Identificação e verificação de clientes

A triagem, o monitoramento, a Travel Rule e os reportes pressupõem que a empresa saiba quem é seu cliente. Um prestador de serviços de criptoativos que cadastra clientes remotamente em poucos minutos faz essa suposição em grande escala; por isso, a identificação e a verificação são o ponto de partida de boa parte das fraudes e de muitas constatações de supervisão. Esta aula aborda o que coletar, como verificar, como avaliar a identidade digital pelo nível de garantia e quais ataques têm como alvo esse processo.

O que a Recomendação 10 exige

A Recomendação 10 do FATF (Devida diligência do cliente) exige que as entidades obrigadas identifiquem o cliente e verifiquem essa identidade usando documentos, dados ou informações confiáveis e independentes. A mesma recomendação abrange os beneficiários finais (consulte a aula Pessoas jurídicas e beneficiários finais), a finalidade e a natureza pretendida do relacionamento e a devida diligência contínua (consulte a aula Devida diligência contínua e encerramentos).

A CDD é exigida quando:

• uma relação de negócios é estabelecida;
• uma transação ocasional ultrapassa o limite designado, que a INR.15 estabelece em USD/EUR 1.000 para prestadores de serviços de ativos virtuais (VASPs), muito abaixo do limite geral de USD/EUR 15.000;
• há suspeita de lavagem de dinheiro ou financiamento do terrorismo, qualquer que seja o valor;
• a empresa duvida da veracidade ou da adequação dos dados de identificação obtidos anteriormente.

A verificação deve ocorrer antes ou durante o cadastro. A norma permite que seja concluída pouco depois, desde que isso aconteça assim que for razoavelmente viável, seja essencial para evitar a interrupção das atividades normais e os riscos sejam gerenciados. Um VASP que usa essa opção normalmente permite depósitos, mas bloqueia saques até a conclusão da verificação. Se não for possível concluir a CDD, a empresa não deve abrir a conta, deve encerrar um relacionamento existente e deve considerar o envio de um reporte de transação suspeita. As regras nacionais diferem quanto aos campos de dados obrigatórios; por isso, uma empresa global estabelece seu padrão com base no regime mais rigoroso que atende ou mantém um mapeamento de campos por país.

Dados de identidade e evidências

A orientação do FATF sobre ativos virtuais e VASPs cita endereço IP com registro de data e hora, dados de geolocalização, identificadores de dispositivo, endereços de carteira e hashes de transação como exemplos de informações adicionais que um VASP pode coletar, pois, em uma relação não presencial, muitas vezes revelam mais sobre o cliente do que um endereço postal.

A verificação assume duas formas. A verificação documental examina um documento emitido pelo governo: seus elementos de segurança, os dígitos de verificação na zona de leitura óptica e, no caso de passaportes e documentos de identidade eletrônicos produzidos conforme a ICAO Doc 9303, o chip. Ler o chip e validar a assinatura digital do Estado emissor sobre os dados (autenticação passiva) é muito mais confiável do que inspecionar uma foto do documento. A verificação não documental compara os dados do cliente com fontes confiáveis e independentes, como registros oficiais quando acessíveis, dados de crédito ou de telecomunicações, ou uma conta bancária em nome do próprio cliente. O uso de duas fontes independentes reduz o risco de que uma única fonte comprometida aprove uma identidade falsa. Documentos de comprovação de endereço, como contas de serviços públicos, são fáceis de falsificar e, por si só, devem ter pouco peso.

Cadastro remoto e identidade digital

A Orientação do FATF sobre Identidade Digital (março de 2020) divide um sistema de identidade digital em prova e inscrição da identidade (coletar e verificar evidências e, em seguida, vincular a identidade a um autenticador), autenticação e gestão do ciclo de vida (confirmar que a pessoa que retorna é a pessoa inscrita e lidar com credenciais perdidas ou comprometidas) e, opcionalmente, portabilidade e interoperabilidade (reutilizar uma identidade verificada em outros contextos). A orientação pede que as empresas entendam o nível de garantia de qualquer sistema em que se apoiem e o ajustem ao seu risco.

A orientação usa a NIST Special Publication 800-63 como exemplo principal. A NIST separa os níveis de garantia de identidade (IAL), os níveis de garantia de autenticação (AAL) e os níveis de garantia de federação (FAL). A quarta revisão, finalizada em julho de 2025, acrescentou controles contra ataques de injeção e mídias forjadas, como deepfakes.

Três pontos da orientação do FATF são importantes na prática. A empresa regulada continua responsável pela CDD mesmo quando um provedor de identidade digital faz as verificações. A empresa deve poder acessar os dados de identidade subjacentes ou dispor de um processo para que as autoridades os obtenham. E o cadastro não presencial não é automaticamente de alto risco: uma identidade digital confiável e independente, com mitigação adequada, pode representar risco padrão ou até menor. As alterações de fevereiro de 2025 do FATF à INR.10 reforçaram o mesmo ponto na própria norma, tratando relações não presenciais como potencialmente de maior risco apenas quando não há mitigação de risco adequada.

Verificações de vivacidade e deepfakes

A prova remota costuma comparar uma selfie com a foto do documento (correspondência facial um para um) e realizar uma verificação de vivacidade para confirmar que há uma pessoa viva diante da câmera. A série ISO/IEC 30107 define isso como detecção de ataques de apresentação e estabelece como testá-la. A verificação de vivacidade pode ser passiva (análise de uma única captura) ou ativa (o usuário vira a cabeça ou segue instruções).

Duas famílias de ataques exigem defesas diferentes:

• Ataques de apresentação colocam algo diante da câmera: uma foto impressa, a reprodução de uma tela ou uma máscara. Os testes de vivacidade visam detectá-los.
• Ataques de injeção contornam completamente a câmera, inserindo um vídeo deepfake ou uma imagem manipulada no fluxo de dados por meio de uma câmera virtual, um emulador ou um aplicativo adulterado. A detecção de ataques de apresentação não os detecta. Entre as defesas estão verificações de integridade do dispositivo e de emuladores, atestação da câmera e do aplicativo e análise dos metadados da captura.

Uma terceira ameaça consegue contornar ambos: uma pessoa real remunerada para passar pela verificação de uma conta que será usada por outra pessoa. A detecção depende da associação de sinais entre contas: o mesmo rosto com nomes diferentes, muitas contas em um único dispositivo e uma conta cujo comportamento posterior não condiz com a pessoa que se cadastrou.

Identidades sintéticas e tomada de controle de contas

Uma identidade sintética combina dados reais e inventados, por exemplo, um número de identidade genuíno pertencente a uma criança ou a uma pessoa falecida com um novo nome, foto e número de telefone. Ela passa por verificações que perguntam apenas se cada atributo existe. Os sinais de alerta incluem uma pegada de dados escassa ou muito recente, um número de identidade emitido em uma data incompatível com a data de nascimento e números de telefone, e-mails ou dispositivos compartilhados com outras contas.

A tomada de controle de conta é o problema oposto: um cliente genuíno e verificado cuja conta agora é controlada por um criminoso, por meio de phishing, preenchimento de credenciais, troca de SIM ou roubo de sessão. Como os saques de criptoativos são irreversíveis, a sequência habitual é rápida: entrar em um novo dispositivo, alterar o e-mail ou o segundo fator, adicionar um novo endereço de saque e esvaziar a conta. Os controles incluem:

• autenticação resistente a phishing para logins e saques (um AAL mais alto);
• nova autenticação e um período de espera após uma alteração de credenciais, dispositivo ou dados de contato;
• listas de permissões de endereços de saque, com um intervalo antes que um novo endereço possa ser usado;
• alertas sobre logins em novos dispositivos e de novas localizações geográficas, enviados ao canal de contato verificado do cliente.

A orientação do FATF sobre identidade digital observa que autenticar os clientes sempre que acessam uma conta contribui para a devida diligência contínua. A tomada de controle de contas também é um problema de AML, pois uma conta comprometida pode servir como conta de mula com KYC regular.

Registro das evidências de verificação

Um supervisor ou auditor deve poder reconstruir o que foi verificado, por qual método, com qual resultado e quem tomou a decisão. Um registro mínimo de verificação:

{
  "customer_id": "C-20418",
  "verified_at": "2026-09-14T10:22:05Z",
  "method": "remote_document_and_biometric",
  "assurance_target": "IAL2",
  "document": {"type": "passport", "issuer": "Country B", "mrz_check": "pass", "chip_passive_auth": "pass"},
  "biometric": {"face_match_score": 0.94, "liveness": "pass", "injection_signals": "none"},
  "data_checks": {"independent_sources_matched": 2, "duplicate_face_or_device": false},
  "outcome": "approved",
  "reviewer": "auto",
  "ruleset_version": "kyc-rules-4.3"
}

O registro identifica o método e o nível de garantia pretendido, mantém o resultado de cada verificação separado em vez de registrar apenas uma aprovação geral, informa se foram encontrados rostos ou dispositivos duplicados e identifica a versão do conjunto de regras para que a decisão possa ser explicada posteriormente. Uma regra de decisão típica aprova quando todas as verificações são aprovadas, encaminha um caso para análise humana quando uma verificação é inconclusiva (uma pontuação baixa de correspondência facial ou um documento desgastado) e rejeita em caso de falha evidente, como um chip falsificado ou sinais de injeção. Os registros devem ser mantidos por pelo menos cinco anos após o encerramento do relacionamento (consulte a aula Manutenção de registros, proteção de dados e compartilhamento de informações).

Foco no exame: os quatro gatilhos de CDD da R.10 e o limite de USD/EUR 1.000 para transações ocasionais de VASPs estabelecido na INR.15; as condições para concluir a verificação após o cadastro; verificação documental versus não documental, incluindo autenticação passiva baseada em chip; os componentes de um sistema de identidade digital e os níveis de garantia (IAL, AAL, FAL) da Orientação do FATF sobre Identidade Digital (março de 2020), com a NIST SP 800-63 como exemplo; o fato de que o cadastro não presencial não é automaticamente de alto risco; ataques de apresentação versus ataques de injeção e seus controles; sinais de identidades sintéticas e controles contra tomada de controle de contas; o que um registro de verificação deve demonstrar.