única forma de identificação. É fundamental combinar diferentes mecanismos de segurança para confirmar que a pessoa realmente é quem afirma ser", destaca.
Entre essas medidas estão a prova de vida, a verificação documental, a análise do dispositivo utilizado e a identificação de comportamentos incompatíveis com o perfil do cliente.
Responsabilidade bancária
Quando uma conta é aberta fraudulentamente, a instituição financeira pode responder pelos prejuízos decorrentes de falhas em seus mecanismos de segurança.
A Súmula 479 do Superior Tribunal de Justiça (STJ) estabelece a responsabilidade objetiva dos bancos por danos relacionados a fraudes de terceiros que constituam riscos inerentes à atividade bancária.
Isso não significa indenização automática em qualquer golpe, as circunstâncias e a relação entre a falha do serviço e o prejuízo precisam ser analisadas.
"Quando uma conta é aberta de maneira fraudulenta por falhas nesses mecanismos, o banco pode ser responsabilizado pelos prejuízos causados à vítima", ressalta Piva.
A Lei Geral de Proteção de Dados (LGPD) também classifica informações biométricas vinculadas a uma pessoa como dados pessoais sensíveis, sujeitos a exigências específicas de proteção.
Em outubro de 2026, o STJ voltou a destacar que instituições de pagamento também possuem deveres de segurança relacionados à identificação de operações suspeitas e à proteção de informações dos clientes.
Identidade roubada
Uma pessoa pode descobrir que teve sua identidade utilizada indevidamente mesmo sem receber notificações do banco responsável pela conta fraudulenta.
Uma das ferramentas disponíveis é o Registrato, serviço gratuito do Banco Central que reúne informações sobre relacionamentos bancários, empréstimos, financiamentos e chaves Pix associados ao CPF.
"Se identificar uma conta ou operação que não reconhece, o consumidor deve procurar imediatamente a instituição financeira, solicitar a investigação e registrar um boletim de ocorrência", orienta o especialista.
O relatório de contas e relacionamentos é atualizado diariamente, mas pode apresentar atraso de até dois dias úteis.
Já as informações sobre empréstimos são atualizadas mensalmente, enquanto o relatório de chaves Pix possui atualização em tempo real.
Caso a instituição não solucione o problema, o consumidor pode recorrer à ouvidoria, registrar reclamação no Banco Central e procurar os órgãos de defesa do consumidor.
Bloqueio preventivo
Outra ferramenta é o BC Protege+, que permite ao cidadão informar às instituições financeiras que não deseja abrir novas contas naquele momento.
O serviço é gratuito, pode ser ativado pelo portal Meu BC com conta Gov.br de nível prata ou ouro e autenticação em duas etapas.
Os bancos são obrigados a consultar a proteção antes de abrir determinadas modalidades de conta.
O mecanismo não impede todos os tipos de contratação financeira e não substitui os controles de identificação.
Para reduzir a exposição, Piva também recomenda evitar o compartilhamento de documentos e selfies com desconhecidos, desconfiar de links suspeitos e manter a autenticação em duas etapas.
O BC Protege+ permite ainda consultar o histórico das instituições que verificaram a situação do CPF, recurso que pode auxiliar na identificação de tentativas de abertura de contas não reconhecidas.
Siga O Brasilianista!
