Há vários anos, participei de um fórum de usuários de uma empresa que oferecia soluções de fraude e AML para bancos em todo o mundo. Eu trabalhava com tecnologia de AML havia cerca de 5 anos naquela época e tinha um conhecimento muito limitado sobre o mundo da prevenção de fraudes em tempo real. Durante uma das sessões em formato de mesa-redonda, sentei-me ao lado de alguém de um fornecedor de inteligência de dispositivos.
Sabendo quase nada sobre a tecnologia na época, eu o bombardeei com perguntas, culminando em: “Alguém usa inteligência de dispositivos para detectar lavagem de dinheiro?” Ele me disse que não sabia de ninguém fazendo isso, e os outros à mesa, em sua maioria profissionais seniores de AML, estavam céticos em relação à ideia. Quando propus que essa empresa fizesse parceria com uma grande instituição financeira como prova de conceito para ver o que poderiam encontrar, a sugestão foi descartada e a conversa seguiu para outros assuntos.
Avançando vários anos, passamos pelo boom da fraude de identidade sintética impulsionada pela COVID e pelo PPP, pela ascensão do modelo de fraude-como-serviço em plataformas de mídia social e, mais recentemente, por uma explosão de fraudes auxiliadas por IA. O cenário mudou completamente. Hoje, estou desenvolvendo soluções antifraude para todos, desde fintechs em estágio inicial até empresas da Fortune 500. Muitas dessas empresas usam produtos de Inteligência de Dispositivos e Biometria Comportamental (DIBB) para prevenir fraudes, mas, à medida que trabalhei com elas, um pensamento antigo voltou à tona: e se analisássemos as conexões de dispositivos sob a ótica de AML?
Tenho o privilégio de trabalhar com cientistas de dados incríveis. Quando os desafiei a encontrar tipologias de AML usando conexões de dispositivos, eles ficaram empolgados em encarar o desafio. Mas antes de chegarmos a isso, vamos revisitar alguns dos desenvolvimentos no ecossistema de fraude dos últimos anos para entender os componentes do ciclo que vai da fraude à lavagem de dinheiro.
O ciclo de vida do fraudador é mais ou menos assim:
Encontre uma oportunidade:“Qual é o elo mais fraco?” Seja ele uma pessoa ou um sistema, eles procuram o caminho mais fácil e explorável. Por que trabalhar mais do que o necessário?
Ferramentas do ofício: Obter “fullz” ou informações completas na dark web, dumps de cartões, serviços de SIM swap ou laranjas é fácil. Existe todo um mercado clandestino para isso.
Testes e calibração: Os fraudadores testam os controles do alvo para ver o que funciona. Eles usam tentativas de baixo valor para verificar se você vai recusar um cartão roubado, um dispositivo reutilizado ou sinalizar por verificações de velocidade. Essencialmente, eles estão fazendo engenharia reversa dos seus controles de fraude.
Escalonamento: Assim que descobrem o que funciona, eles se movem rapidamente. Se o seu limite máximo for de US$ 500, você começará a ver transações de US$ 495. Se o seu limite de transações por minuto permitir 50, eles farão 49. Nem sempre é extremamente rápido, mas ficará logo abaixo de todos os seus limites para causar o máximo de dano o mais rápido possível.
Saque: É aqui que as coisas ficam complicadas. Seja recebendo mercadorias ou dinheiro, eles acabam tendo que movimentar esses recursos para ocultar a origem dos fundos. Isso muitas vezes acontece por meio de corretoras de criptomoedas, redes P2P, cartões-presente e redes de laranjas.
Explicamos como essas redes de laranjas e esquemas de camadas aparecem no monitoramento em nossa análise de táticas clássicas e em evolução de lavagem de dinheiro.
Iteração: Quando a exploração deixa de funcionar, eles encontram um novo alvo. E como cerca de 80% dos adultos reutilizam senhas, isso é bem fácil. E aquele mercado clandestino que mencionei antes? Eles vendem “métodos” ou instruções de como explorar vulnerabilidades em empresas específicas.
Os cashouts foram o ponto em que realmente nos aprofundamos. O que acontece quando você tem visibilidade de várias fintechs, neobancos e instituições financeiras e consegue enxergar o movimento de dinheiro entre elas? Você passa a ver muito mais conexões do que ao analisar um único cliente isoladamente. Aqui vão alguns exemplos do que encontramos:
Exemplo 1 - Revelando 1.200 contas exclusivas compartilhando um único ID de usuário em um grande neobanco dos EUA
Usando nossos recursos de gráfico de rede, a Sardine vinculou mais de 1.200 contas exclusivas que compartilhavam um único ID de usuário móvel em um cliente neobank. Esse atributo em nível de dispositivo deveria ser exclusivo para cada dispositivo Android, mas estava sendo usado em centenas de dispositivos. Só há uma maneira de isso acontecer: alterando-o intencionalmente.
Isso pode levantar a questão: “Por que alguém faria isso?” Nossa melhor explicação: o ambiente de controle pré-Sardine estava criando listas de permissão com base em recursos específicos, e este provavelmente era um deles. A solução antifraude existente não tinha recursos de mapeamento de rede nem de detecção de anomalias, então nenhum sinal de alerta jamais foi acionado. Como cada ID de dispositivo era diferente, ninguém desconfiou de nada.
Essa quadrilha operava no Sudeste Asiático e movimentou centenas de milhares de dólares entre contas antes de sair para instituições financeiras tradicionais. Laranjas financeiras: simples assim.
Exemplo 2 - 50.000 contas conectadas movimentando fundos transfronteiriços em um único remessador internacional de dinheiro
Pagamentos transfronteiriços são uma coisa completamente diferente. Antes mesmo de começarmos os testes, eu já sabia que encontraríamos algo, mas a dimensão do que descobrimos foi muito além do que eu esperava. Sempre que você lida com pagamentos transfronteiriços, a probabilidade de lavagem de dinheiro é exponencialmente maior do que quando se trabalha, por exemplo, com um banco comunitário. A facilidade com que alguém pode enviar milhares de dólares de um país para outro, fora das instituições financeiras tradicionais, torna a ocultação da origem dos recursos muito mais simples.
Com uma semana de trabalho, descobrimos uma rede de várias centenas de contas conectadas. Com um mês, esse número já passava de 20.000. Com dois meses, estávamos chegando a 50.000 contas conectadas movimentando quantias extraordinárias de dinheiro. A fórmula era simples: receber fundos de um neobank ou de uma corretora de criptomoedas, fazer o dinheiro circular por algumas centenas de contas, consolidar em algumas contas recebedoras e então enviar tudo para um banco tradicional. Lava. Enxágua. Repete.
“Com certeza essas fintechs fizeram KYC dos seus clientes?”, você pode dizer. E sim, fizeram. Então como é que todas essas contas fraudulentas foram criadas?
Exemplo 3 - Encerrando soluções alternativas na economia de bicos
A resposta veio de um lugar inesperado: uma plataforma da economia gig.
Esse cliente inicialmente firmou contrato conosco porque tinha trabalhadores de outros países falsificando sua localização para receber um pagamento maior baseado em geolocalização. Eles já utilizavam ferramentas de verificação de identidade para garantir que não estivessem cadastrando identidades sintéticas, mas os fraudadores continuavam encontrando maneiras de burlar o sistema.
O cliente nos informou sobre um esquema de fraude que descobriram em Bangladesh e que não se encaixava no padrão típico que eles estavam acostumados a procurar. Quando fomos investigar, algo parecia errado: todas as localizações pareciam concentradas em algumas pequenas cidades. Um de nossos cientistas de dados mapeou os eventos de onboarding para mostrar como o esquema crescia ao longo do tempo, e um padrão surgiu, nítido como dia. Os fraudadores estavam indo de porta em porta e cadastrando qualquer pessoa disposta a compartilhar suas informações.
Nos Estados Unidos, ouvi falar de criminosos que miram pessoas em situação de rua, estudantes universitários e outros, usando suas identidades ou contas bancárias para cometer fraudes, mas a escala disso era diferente de tudo o que eu já tinha visto. Dezenas de rotas serpenteavam pelos bairros onde novas contas estavam sendo criadas, cada uma delas seguindo de norte a sul e depois retornando ao ponto de partida na rua seguinte.
Os criminosos pagavam às pessoas para abrirem contas e depois usavam essas mesmas contas para explorar a plataforma em benefício financeiro.
Este é o mesmo mecanismo por trás de como os exemplos 1 e 2 foram criados: pessoas reais, KYC real e identidades reais entregues a criminosos, apenas com um toque diferente.
Siga o dispositivo, não o dinheiro
O que descobrimos nesses três clientes não deveria ter sido tão surpreendente, mas foi, porque ninguém estava procurando por isso. Programas de AML são construídos em torno da transação. Programas de fraude são construídos em torno do evento. O fluxo que os fraudadores construíram passa por baixo de ambos.
Passei um tempo dos dois lados desse problema e, sinceramente, a resposta é que as ferramentas capazes de fechar essa lacuna já existem. De inteligência de dispositivo a biometria comportamental e grafos de rede, nada disso é mais experimental. Usamos essas ferramentas para encontrar 50.000 contas conectadas movimentando milhões de dólares, então a pergunta não pode ser se elas funcionam para AML. Nós sabemos que funcionam.
Muito do que fazemos hoje, como o monitoramento de transações, ainda funciona. Mas o fluxo de fraude para lavagem de dinheiro evoluiu mais rápido do que as ferramentas de compliance, e a lacuna está escancarada. Fechá-la começa com fazer perguntas como:
- Como esta conta foi criada?
- Que dispositivo estava por trás disso?
- Quem mais compartilha essa impressão digital?
Um programa moderno de AML que leva isso a sério é diferente do que a maioria das equipes de compliance tem hoje. As impressões digitais de dispositivos são verificadas ao longo de todo o ciclo de vida, não apenas na camada de transações. Grafos de rede revelam relacionamentos entre contas em todo o portfólio, não apenas dentro do histórico de um único cliente. E sinais de fraude como velocidade, reutilização de dispositivos e anomalias de comportamento são integrados diretamente aos fluxos de trabalho de AML, em vez de ficarem em um sistema separado que a área de compliance nunca vê. Esse é o argumento que fazemos em favor da monitoração assistida por IA, que conecta esses sinais em nosso artigo sobre como a IA melhora o desempenho da monitoração de transações.
Se o seu programa não consegue responder a essas três perguntas sobre qualquer conta na sua carteira, é por aí que eles estão entrando. Os fraudadores descobriram essas brechas há anos. A questão agora é quando os programas de compliance vão conseguir alcançá-los.