O processo de Conheça Seu Cliente (KYC) está cedendo sob o peso das violações de dados.
Em 2024, o setor financeiro ultrapassou o de saúde como o mais atacado por hackers, sendo responsável por um décimo (cerca de 152,2 milhões) de todas as violações de dados, de acordo com pesquisa da Verizon.
Quando você não pode confiar nos dados de KYC, isso na prática triplica a carga de trabalho das equipes de compliance. Elas não apenas precisam garantir que a origem dos recursos dos clientes seja legítima, mas também verificar se a pessoa realmente existe e se seus dados foram roubados (ou se se trata de uma identidade sintética baseada em credenciais reais roubadas).
Dados vendidos na dark web passam nas verificações de KYC
Somente no terceiro trimestre de 2024, violações de dados expuseram mais de 422 milhões de registros em todo o mundo e esse número continua aumentando.
- O grupo de hackers BlackCat reivindicou a autoria do roubo de dados de 2.000 empresas, incluindo 60 bancos, no ataque MOVEit de junho de 2023.
- Isso significou que cerca de 2,85 milhões (3% dos 95 milhões) de registros de informações de KYC caíram nas mãos de criminosos.
- Pesquisas da Verizon revelaram que os dados roubados no ataque ao MOVEIt foram posteriormente utilizados para cometer ainda mais crimes, representando 8% de todas as intrusões em sistemas financeiros em 2024.
Criminosos organizados monetizam dados sensíveis com ransomware ou os vendem para outros agentes mal-intencionados. No segundo trimestre de 2024, uma pesquisa em Singapura revelou um aumento anual de 230% na venda de dados roubados na dark web. Além de cópias de documentos de identificação reais, os criminosos podem comprar informações biométricas, como impressões digitais, dados faciais e até selfies por apenas US$ 8.
Os dados roubados estão a ser utilizados de diferentes formas, mas no setor financeiro são sobretudo usados para a criação de contas (90% dos casos de fraude com crédito). Os criminosos contraem empréstimos automóveis para comprar carros ou abrem e esgotam o limite de numerosas contas de crédito.
Desde 2023, os casos de tomada de controle de contas também aumentaram em 13%. Mais de 300.000 casos de roubo de crédito a partir de contas existentes foram reportados à FTC apenas no terceiro trimestre de 2024.
Uma nova onda de riscos de KYC para os responsáveis de conformidade
Mais de 60% dos responsáveis de compliance relatam violações de dados como um dos principais fatores de estresse. Os custos de proteção contra ataques também são significativos. A maioria (60%) dos bancos comerciais de médio porte nos EUA agora gasta mais de um terço do seu orçamento de compliance apenas com KYC. E o custo de análise dos casos também está aumentando, chegando a uma média de US$ 2.598 por ocorrência.
Com as violações de dados se tornando mais frequentes, é apenas uma questão de tempo até que os reguladores comecem a acompanhar.
No ano passado, o Bank of America foi responsabilizado por uma violação, mesmo que a Infosys detivesse os dados. Como disse um repórter, “para os reguladores, a visão sobre quem é responsável pelo risco de cibersegurança de terceiros é preto no branco; os bancos é que são os responsáveis."
No Reino Unido, a FCA já está debatendo novas regras sobre se os bancos podem ser responsabilizados por fraudes cometidas por terceiros. Isso pode potencialmente incluir parceiros de tecnologia regulatória que não sejam suficientemente resistentes aos incessantes ataques de dados.
Estar despreparado é um risco que as instituições de serviços financeiros não podem se dar ao luxo de correr.
Processos manuais podem deixar passar credenciais roubadas ou identidades sintéticas
Um estudo do final de 2023 constatou que “o KYC continua sendo em grande parte um processo manual”. Esse problema persiste há anos, e os criminosos sabem disso. Em 2022, a Thomson Reuters relatou, "..a contínua dependência dos bancos de planilhas e outros processos manuais faz com que sua abordagem à conformidade e à detecção de crimes financeiros careça de coerência e consistência”.
Os riscos incluem
- Dependência de dados estáticos: Como números de previdência social ou documentos de identificação nacionais, há uma grande probabilidade de que credenciais roubadas consigam passar nas verificações de KYC.
- A incapacidade de confiar em documentos de identificação com foto:Agora é trivial gerar um documento de identificação com foto convincente. Se esses dados estiverem amplamente comprometidos, apenas verificá-los em um banco de dados ou comparar um documento de identificação com foto já não garante legitimidade.
Processos manuais, dependência excessiva da autenticidade de documentos e inteligência contextual limitada criam riscos perigosos para o KYC.
A solução: dados, aprendizado de máquina e Agentes de IA
- Deep fakes podem superar verificações de prova de vida, mas não verificações de comportamento humano: As pessoas usam seus dispositivos de forma diferente de um dispositivo que está sendo atacado com um deep fake. Observe a dinâmica de digitação, o ritmo de digitação, os movimentos do mouse, o manuseio de dispositivos móveis e outras características sutis dos usuários e sinalize anomalias.
- Bom comportamento de referência: se definirmos como base um “usuário normal” e o que é “normal para este usuário”, nosso aprendizado de máquina e análise de comportamento orientada por IA consegue então identificar anomalias. Pesquisas acadêmicas indicam que isso tem uma taxa de sucesso de 92%. A biometria comportamental da Sardine regularmente iguala ou supera esse índice com nossa “pontuação de mesmo usuário”.
- Detecção de anomalias: Uma análise de linha de base de comportamento também deve identificar mudanças repentinas na atividade transacional ou locais de login incomuns, como padrão. Ela também deve alertar os responsáveis de compliance sobre relacionamentos entre contas, por exemplo, se um dos titulares tiver histórico de transações com um laranja ou golpista conhecido.
- Reconhecimento Óptico de Caracteres (OCR) para documentos com tecnologia de LLM: Os LLMs tornaram-se extremamente eficientes na verificação de documentos e conseguem identificar inconsistências em fontes, hologramas ou microtexto. Embora isso melhore a detecção de documentos falsificados, combiná-los com monitoramento de transações e análise de comportamento do usuário fortalece ainda mais a credibilidade. Softwares de inteligência sobre violações podem alertar as empresas sobre possíveis fraudes e contas vulneráveis antes mesmo que qualquer crime seja tentado.
- Reforce os agentes de IA para KYC: Com o aumento do volume de alertas gerados por KYC devido a vazamentos de dados, agentes de IA podem ajudar a priorizar rapidamente casos de KYC reforçado. Os agentes de IA da Sardine têm acesso à plataforma segura da Sardine, com dados documentais de KYC, fontes de dados confiáveis de terceiros e sinais proprietários de dispositivo e comportamento. Em testes, constatamos que eles são 100% eficazes em identificar falsos positivos presos na fila de KYC, deixando os responsáveis de compliance livres para investigar os casos mais complexos.
Devemos continuar a adicionar camadas de proteção ao KYC
Com dados pessoais sensíveis facilmente disponíveis em mercados ilícitos, as abordagens tradicionais de KYC estão cada vez mais vulneráveis. O essencial é reforçá-las com camadas adicionais de verificação, monitoramento contínuo e insights orientados por contexto. A Sardine está constantemente adicionando novas camadas de proteção para construir uma segurança multifacetada em todas as etapas.
As instituições podem restaurar a confiança em seus processos de verificação de clientes ao aproveitar análises comportamentais, inteligência em tempo real e recursos de OCR com LLM projetados para detectar anomalias. A verdade é que o KYC é um trabalho que nunca termina.
Juntos, devemos continuar fortalecendo de forma constante a confiabilidade dos resultados de KYC, garantindo que tanto os reguladores quanto os clientes legítimos possam confiar nas medidas de proteção em constante evolução.
Perguntas Frequentes (FAQ)
A KYC aprimorado é suficiente se os dados pessoais subjacentes estiverem amplamente comprometidos?
Se estivermos lidando com um caso em que possa haver risco de dados comprometidos sendo incorporados ao sistema de um banco, existem várias estratégias que podemos seguir para detectá-los e removê-los. Precisaríamos conversar com você e entender a sua situação específica para encontrar a melhor opção para a sua instituição.Usaríamos uma combinação de inteligência de dispositivo, biometria comportamental e enriquecimento de dados para filtrar contas suspeitas. Nossa tecnologia consegue identificar rapidamente atividade de bots, uso de proxy ou VPN, ferramentas de acesso remoto, aplicativos adulterados, dispositivos com root, conformidade de localização e muito mais. Ao mesmo tempo, também monitoramos digitação, movimento do mouse, rolagem, gestos de deslizar, preenchimento de campos de memória de longo prazo, hesitação e distração para medir o quão autêntico é o usuário. Aprofundando nos dados, a Sardine analisa endereços IP, relatórios de crédito, números de seguridade social, endereços de correspondência, geolocalizações e muito mais para buscar anomalias.Implementar um KYC aprimorado é essencial para a abertura de novas contas. Prevenir é melhor do que remediar. Nós nos esforçamos continuamente para melhorar recursos de forma mais rápida do que os criminosos organizados.
Como podemos garantir que o monitoramento contínuo não prejudique a experiência do cliente?
Análises avançadas geralmente operam nos bastidores, só escalando casos que realmente exigem verificações adicionais. Quando bem calibrado, o monitoramento dinâmico pode aumentar a segurança sem impor atritos desnecessários aos clientes legítimos.
Como os reguladores veem a mudança de ferramentas tradicionais para soluções de KYC mais sofisticadas?
Os serviços financeiros são obrigados a proteger os clientes contra roubo de identidade, por exemplo, com a lei norte‑americana Fair and Accurate Credit Transactions (FACT) Act. Os reguladores esperam que as empresas implementem proteções robustas e abordem de forma proativa os riscos em evolução.No Reino Unido, a FCA está ativamente pressionando as instituições financeiras a inovar em proteção de dados e recomenda colaborações. Como afirma o regulador: “cabe a todos nós agir para proteger nossos consumidores, nossas empresas e nossos mercados. Juntos, podemos mudar decisivamente o cenário para reduzir e prevenir crimes financeiros”.Ainda não encontramos um regulador que não queira fortalecer os protocolos de KYC. Em todo o mundo, à medida que as violações de dados se intensificam, os bancos precisam reforçar seus mecanismos de segurança para restaurar a confiança.
Qual é a melhor maneira de começar a integrar essas novas tecnologias?
Na Sardine, teremos todo o prazer em cuidar disso para você. Estamos a apenas um clique ou uma ligação de distância. Se você preferir uma abordagem interna e “faça você mesmo” — o que não recomendamos — pode começar com pilotos incrementais: testar biometria comportamental em um subconjunto de contas, adicionar verificações de reputação de dispositivo na etapa de onboarding ou integrar dados de inteligência sobre vazamentos. Meça o impacto, refine os parâmetros e amplie a escala assim que confirmar a melhoria nos indicadores de risco.
As análises manuais ainda podem fazer parte do processo de KYC nesse novo cenário?
Com certeza. O julgamento humano continua sendo fundamental. Essas ferramentas ajudam a direcionar analistas experientes para onde são mais necessários — em casos complexos e de alto risco — em vez de perderem tempo examinando transações rotineiras. A sinergia entre a experiência humana e a análise avançada oferece a defesa mais robusta. Precisamos usar todas as nossas habilidades para combater a atividade criminosa, juntos.