10 min
Lá em 2009, quando comecei a trabalhar com prevenção de fraudes no PayPal, tínhamos um ditado: “Gente boa deixa rastros”.
E, honestamente, o trabalho era mais ou menos todo esse.
Os fraudadores tentavam se apagar. Identidades falsas, e-mails descartáveis, cookies de navegador limpos, contas recém-criadas. Os usuários legítimos, por outro lado, geralmente deixavam migalhas digitais por toda parte, porque naquela época ninguém pensava muito em privacidade online.
Então sim, parte do trabalho era basicamente investigação em redes sociais.
E, honestamente, fiquei estranhamente bom nisso.
Neste episódio, conto a história de como uma foto de perfil aleatória do Facebook, um prédio de aparência colonial e uma velha viagem de mochilão pelo Vietnã nos ajudaram a aprovar uma transação que, à primeira vista, parecia fraude na certa.
Agora, se ouvir essa história te faz torcer o nariz um pouco, ótimo. Deveria.
A conversa maior aqui não é bem sobre stalkear no Facebook. É sobre como a prevenção de fraudes mudou quando a privacidade online, a privacidade do cliente e a privacidade de dados se tornaram prioridades muito mais sérias em toda a internet.
E agora temos esse trade-off estranho.
Como cidadãos, a maioria de nós provavelmente fica feliz que a informação pública seja mais difícil de acessar do que era há 15 anos. Mas, como profissionais antifraude, também perdemos uma visibilidade enorme que antes nos ajudava a entender inteligência de identidade, padrões de comportamento e risco de fraude.
Não é um problema simples.
A investigação em redes sociais ajudava as equipes antifraude a seguir migalhas digitais, mas a privacidade online e as ferramentas de OSINT com IA mudaram como os golpes são combatidos...
- Como a investigação em redes sociais funcionava dentro das equipes antifraude nos primórdios da prevenção de fraudes em fintechs
- Por que os analistas de fraude dependiam tanto de informações públicas e migalhas digitais
- Uma história real de investigação de fraude envolvendo Facebook, divergência de geolocalização e verificação de identidade
- Como a privacidade online e a privacidade de dados remodelaram os fluxos de trabalho de prevenção de fraudes
- Por que o OSINT em redes sociais ficou mais difícil quando as plataformas apertaram os controles de privacidade do cliente
- Como as técnicas de inteligência de fontes abertas evoluíram da investigação manual para as ferramentas de OSINT com IA
- Por que a inteligência de identidade ficou mais difícil quando as redes sociais reduziram a visibilidade pública
- Uma discussão prática sobre OSINT para prevenção de fraudes e seus limites hoje
- Como os golpistas e os golpes de engenharia social mudaram completamente a conversa sobre privacidade
- Por que quem combate fraudes talvez precise repensar sua relação com as regulações de privacidade
Uma conversa que começa com uma história de investigação de fraude à moda antiga e vira uma discussão mais ampla sobre se perder o acesso aos dados pessoais talvez tenha, no fim das contas, nos protegido.
Quem deveria ouvir:
- Líderes e investigadores antifraude
- Profissionais de trust & safety
- Equipes de prevenção de fraudes em fintechs
- Profissionais de risco e compliance
- Praticantes de OSINT e investigação digital
- Equipes de cibersegurança e identidade
Qualquer pessoa interessada em OSINT de redes sociais, privacidade online, inteligência de identidade ou técnicas de inteligência de fontes abertas.
Basicamente, se você já usou o Facebook como um banco de dados investigativo, este episódio provavelmente vai te deixar um pouco desconfortável.
Notas do episódio
Este episódio começa com um caso de fraude de 2009 que, olhando agora, parece meio insano.
Na época, a investigação em redes sociais era uma das ferramentas antifraude mais úteis que tínhamos. Os analistas de fraude dependiam muito de informações públicas, perfis do Facebook, geotags, interesses, fotos, redes de amigos e migalhas digitais que os usuários deixavam online.
E, honestamente, funcionava.
O ponto maior, porém, é o quão dramaticamente a privacidade online mudou o cenário da fraude.
Hoje, as configurações de privacidade do cliente, as restrições das plataformas e as expectativas de privacidade de dados tornam esse mesmo estilo de investigação muito mais difícil. Mesmo com as modernas ferramentas de OSINT com IA e técnicas melhores de inteligência de fontes abertas, as equipes antifraude perderam acesso a enormes quantidades de contexto comportamental que antes ajudava a explicar atividades suspeitas.
Mas aí a conversa vira.
Quando você pensa na prevenção moderna de golpes e nos golpes de engenharia social, começa a perceber algo desconfortável: se os fraudadores ainda tivessem o mesmo acesso a dados públicos que tinham há 15 anos, as coisas poderiam estar muito piores.
Então talvez as regulações de privacidade não estejam só dificultando a prevenção de fraudes.
Talvez também estejam nos dando uma chance de lutar.
Principal conclusão
A prevenção de fraudes costumava depender muito de visibilidade.
Quanto mais migalhas digitais os usuários deixavam, mais fácil ficava a investigação em redes sociais. Mas, conforme a privacidade online e a privacidade do cliente evoluíram, as equipes antifraude perderam acesso a muitos dos sinais que antes ajudavam a validar confiança e identidade.
Ao mesmo tempo, os golpes também evoluíram.
E isso deixa os profissionais antifraude em uma posição estranha: frustrados com as limitações de privacidade e, ao mesmo tempo, silenciosamente gratos por essas mesmas proteções existirem.
Menos conveniente para os investigadores.
Provavelmente mais seguro para todo o resto.
Ainda não quer encerrar a conversa sobre o meu assunto favorito (e, espero, o seu também)? Assine a newsletter The Saturday Fraud Strategist.
Episode transcript
Chen Zamir
00:09
In 2009, I started my fraud prevention journey when I joined PayPal as a fraud analyst. Back then, we had this saying: good people leave tracks. The idea was simple. Fraudsters were trying to cover their own tracks. They used fake identities, signed up with disposable emails, deleted browser cookies. Either way, the identities they used would actually appear as brand new. Legitimate customers, however, never bothered with cleaning the breadcrumbs they left behind. Why would they? Back in 2009, when we reviewed fraud cases, this mainly meant that we stalked people on Facebook. And boy, was I good at it. One day, a colleague of mine was reviewing a case she couldn't decide on. The account and card were American. The IP came from Vietnam, which was a known fraud hub. And the Facebook page linked to the account's email had nothing on it. No geotags on recent pictures. No status updates about traveling there. No liked pages that referred to the item purchased. Basically nothing that could connect the identity to that return. But there was one thing that caught my eye. The profile picture showed the person standing in front of a colonial-looking villa surrounded by what looked to me like tropical vegetation. Now, funnily, I happened to backpack through Vietnam just a few years prior to that. I got this strong gut feeling that the picture might have been taken there. So, I searched for “colonial building Vietnam” in Google Images. That was before you could do reverse image search.
Chen Zamir
01:43
And lo and behold, the very same building popped up immediately.
Chen Zamir
01:47
That's how we knew the account holder was indeed traveling in Vietnam, and we decided to approve the purchase. Now, why am I telling you this story? First, to brag, of course. Second, I bet you just cringed listening to it. Not because you suddenly remembered writing public statuses on your Facebook wall, that too, probably. But likely because you remembered how easy it once was to violate someone's privacy. And if you forgot or weren't around, then here's an image of Facebook's advanced search from 2008 just to illustrate the possibilities. But now we're in 2026, and people are more aware of the dangers of oversharing private information on social media. Even more so, the regulatory environment has also changed, and so did the privacy settings platforms like Facebook enforce, especially by default. As a private person and a parent, I'm glad to see these changes. But as a fraud professional, that makes my job harder nowadays. It's much harder to find those same breadcrumbs good users leave behind. Some would argue that you still have very similar capabilities today. There are plenty of vendors out there who collect identity information, including which online services you subscribe to. You can also still use Google search and the limited search functionality that different social media platforms offer. And lately, we've also seen how AI tools make OSINT analysis easy and fast. All these are great, but privacy settings will still limit your reach, mainly your access to the behavior and social network of the user. Now think about how important those are. Knowing where a person is right now can remove a suspicion of fraud in cases of geo mismatch. Knowing what they like to do for fun can show direct relation to a purchase made. Knowing who their close friends are can shed light on that suspicious P2P transfer. Today, it all sounds cringe-worthy, but back in 2009, it was our secret weapon in fighting fraud. So, is privacy obstructing us from fighting fraud? There's another way to look at how our culture evolved around privacy concerns, and that has to do with the rise of scams as the prominent fraud threat of our day. Just imagine what scammers and con artists could achieve if we had the same level of data security we had 20 years ago. Now that could make my skin crawl. You see, as fraud fighters, we tend to complain about privacy regulations and how they stand in the way of implementing effective fraud prevention solutions. But maybe it's the other way around. Maybe they give us a fighting chance.
View full transcript
