Publicado originalmente no site da Pardi e Morais: pardimorais.com.br/fraude-de-identidade-onboarding-digital
Nesta quinta-feira (8), a Polícia Federal cumpriu sete mandados de busca em Uberlândia (MG) na Operação Brinde Facial. Segundo a PF, o grupo se apresentava como entregador de brindes ou encomendas, fotografava as vítimas, coletava dados e capturava a biometria facial. Com isso, contratava financiamentos de veículos em nome delas. Os quatro contratos identificados até agora somam cerca de R$ 453 mil. O dinheiro caía na conta de uma empresa que, segundo os laudos, recebeu mais de R$ 7,1 milhões entre 2022 e 2023 com capital social de R$ 10 mil.
Quero olhar esse caso do outro lado do balcão. Não do lado da vítima, que já tem o problema dela, mas do lado de quem aprovou o crédito e de quem abriu e manteve aquela conta.
Porque, nessa história, a biometria funcionou. O rosto era verdadeiro. Quem falhou foi o processo.
O tamanho do problema
A Serasa Experian registrou 2.860.957 tentativas de fraude de identidade no primeiro semestre de 2026, alta de 32,9% sobre o mesmo período de 2025. É uma tentativa a cada 5,5 segundos, e a conta inclui só as fraudes barradas no cadastro e na validação de identidade, antes de qualquer transação. O setor financeiro concentrou 61,1% das tentativas e a telefonia, 22,1%. O varejo foi o que mais cresceu: 120,7%.
O diretor de autenticação e prevenção a fraude da Serasa Experian, Leandro Bartolassi, resumiu o recado: a fraude de identidade não está restrita às instituições financeiras. Qualquer empresa que abre cadastro, concede crédito, vende a prazo ou habilita linha pela internet está no alvo.
Biometria é prova, não é blindagem
Em março de 2026, a Terceira Turma do STJ julgou o REsp 2.197.156, relatado pela ministra Nancy Andrighi. A Corte entendeu que a simples negativa do cliente não basta para derrubar um contrato digital quando o conjunto de provas afasta a fraude, mesmo sem certificado ICP-Brasil. No caso, o banco apresentou selfie com documento, geolocalização compatível com o endereço da cliente e o depósito do valor na conta dela.
Muita gente leu essa decisão como uma vitória da selfie. Eu leio como um aviso sobre o conjunto. O que convenceu o tribunal foi a coerência entre identidade, local, aparelho e destino do dinheiro. Num caso como o da Operação Brinde Facial, a selfie é autêntica, mas o resto não fecha: o dinheiro foi para uma pessoa jurídica que não era o cliente.
E o ônus continua com a empresa. Pelo Tema 1061 do STJ, quando o consumidor impugna a autenticidade da assinatura em contrato bancário, cabe à instituição provar que ela é autêntica. Na contratação digital, isso significa entregar ao juiz a trilha completa: logs, IP, dispositivo, geolocalização, prova de vida, documentos e o caminho do dinheiro. Quem não guardou não prova.
O que pesa contra quem concedeu o crédito
Nas relações de consumo, o art. 14 do CDC e a Súmula 479 do STJ tratam a fraude de terceiros em operações bancárias como fortuito interno, ou seja, risco da própria atividade. A jurisprudência recente do STJ tem olhado também para a conduta da vítima e para o perfil das transações. Esse filtro ajuda pouco, porém, quando a vítima nem sabia que o contrato existia.
Há ainda a LGPD. Biometria é dado pessoal sensível (art. 5º, II), com hipóteses de tratamento mais restritas (art. 11). O controlador deve adotar medidas de segurança aptas a proteger os dados (art. 46), e o tratamento é irregular quando não oferece a segurança que o titular pode esperar (art. 44). Um fluxo que aceita uma foto capturada por terceiro na porta da casa da vítima é o tipo de falha que esses artigos descrevem.
E do lado de quem recebeu o dinheiro
A outra metade da fraude é a conta de destino. Uma empresa com capital de R$ 10 mil movimentando milhões e repassando tudo em seguida é sinal clássico de conta de passagem. Desde novembro de 2023, a Resolução Conjunta nº 6 obriga instituições financeiras e de pagamento a compartilhar entre si dados sobre indícios de fraude, inclusive da conta destinatária e do seu titular. E a Lei nº 15.397/2026 passou a tratar como estelionato a cessão de conta para trânsito de recursos de origem criminosa.
Para a instituição que manteve aquela conta, o debate é sobre conhecimento do cliente e monitoramento. Tratei disso em Golpe S.A.: a fraude virou empresa e no artigo sobre fraude via Pix contra empresas e o MED 2.0.
O que eu revisaria amanhã no seu onboarding
- prova de vida de verdade, que detecte foto de foto, tela e deepfake, e não apenas compare rostos (o risco da IA nesse ponto está em o fim da prova sensorial);
- cruzamento da biometria com dispositivo, geolocalização e histórico do CPF, com alerta quando não batem;
- regra rígida para crédito liberado em conta de terceiro, sobretudo de pessoa jurídica;
- monitoramento de contas PJ cuja movimentação não conversa com o capital e a atividade declarados;
- guarda organizada das evidências de cada contratação, pensando no processo que pode chegar anos depois;
- base legal e governança do tratamento de biometria documentadas, com relatório de impacto quando cabível.
Nenhuma dessas medidas zera o risco. Mas é a diferença entre chegar ao juiz com prova ou com narrativa.
O golpista não precisa mais roubar a senha. Ele pega o rosto. E quem aceita o rosto como chave precisa conferir a porta inteira.
Referências
- Polícia Federal. Operação Brinde Facial, Uberlândia/MG, 8/10/2026. Cobertura: Metrópoles (coluna Mirelle Pinheiro) e O Tempo, 8/10/2026.
- Serasa Experian. Brasil registra quase 3 milhões de tentativas de fraude de identidade no 1º semestre, 26/8/2026.
- STJ, 3ª Turma, REsp 2.197.156/SP, Rel. Min. Nancy Andrighi, j. 3/3/2026 (Informativo 880).
- STJ, Tema Repetitivo 1061 (ônus da prova da autenticidade da assinatura em contrato bancário).
- STJ, Súmula 479. Lei nº 8.078/1990 (CDC), art. 14.
- Lei nº 13.709/2018 (LGPD), arts. 5º, II, 11, 44 e 46.
- Resolução Conjunta nº 6, de 23/5/2023 (compartilhamento de dados sobre indícios de fraude).
- Lei nº 15.397, de 30 de abril de 2026 (altera o art. 171 do Código Penal).
Sobre os autores
Danilo Pardi é advogado (OAB/SP 384.895) e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance pelo IBMEC, especialista em Privacidade e Proteção de Dados pelo Data Privacy Brasil, professor do módulo Legal no MBA em Empreendedorismo Digital da IEBS Business School e membro da ANPPD.
Afonso Morais é advogado (OAB/SP 77.133) e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. É criador e apresentador do podcast Falando de Fraudes, com mais de 120 episódios, colunista do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.
A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atendimento em todo o Brasil. Para empresas: pardimorais.com.br/empresas. Alertas diários sobre golpes no portal Falando de Fraudes.
Este artigo tem caráter informativo e não substitui a análise de um caso concreto.
Foto: George Prentzas / Unsplash
