Verificação fraca de identidade (IDV) é um dos maiores desafios para as instituições financeiras atualmente. Apesar de anos de investimento em programas de KYC, mais de 90% das fraudes têm origem em identidades totalmente verificadas, enquanto clientes legítimos muitas vezes ficam presos em processos de onboarding cheios de fricção.
As consequências são graves:
- As equipes de compliance estão sobrecarregadas com Relatórios de Atividade Suspeita (SARs) desnecessários, muitos dos quais têm como alvo as vítimas em vez dos fraudadores.
- Verificações KYC estáticas não conseguem detectar identidades sintéticas, credenciais roubadas e outras táticas avançadas de fraude.
De acordo com a análise da FinCEN, 42% dos SARs estão relacionados à identidade, com os atacantes usando com mais frequência a personificação (69%) e credenciais comprometidas (18%) para fraudar as vítimas.
A solução? Um framework de KYC progressivo que se adapta dinamicamente ao risco do usuário, equilibrando segurança e experiência do cliente.
O que é KYC Progressivo e por que ele é necessário?
O KYC progressivo é uma abordagem em camadas, baseada em risco, que aplica níveis de fricção de acordo com o grau de risco do usuário. Ele começa com uma pré-triagem passiva para detectar sinais suspeitos antes da entrada do usuário, continua com verificação dinâmica durante o onboarding e, mais importante, monitora os usuários ao longo de todo o seu ciclo de vida para identificar ameaças em evolução.
- Pré-triagem: Uma forma de baixo atrito de filtrar agentes mal-intencionados antes que insiram seus dados, usando verificações passivas de atributos suspeitos do dispositivo e padrões de comportamento.
- Verificações de identidade: Usando aprendizado de máquina para analisar informações de identidade, você pode usar pontuações de risco para detectar a probabilidade de que uma identidade roubada ou sintética esteja sendo usada.
- Verificação reforçada: Se um risco for sinalizado, você pode usar ferramentas como o DocKYC para verificar documentos, prova de vida por selfie para confirmar que uma pessoa real está presente, detecção de deepfake para combater o uso de GenAI para falsificar uma identidade ou recorrer à revisão manual por humanos para maior segurança.
- KYC Perpétuo: Isso acontece após a etapa de onboarding e é fundamental para impedir usuários mal-intencionados que tenham passado pela porta da frente, monitorando eventos de risco como mudanças na localização geográfica, credenciais de pagamento, contas bancárias vinculadas ou padrões de transação.
Os dados da FinCEN sobre SARs são alarmantes
Recentemente, a FinCEN publicou uma análise de tendências relacionadas à identidade analysis que examinou os relatórios apresentados. De acordo com a análise, aproximadamente 1,6 milhão, ou 42% de um total de 3,8 milhões de relatórios BSA, estavam relacionados à identidade.
Aqui estão algumas conclusões importantes: A maioria dos atacantes se passou por outras pessoas para fraudar as vítimas.
- 69% dos relatórios de BSA relacionados à identidade indicam que os atacantes se passaram por outras pessoas como parte de esforços para fraudar as vítimas.
- 18% dos relatórios de BSA relacionados à identidade descrevem invasores usando credenciais comprometidas para obter acesso não autorizado às contas de clientes legítimos.
- 13% dos relatórios de BSA relacionados à identidade indicam que os invasores exploram processos de verificação insuficientes para avançar seus esquemas
As instituições depositárias apresentaram o maior número de relatórios de BSA relacionados à identidade.
- 54% dos relatórios de BSA relacionados à identidade foram apresentados por instituições depositárias
- As empresas de serviços monetários são a segunda maior categoria de declarantes, responsáveis por 21% dos relatórios de BSA relacionados à identidade
A fraude foi a tipologia mais relatada.
- Das 14 tipologias comumente relatadas, a mais reportada foi a fraude geral
O impacto das explorações relacionadas à identidade, medido pelos volumes de relatórios da BSA e pelos valores citados em dólares americanos, é significativo e varia conforme o tipo.
- Os invasores usam com mais frequência táticas de personificação, seguidas por comprometimento durante a autenticação e, por fim, pela burla da verificação para evitar a detecção.
Verificações fracas de identidade e controles de KYC criaram um sistema em que:
- Profissionais de crimes financeiros estão relatando atividades ilícitas de uma vítima, e não do verdadeiro autor do crime
- Uma quantidade enorme de tempo e recursos está sendo destinada a relatórios que nem deveriam ter sido gerados em primeiro lugar
A solução para o problema
Recitar dados de identidade estáticos já não é suficiente como mecanismo isolado; a proliferação de violações de dados, identidades sintéticas e a introdução da IA exige uma abordagem em camadas.
Fase um (menor atrito):
- Coletar sinais do dispositivo (por exemplo, localização, tipo de dispositivo, emuladores, informações de SSID)
- Coletar sinais de comportamento (por exemplo, velocidade de digitação, orientação do telefone, memória de curto/longo prazo)
Fase dois (atrito moderado):
- Elementos dos quais um usuário pode comprovar posse por meio de OTP ou verificação por link: algum textoTelefone: ele foi portado recentemente? Qual é o tempo de existência da linha? O usuário permitiu acesso à lista de contatos? Se sim, ela parece legítima? E-mail: O nome associado ao endereço de e-mail corresponde à identidade do usuário? O usuário está usando um e-mail descartável?
- Verificações de identidade - Nome, Endereço, Data de Nascimento (DOB) e SSN (por exemplo, verificar a exatidão dos dados fornecidos, comparar a localização de onde o usuário está com o que seus registros de identidade indicam, data de emissão do SSN em relação à sua data de nascimento, estado de emissão do SSN em desacordo com o histórico de endereços, PII vinculada a outras solicitações fraudulentas)
- Pontuações de aprendizado de máquina para roubo de identidade (por exemplo, velocidades em relação a um pacote de identidade específico, vinculação de atributos)
- Dados de consórcio que compartilham informações sobre o que é considerado bom ou ruim
- Pontuações de machine learning para IDs sintéticas (por exemplo, emissão de SSN em comparação com a data de nascimento, características do telefone incluindo detecção de VoIP) algum texto. É importante notar que, até junho de 2011, os primeiros cinco dígitos do SSN eram baseados na região de nascimento e em um número de grupo atribuído para simplificar a ordenação. Os últimos quatro dígitos eram exclusivos do indivíduo e eram atribuídos com base em vários parâmetros. A partir de 2011, a Administração da Seguridade Social passou a gerar o SSN de forma aleatória, pois a abordagem anterior tornava fácil adivinhar o SSN de uma pessoa se alguns dados básicos fossem conhecidos. A verificação de identidade faz com que as instituições financeiras gerem Relatórios de Atividade Suspeita (SARs) que são falsos positivos ou que miram erroneamente a vítima em vez do autor. Isso não apenas sobrecarrega a equipe operacional com excesso de relatórios, como também introduz fricção desnecessária para usuários legítimos.
Fase três (alta fricção e idealmente baseada em risco):
- eCBSV - A Administração da Seguridade Social criou o eCBSV, um serviço pago de verificação de número de Seguridade Social (SSN). O eCBSV permite que entidades autorizadas verifiquem se a combinação de SSN, nome e data de nascimento de uma pessoa corresponde aos registros da Seguridade Social.
- Verificação de documento de identidade + selfie + detecção de prova de vida – o objetivo aqui é verificar a autenticidade de um documento emitido pelo governo e confirmar que a pessoa por trás do dispositivo corresponde à foto no documento de identificação. Embora existam muitas soluções que resolvem esse problema, a Sardine utiliza nossos avançados sinais de DI/BB para detectar deep fakes.
Fase quatro (após a criação da conta):
A verificação de identidade não deve terminar no topo do funil.
- Credenciais de pagamento: Comparando a identidade associada a um(a) evento de vinculação de conta bancária com as informações de identidade verificadas do usuário e os dados de AVS em um cartão de débito/crédito – o endereço corresponde à localização física do usuário? É um BIN pré-pago ou de alto risco?
- Padrões de transação: A atividade de transação do usuário está anômala em comparação com a população de usuários em geral, seu perfil demográfico ou padrões anteriores? O usuário está transacionando a partir de uma Área de Alta Intensidade de Lavagem de Dinheiro e Crimes Financeiros Relacionados (HIFCA)?
- Verificações contínuas de dispositivos não apenas na integração, mas ao longo de toda a jornada do usuário; agentes mal-intencionados podem cometer erros e trocar de dispositivos/localizações, o que oferece uma oportunidade para sinalizar anomalias
Resumo
Ter processos de KYC robustos é a coisa mais importante que uma empresa pode fazer para melhorar seu programa de compliance. Ao bloquear mais agentes mal-intencionados na entrada, você verá menos fraudes de pagamento e menos alertas de monitoramento de transações, o que resultará em menos registros de SAR e trabalho de gestão de casos para sua equipe de compliance.
Além disso, os dados sobre o usuário e a jornada dele na sua plataforma ajudarão a identificar repasses de contas, o que é fundamental para impedir mulas de dinheiro e fraudadores de assumirem contas inativas para lavar dinheiro na sua plataforma.
Se você tiver alguma dúvida sobre como criar um programa de KYC progressivo ou precisar de ajuda com ferramentas melhores, entre em contato com um de nossos especialistas em compliance. Nós já desenvolvemos e operamos programas em grandes fintechs e ajudamos diversas instituições financeiras a fortalecer seus controles de risco. Teremos prazer em responder a qualquer pergunta que você tiver.