A esteira de onboarding é o primeiro momento em que um provedor de BaaS pode impedir que um fraudador entre no ecossistema financeiro. No modelo B2B2C, onde fintechs embarcadas conduzem a jornada de abertura de conta do cliente final, essa barreira precisa ser tecnicamente robusta sem se transformar em um muro que derrube a conversão.
Os números mostram por que isso importa. A Operação "DeGenerative AI" da Polícia Civil do DF, deflagrada em outubro de 2024, identificou o uso de deepfakes para invadir contas bancárias e habilitar novos dispositivos em instituições financeiras. Foram pelo menos 550 tentativas, com movimentação estimada de R$ 110 milhões. A Operação "Face Off" da Polícia Federal, em maio de 2025, expôs fraudes em massa no portal Gov.br usando deepfakes que burlaram a verificação facial da plataforma, comprometendo cerca de 3.000 contas. E segundo dados da Serasa Experian do primeiro trimestre de 2026, o Brasil registra uma tentativa de fraude de identidade a cada 5 segundos, somando quase 1,5 milhão de ocorrências no trimestre.
Para Compliance Officers, Risk Managers e Heads de Onboarding de provedores BaaS, a questão não é se implementar camadas avançadas de verificação, mas como fazê-lo de forma que proteja a licença perante o Banco Central sem degradar a experiência das fintechs parceiras.
A Circular nº 3.978/2020 do Banco Central estabelece as diretrizes de identificação, qualificação e classificação de risco dos clientes para fins de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT). Ela adota um modelo baseado em risco, dando discricionariedade às instituições reguladas para definir seus procedimentos, mas essa flexibilidade vem com responsabilidade proporcional.
No contexto de BaaS, a Circular exige que a instituição autorizada mantenha procedimentos estruturados de KYC contemplando, no mínimo, identificação do cliente (nome completo, CPF/CNPJ, endereço), qualificação baseada em perfil de risco, identificação do beneficiário final em pessoas jurídicas (com limite de participação que não pode exceder 25% como referência) e arquivamento de todas as informações de KYC por 10 anos após o encerramento da relação.
Combinada com a Resolução Conjunta nº 16/2025, que reafirmou a responsabilidade intransferível da instituição autorizada pelo KYC em arranjos BaaS, a mensagem regulatória é inequívoca: se um fraudador entra pela porta do seu parceiro, a licença em risco é a sua.
Uma esteira de onboarding eficaz contra fraude de identidade opera em camadas progressivas. Cada camada adiciona um nível de confiança sem necessariamente adicionar fricção perceptível ao cliente legítimo.
A primeira barreira é a captura e validação automatizada do documento de identidade. Sistemas de OCR (Optical Character Recognition) extraem dados do RG, CNH ou passaporte, e algoritmos de validação verificam consistências internas do documento (fontes, hologramas digitais, padrões de layout), cruzamento com bases públicas (CPF/CNPJ na Receita Federal), e detecção de adulteração digital na imagem do documento.
Essa camada filtra fraudes de baixa sofisticação (documentos editados, fotos de tela, documentos de terceiros) e é a base sobre a qual as camadas seguintes operam.
A comparação facial entre a selfie do cliente e a foto do documento é hoje padrão de mercado. Segundo a Pesquisa Febraban de Tecnologia Bancária 2024, 75% dos bancos brasileiros já utilizam biometria facial para identificação. Mas a biometria facial por si só não basta. O diferencial está na detecção de vivacidade (liveness detection).
Liveness passivo vs. ativo: No liveness passivo, o sistema analisa a imagem capturada em busca de artefatos de apresentação (reflexos de tela, bordas de máscara, texturas artificiais) sem exigir interação do usuário, o que resulta em zero fricção adicional. No liveness ativo, o sistema solicita ações como piscar, virar o rosto ou sorrir. O liveness passivo é preferível para onboarding em escala porque não degrada a conversão, mas pode ser complementado pelo ativo em fluxos de maior risco.
Certificação iBeta PAD (Presentation Attack Detection): A ISO/IEC 30107-3 define os padrões de teste contra ataques de apresentação. Em junho de 2025, o laboratório iBeta (credenciado pelo NIST) introduziu o Nível 3 de certificação PAD, que testa resistência a ataques direcionados com máscaras hiperrealistas, iluminação variável e arsenal ilimitado de ferramentas. No início de 2026, a primeira empresa do setor passou nesse nível com 0% de erro em iOS e Android. Provedores BaaS devem exigir, no mínimo, certificação PAD Nível 2 dos seus fornecedores de biometria, e avaliar a migração para Nível 3 conforme o cenário de ameaças evolui.
Este é o vetor de ataque que mais cresce e que mais escapa das defesas convencionais. Na injeção direta, o fraudador usa virtual camera drivers para alimentar o sistema de verificação com um vídeo pré-gravado ou renderizado em tempo real (deepfake), como se viesse da câmera física do dispositivo. O stream injetado chega com metadados EXIF e timing aparentemente legítimos.
O relatório Cybercrime Atlas do World Economic Forum, publicado em janeiro de 2026, constatou que a maioria das ferramentas de injeção de câmera disponíveis no mercado derrota controles KYC padrão em testes de laboratório. Para mitigar esse vetor, a esteira de onboarding precisa implementar verificação de integridade do dispositivo e da câmera (device binding), detecção de ambientes virtualizados e emuladores, análise de consistência entre metadados do dispositivo e características do stream de vídeo, e modelos de IA treinados especificamente para distinguir vídeo capturado ao vivo de vídeo injetado.
Essa camada opera nos bastidores. O cliente legítimo não percebe nenhuma etapa adicional, mas o fraudador usando um deepfake ou gravação encontra uma barreira técnica significativa.
A biometria de voz é uma camada complementar particularmente útil em dois cenários: autenticação contínua pós-onboarding (validação em canais de atendimento, autorização de transações de alto valor) e segundo fator de verificação quando a biometria facial retorna score limítrofe.
O sistema captura o áudio e gera um espectrograma que identifica timbre, entonação, sotaque, cadência e outros padrões únicos do indivíduo. A tendência de adoção é acelerada pelo avanço dos deepfakes visuais: a voz adiciona uma dimensão ortogonal de verificação que exige do fraudador replicar simultaneamente dois tipos de biometria.
A biometria de voz também tem vantagens regulatórias sob a LGPD: o consentimento pode ser coletado naturalmente durante a interação, e a verificação via telefone atende tanto requisitos regulatórios quanto expectativas de conveniência do cliente.
Dados de mercado indicam que a maioria dos prospects abandona o onboarding quando o processo é demorado ou frustrante. Um estudo da Signicat de 2024 constatou que 68% dos consumidores já abandonaram aplicações bancárias digitais por excesso de complexidade. Para um provedor BaaS que atende múltiplas fintechs, cada ponto percentual de abandono se multiplica pelo número de parceiros embarcados.
A chave está na orquestração adaptativa: aplicar o nível de verificação proporcional ao risco, não um pipeline fixo igual para todos. Isso significa, na prática, definir perfis de risco por vertical (uma fintech de crédito exige mais fricção que uma de cashback), aplicar liveness passivo como padrão e escalar para ativo apenas quando o score de risco justificar, usar a detecção de injeção de vídeo como camada invisível que não impacta a jornada do cliente legítimo, e reservar biometria de voz para autenticação contínua e escalonamento de risco, não para o primeiro cadastro.
A arquitetura recomendada é uma plataforma de orquestração que exponha APIs ao parceiro, permitindo que ele mantenha controle sobre a UX, enquanto as regras de verificação, os thresholds de risco e o roteamento entre camadas são geridos centralmente pelo provedor BaaS. O parceiro integra uma API; o provedor decide, caso a caso, quanta verificação aplicar.
Um erro comum é tratar o KYC como evento pontual. A Circular 3.978 exige monitoramento contínuo, e no contexto B2B2C, isso significa manter atualização cadastral periódica com revalidação biométrica em momentos-chave (mudança de limite, nova modalidade de crédito), monitoramento transacional cruzado entre clientes de diferentes parceiros (padrões de smurfing e contas de passagem), alertas automáticos quando o perfil transacional diverge significativamente do perfil declarado no onboarding, e revisão de beneficiários finais em PJs à medida que alterações societárias ocorrem.
Sem uma base de dados centralizada que consolide os cadastros de todos os parceiros, esses cruzamentos são impossíveis. É aqui que a orquestração unificada se conecta diretamente com a proteção da licença: o regulador espera que a instituição autorizada tenha visão consolidada de toda a sua base, não fragmentos isolados por parceiro.
Proteger uma licença de BaaS contra fraude de identidade exige tratar a esteira de onboarding como um sistema de defesa em profundidade: verificação documental automatizada, biometria facial com liveness detection certificado, detecção de injeção de vídeo e biometria de voz como camadas complementares e progressivas. A Circular BCB 3.978 e a Resolução Conjunta nº 16/2025 não deixam margem para improvisos: a responsabilidade é da instituição autorizada, independentemente de quem opera a ponta.
O equilíbrio entre segurança e conversão está na orquestração adaptativa: aplicar o nível certo de verificação ao perfil certo de risco, sem impor um pipeline monolítico que penalize o cliente legítimo.
1. Qual a diferença entre liveness passivo e liveness ativo, e qual devo priorizar no onboarding BaaS?
No liveness passivo, a verificação ocorre automaticamente a partir da imagem ou vídeo capturado, sem nenhuma ação adicional do usuário. O sistema analisa texturas, reflexos e artefatos em segundo plano. No liveness ativo, o usuário precisa executar ações (piscar, virar o rosto). Para onboarding em escala B2B2C, o liveness passivo é preferível como padrão porque não adiciona fricção. O liveness ativo deve ser reservado para escalonamento de risco, quando o score passivo retorna resultado inconclusivo ou o perfil do cliente exige verificação reforçada.
2. O que é injeção direta de vídeo e por que as defesas convencionais falham contra ela?
Na injeção direta, o fraudador substitui o stream da câmera física por um vídeo sintético (deepfake) ou pré-gravado usando drivers de câmera virtual. O sistema de verificação recebe um stream que parece legítimo, com metadados e timing corretos, mas que não vem de nenhum sensor físico. Defesas convencionais de liveness falham porque foram projetadas para detectar ataques de apresentação (fotos ou telas na frente da câmera), não streams injetados diretamente no pipeline de vídeo. A mitigação exige verificação de integridade do dispositivo, detecção de emuladores e modelos de IA treinados especificamente para esse vetor.
3. A biometria de voz substitui a biometria facial no onboarding?
Não. A biometria de voz é uma camada complementar, não substitutiva. Seu maior valor está na autenticação contínua pós-onboarding (call centers, autorização de transações) e como segundo fator quando a biometria facial retorna score limítrofe. No onboarding inicial, a biometria facial com liveness detection permanece como camada primária porque permite comparação direta com a foto do documento de identidade, algo que a voz não viabiliza.
4. O que significa certificação iBeta PAD Nível 3 e meu provedor de biometria precisa tê-la?
iBeta PAD (Presentation Attack Detection) Nível 3 é o tier mais rigoroso da certificação ISO/IEC 30107-3, administrado pelo laboratório iBeta (credenciado pelo NIST). Ele testa resistência a ataques direcionados com máscaras hiperrealistas e arsenal ilimitado de ferramentas de ataque. Lançado em junho de 2025, ainda há pouquíssimos fornecedores certificados. Atualmente, o Nível 2 é o mínimo recomendável para provedores BaaS, mas o Nível 3 deve ser o alvo à medida que deepfakes se sofisticam. Ao negociar com fornecedores, exija evidência de certificação iBeta ou similar e inclua cláusulas de atualização contratual para acompanhar a evolução dos padrões.
5. Como equilibrar a exigência de segurança no onboarding com a meta de conversão das fintechs parceiras?
A resposta é orquestração adaptativa. Em vez de aplicar um pipeline fixo de verificação para todos os clientes, o provedor BaaS deve calibrar as camadas de segurança ao perfil de risco: verticais de maior risco (crédito, câmbio) recebem mais camadas; verticais de menor risco (cashback, fidelidade) passam por um fluxo mais leve. Camadas invisíveis, como detecção de injeção de vídeo e análise de integridade do dispositivo, adicionam segurança sem nenhuma fricção perceptível. Pesquisas de mercado mostram que a maioria dos prospects abandona processos longos, então cada etapa visível precisa ser justificada pelo nível de risco.
A VAAS é uma plataforma de compliance que atua nesse segmento, integrando due diligence, monitoramento de compliance e análise de risco para provedores que precisam proteger sua licença sem comprometer a experiência das fintechs embarcadas.