A segurança é essencial para o produto: como a Novo protege o dinheiro das pequenas empresas
"Proteger as contas dos nossos clientes PME e o seu dinheiro é sagrado para nós.”
A Sardine fez as contas sobre a proteção de contas
A Sardine trabalha com instituições financeiras que enfrentam um aumento das fraudes e das ameaças potencializadas por IA e monitora regularmente o desempenho de seus clientes. Ao analisar sua base de clientes, a Sardine constatou que a Novo, plataforma financeira para pequenas empresas, registra, em média, menos de uma invasão de conta por mês, com menos de 0,0004% das contas, ou cerca de quatro em cada milhão, acessadas sem a permissão do titular.
As taxas de tomada de controle de contas (ATO) variam significativamente conforme o setor e a plataforma, com uma taxa mediana de exposição à tomada de controle de contas de 1,4% nas grandes plataformas digitais (de 5 milhões a 300 milhões de usuários), enquanto setores de alto risco, como comércio eletrônico e mídia digital, registram taxas de ataque de 2,9 a 3,4 vezes superiores à média geral dos setores.
Com uma taxa de apropriação de contas (ATO) inferior a 0,0004%, a Novo está entre as 1% de empresas com melhor desempenho do setor. Conversámos com o CEO da Novo, Jackson Barnes, para compreender como a empresa encara este problema.
Por que isso é importante
Os proprietários de pequenas empresas que operam com margens muito reduzidas dispõem, muitas vezes, de uma reserva financeira que lhes permite manter a atividade por apenas 28 dias úteis, em termos medianos. A proteção financeira não é apenas fundamental para o crescimento e o sucesso dos seus negócios, mas está também frequentemente ligada ao seu próprio sustento.
A Novo considera a proteção da conta uma parte essencial do produto, uma posição que vai na contramão de grande parte do setor de fintechs. "Para os nossos clientes, de modo geral, o dinheiro é do proprietário. Ou são os seus lucros ou é o seu capital inicial", disse Barnes.
Como o setor fintech aprendeu a tolerar a fraude
Grande parte do setor fintech herdou os seus instintos do software e do comércio eletrónico, e Jackson atribui boa parte do problema da fraude no setor a essa herança.
As equipas com estas origens concentram-se em processos de pagamento mais rápidos e numa adesão mais simples, o que significa verificar menos sinais de risco. Em muitos casos, tratam as transações como se não envolvessem qualquer risco. Essa prática funciona em aplicações onde há menos em jogo e uma intrusão é motivo de constrangimento. No setor bancário, esse nível de risco não é aceitável
Os incentivos reforçaram essa prática. As fintechs crescem com as receitas, e as perdas são um custo reembolsado mais tarde. Mas esse reembolso não apaga a experiência: o cliente continua a ver que falta dinheiro na conta, continua a entrar em pânico e não recupera o dinheiro de imediato. Infelizmente, muitas fintechs crescem à custa dos seus clientes, transferindo o risco para eles.
Por que a Novo colocou a segurança no centro da sua estratégia
Para a Novo, o objetivo é evitar prejuízos para três partes: os seus clientes, a própria empresa e as suas contrapartes. Evitar perdas para as contrapartes não é um critério de sucesso amplamente adotado no setor, onde muitas fintechs se dão por satisfeitas desde que não sejam elas a arcar com os prejuízos.
Há também uma razão competitiva. Os sinais indicam que o software no setor bancário está a tornar-se indiferenciado, e a segurança será cada vez mais importante à medida que a IA torna menos dispendiosas a apropriação de contas, o roubo de identidade e a usurpação de identidade. Atualmente, os proprietários de pequenas empresas nem sempre dão grande peso à segurança ao escolher um banco. Isso poderá mudar à medida que mais pessoas recebam chamadas fraudulentas, vejam burlões fazerem-se passar por familiares ou sofram diretamente as consequências de uma falha de segurança.
Como a Novo protege as contas
Partilha de informações para além dos próprios clientes da Novo
A Novo preenche a lacuna de dados com os dados compartilhados do consórcio da Sardine, biometria comportamental e uma estratégia que combina aprendizado de máquina e um mecanismo de decisão de forma sinérgica. Quando outra instituição já sinalizou um dispositivo ou uma pessoa, a equipe da Novo também tem acesso a esse histórico, o que permite identificar com quais pessoas não deve fazer negócios.
Uma das maiores vantagens que a Sardine oferece são os dados do seu consórcio, pois as regras só conseguem detetar o que uma equipa já viu. Com esses dados, uma equipa pode agora "travar uma ameaça antes mesmo de saber que se trata de uma ameaça". Participar num consórcio de dados significa cooperar com outras instituições em prol do bem comum.
Uma verificação inicial em todos os sistemas
A Novo opera vários sistemas, e todos passam primeiro pela Sardine. Na Sardine, a Novo configurou quais sinais classificam uma ação em cada nível de ameaça e como o sistema responde em cada um deles. Algumas ações prosseguem com base apenas no nível de gravidade inicial, enquanto outras são bloqueadas de imediato.
Regras controladas pela equipa de prevenção de fraude
Antes de trabalhar com a Sardine, muitas regras de prevenção a fraudes da Novo eram programadas diretamente nos próprios serviços, de modo que qualquer ajuste exigia tempo da equipe de engenharia. Isso representa um desafio quando as pessoas que mais entendem de fraude, os investigadores da equipe de risco, não leem nem escrevem código. Quando a capacidade da equipe de engenharia é limitada, uma solicitação para proteger os clientes existentes compete com iniciativas para conquistar novos clientes, e a demanda por receita geralmente conta com uma defesa mais forte.
A interface de regras da Sardine transferiu esse trabalho para a equipa responsável por ele. Os engenheiros continuam a poder usar a linha de comandos, mas uma interface consistente e de fácil leitura significa que já não precisam de participar em todas as alterações às regras.
Verificações adicionais e atrito deliberado
Os controlos da Novo aprendem o comportamento habitual de cada cliente. Um empresário que viaja regularmente em trabalho estabelece esse padrão ao longo do tempo, e o sistema considera-o normal. Se um empresário que nunca o fez tentar subitamente transferir 20 000 dólares a partir do estrangeiro, o sistema desencadeia verificações adicionais.
Essas verificações custam tempo ao cliente, normalmente entre 15 e 20 segundos e, por vezes, até dois minutos. A Novo aceita esse custo sempre que tem dúvidas sobre quem está a iniciar sessão. Os clientes podem ficar incomodados com alguns minutos de entraves, mas procurarão outro banco se todo o dinheiro lhes for retirado da conta.
Conselhos para líderes que procuram equilibrar o crescimento com os controlos
O conselho de Jackson aos CEOs de fintechs sob pressão para flexibilizar os controlos começa pela fatura que, mais cedo ou mais tarde, chega.
"Quando se trata de gestão de riscos em sentido amplo, não há almoços grátis. Pode parecer que sim, mas alguém acaba sempre por pagar. Se não tiver o devido cuidado, ou se a gestão de riscos e a prevenção da fraude forem questões secundárias para a sua organização, mais cedo ou mais tarde terá de arcar com as consequências, e isso tornar-se-á um verdadeiro problema."
Ele enumera três áreas que sofrem as consequências: a confiança dos clientes, a confiança dos bancos parceiros e a relação com os órgãos reguladores. Ele considera a última a mais perigosa. As obrigações de combate à lavagem de dinheiro e de cumprimento da Lei de Sigilo Bancário dos EUA, afirma, são "na verdade, instrumentos de segurança nacional", porque os órgãos reguladores dependem delas para manter o dinheiro de origem ilícita e as pessoas sujeitas a sanções fora do sistema financeiro dos EUA. Para qualquer empresa que descumpra essas obrigações, ele alerta: "Vocês serão responsabilizados. Talvez não de imediato, mas, mais cedo ou mais tarde, serão."
O que vem a seguir: uma central de segurança configurada pelos clientes
A Novo está a desenvolver um centro de segurança que permite a cada cliente escolher um nível de proteção acima do mínimo exigido. A segurança implica sempre alguns obstáculos, e a tolerância a esses obstáculos varia de pessoa para pessoa. Alguns titulares de contas querem um acesso mais rápido, com menos verificações. Outros, como os clientes mais idosos, que são mais suscetíveis a fraudes, podem preferir controlos mais rigorosos, como uma verificação facial mensal para aceder à conta.
Pense assim: algumas pessoas vivem num lugar onde não trancam a porta. Algumas têm uma fechadura de segurança, e outras acrescentam câmaras e guardas. A Novo pretende permitir que os clientes escolham o nível de proteção que preferem. Para isso, será necessária uma integração mais profunda com os controlos da Sardine e uma maior personalização ao nível do utilizador.
O documento de requisitos do produto está pronto, e o engenheiro designado para o projeto deveria começar na semana seguinte à entrevista. Jackson não quis se comprometer com um lançamento até o fim do ano devido à complexidade do projeto, mas a meta é o início de 2027. Além da segurança, a Novo acaba de lançar, em novembro, uma solução integrada de folha de pagamento, um serviço de declaração de impostos para pequenas empresas e uma cobertura de seguro da FDIC de 5 milhões de dólares.
Fontes
- Flare, A economia da tomada de controlo de contas e sessões (2025), via The Hacker News, abril de 2025, thehackernews.com/2025/04/customer-account-takeovers-multi.html.
- Security Boulevard, “Estatísticas de apropriação de contas em 2026: por que as empresas de comércio eletrónico e de comunicação social não podem esperar”, maio de 2026.