KYC Baseado Apenas em Documentos: Quais São os Riscos?

Você pode estar aprovando um cliente que nunca existiu — e não conseguir explicar por quê

Existem duas perguntas ruins de responder no dia seguinte a uma fraude de identidade.

A primeira é conhecida: como esse cliente passou? A segunda aparece semanas depois, quando o regulador ou a auditoria interna bate à porta, e costuma ser mais cara: qual regra aprovou esse cadastro, com qual dado, vindo de qual fonte, em qual versão da política?

A maior parte das instituições financeiras brasileiras já investiu bastante para responder a primeira. Comprou validação documental, contratou biometria, assinou bureau, integrou lista restritiva. A segunda, na prática, é respondida com uma planilha, um print e a memória de quem estava lá.

Acompanhe neste artigo, com a Teros, por que esse desequilíbrio é o risco real de um KYC financeiro hoje — e por que resolvê-lo não é comprar mais uma camada de verificação.

O cenário mudou, e os números são públicos

Não é percepção de mercado. É medição.

Segundo a Serasa Experian, o Brasil registrou 1.495.696 tentativas de fraude no cadastro e na validação de identidade apenas no primeiro trimestre de 2026 — alta de 36,6% sobre o mesmo período do ano anterior. O volume equivale a uma tentativa a cada cinco segundos.

A concentração também é conhecida: seis em cada dez tentativas ocorrem no setor financeiro — bancos, emissores de cartão, meios de pagamento e empresas de crédito. Meios de pagamento lidera isoladamente, com 644.586 tentativas no trimestre.

Por trás desse volume estão três vetores que a validação documental sozinha não alcança.

Identidades sintéticas. Um CPF válido combinado a dados fabricados forma uma identidade que passa por qualquer checagem de autenticidade — porque o documento é, de fato, consistente.

Deepfakes. Imagens e vídeos sintéticos cada vez mais convincentes, produzidos com ferramentas acessíveis, exigem mecanismos de verificação que evoluam na mesma velocidade da técnica de ataque.

Personificação com dados verdadeiros. O volume de vazamentos disponível permite que um fraudador se apresente com informações legítimas de outra pessoa. Não há documento falso para detectar.

O ponto comum entre os três: o documento não é mais o elo fraco. O elo fraco é a decisão tomada a partir dele. O artigo KYC sem atrito: segurança e antifraude no cadastro inteligente mostra como combinar proteção e experiência fluida para o cliente legítimo.

Você provavelmente já tem as camadas. O problema é que elas não conversam

Aqui está a parte incômoda para quem já investiu em antifraude.

A resposta padrão do mercado ao cenário acima é adicionar camada: biometria facial com detecção de vivacidade, biometria comportamental, análise de dispositivo, sinais de contexto de conexão. São camadas legítimas e necessárias — a Teros trabalha com elas todos os dias.

Mas se você olhar a operação de uma instituição de médio porte hoje, o mais provável é que essas camadas já existam. Foram compradas em momentos diferentes, de fornecedores diferentes, integradas por times diferentes, cada uma resolvendo uma pergunta parcial:

-        A biometria responde: existe uma pessoa viva do outro lado?

-        O bureau responde: esse CPF existe e tem que histórico?

-        O OCR responde: o documento é íntegro?

-        A lista responde: essa pessoa está em alguma restrição?

Nenhuma delas decide. A decisão é a combinação — e é exatamente aí que a maior parte das instituições tem uma lógica hard-coded dentro da integração, escrita há dois anos por alguém que talvez não trabalhe mais lá.

O resultado é uma arquitetura com três fragilidades previsíveis.

Trocar de fornecedor custa meses. Como a lógica de decisão está acoplada à integração, substituir um provedor de biometria não é trocar uma peça — é refazer o fluxo. Isso cria um lock-in que não foi contratado, mas foi construído.

O fluxo é único para riscos diferentes. Um MEI abrindo conta digital e um grupo econômico com estrutura societária complexa passam pela mesma esteira. Um sofre atrito desnecessário, o outro passa com verificação insuficiente. Normalmente os dois ao mesmo tempo.

A decisão não deixa rastro reconstruível. É o ponto seguinte, e o mais caro.

O prejuízo aparece depois. A cobrança do regulador também

Fraude de identidade tem uma característica operacional cruel: o prejuízo raramente aparece no momento do cadastro. Ele aparece semanas ou meses depois — quando uma operação de crédito é realizada, quando a movimentação levanta suspeita, quando uma auditoria interna encontra inconsistência. 

Quando isso acontece, a conta não é apenas a perda financeira. É mobilizar time para investigação, revisar processo, responder a questionamento regulatório e demonstrar controle.

E aqui a regulação é mais específica do que a maior parte dos artigos sobre fraude admite. A Circular BCB nº 3.978/2020 estabelece três exigências que se cruzam.

Qualificação compatível com o perfil de risco. A norma não pede uma verificação; pede coleta, verificação e validação de informações compatíveis com o perfil de risco do cliente e com a natureza da relação de negócio, com verificação periódica ao longo do relacionamento. Vale reler essa frase: a exigência regulatória já pressupõe fluxo diferenciado. Uma instituição que roda a mesma esteira para todo mundo não está sendo apenas ineficiente — está mal ajustada à própria norma que tenta cumprir.

Retenção e disponibilidade. Documentos e informações de qualificação devem permanecer à disposição do Banco Central por no mínimo cinco anos, prazo que também se aplica aos contratos, contado do encerramento da relação contratual.

Avaliação de efetividade, inclusive as versões anteriores. A instituição precisa avaliar periodicamente a efetividade dos seus procedimentos, e as versões anteriores do relatório de efetividade estão entre os documentos que devem ser mantidos. Ou seja: a norma não pergunta apenas o que você faz hoje. Pergunta o que você fazia antes, e o que mudou.

Traduzindo para a operação: em 2027, sua instituição precisa conseguir reconstruir uma decisão de aprovação tomada em 2026. Não a decisão genérica — aquela decisão, daquele cliente, com o dado disponível naquele instante e sob a versão de política que valia naquele dia.

Se a resposta a isso hoje é "a gente consegue levantar, mas dá trabalho", o que existe não é trilha de auditoria. É arqueologia.

Uma trilha que funciona registra quatro coisas para cada decisão, de forma imutável: quem (cliente final ou sistema), com qual dado (de qual fonte, obtido quando), por qual regra (em qual versão, vigente desde quando) e com qual resultado. A diferença entre isso e um relatório gerado sob demanda é que o registro nasce junto com a decisão — não é reconstruído depois, quando a memória de quem estava lá já é a única fonte. O artigo Governança no coração das decisões: transparência e auditabilidade no motor financeiro mostra como a rastreabilidade de decisões protege a instituição em auditorias.

Como fica um KYC construído para esse cenário

A mudança não é trocar as camadas. É colocar uma camada de orquestração acima delas.

Orquestração multi-fonte. Uma camada acima dos fornecedores, que conecta biometria, documentos, bureaus, listas e Open Finance e decide como consultá-los. Na prática isso significa três coisas simples: se uma fonte sai do ar ou começa a responder mal, o cadastro continua por outra em vez de travar; consultas que não dependem uma da outra são feitas ao mesmo tempo, em vez de uma esperando a anterior; e quando duas fontes se contradizem, existe uma regra escrita definindo qual prevalece — em vez de o resultado depender de qual respondeu primeiro.

O efeito prático mais imediato: você não precisa escolher entre Unico e Idwall. Use as duas. Use a melhor de cada uma para cada tipo de caso. Troque uma delas no ano que vem sem refazer o fluxo. A escolha de fornecedor deixa de ser uma decisão de arquitetura e volta a ser o que deveria ser — uma decisão comercial.

Fluxo adaptativo por perfil de risco. PF de baixo risco atravessa três campos. PJ de alto risco atravessa a esteira completa, com quadro societário e verificação reforçada. Cada etapa condicionada por resposta anterior ou por score em tempo real. Segurança e conversão param de ser um trade-off e viram uma configuração.

Enriquecimento com Open Finance. Com consentimento do cliente, dados transacionais reais alimentam a decisão e o pré-preenchimento do cadastro. O ecossistema brasileiro já passou de 154 milhões de consentimentos ativos — deixou de ser promessa e virou infraestrutura disponível. O que separa quem usa isso bem de quem não usa é governança de consentimento: finalidade, prazo e rastreabilidade de uso. O artigo Open Finance e personalização: o novo motor do crédito detalha como dados consentidos ampliam a capacidade de decisão desde o cadastro.

Regra versionada. Cada alteração de política de decisão fica registrada com número de versão e data de vigência, de forma que a regra aplicada em junho continue reconstruível em janeiro do ano seguinte. Alterações podem ser simuladas contra a base histórica antes de entrar em vigor, para que o time veja o efeito da mudança antes de assumi-lo. Quando a fraude muda de padrão — e ela muda —, a resposta é uma configuração, não um ciclo de projeto.

É esse conjunto que sustenta o Cadastro Inteligente da Teros: não uma verificação a mais, mas a camada que faz as verificações que você já tem decidirem juntas e deixarem prova. O artigo Da base ao fluxo: conectando cadastro inteligente ao motor de decisão financeira 

mostra como essa infraestrutura opera na prática, do cadastro à aprovação de crédito.

Três perguntas que ajudam a avaliar a maturidade do seu KYC

Não são perguntas sobre tecnologia. São perguntas sobre arquitetura.

-        Você consegue trocar de fornecedor de biometria sem alterar seu fluxo de cadastro? Se a resposta envolve prazo de desenvolvimento, você tem lock-in construído, não contratado.

-        A regra que aprovou um cliente em janeiro está reconstruível hoje, com a versão exata que estava valendo? Se a resposta é "conseguimos levantar", a Circular 3.978 pede mais do que isso.

-        Seu fluxo trata um MEI e um grupo econômico da mesma forma? Se trata, você está pagando atrito de um lado e assumindo risco do outro.

Responder a essas perguntas ajuda a entender o grau de maturidade do processo e identificar oportunidades de evolução. Explore mais sobre onboarding inteligente e governança de dados no blog da Teros.

Construa um KYC preparado para acompanhar a evolução das fraudes

As ameaças vão continuar evoluindo, e as camadas de verificação também. O que não pode continuar é a instituição adicionar camada sobre camada sem uma arquitetura que as coordene e registre.

Com o Cadastro Inteligente, a Teros conecta múltiplas fontes de verificação em um fluxo adaptativo por perfil de risco, com gestão de consentimentos, enriquecimento nativo de Open Finance e trilha de auditoria com versionamento de regras — registrando, para cada decisão, quem decidiu, com qual dado, sob qual regra e com qual resultado. A adequação de cada instituição às exigências do Banco Central depende dos seus próprios controles e políticas; o que a arquitetura faz é sustentar essa demonstração com registro produzido no momento da decisão.

Mais do que confirmar documentos, o objetivo é oferecer uma base confiável para decisões mais inteligentes durante toda a jornada do cliente. Você não compra da Teros mais uma verificação: compra a camada que faz as suas verificações trabalharem juntas e deixarem prova.

Entre em contato com a equipe da Teros ou preencha o formulário abaixo.

Fontes: Serasa Experian, Indicador de Tentativas de Fraude — 1º trimestre de 2026; Circular BCB nº 3.978/2020; Open Finance Brasil / Febraban, fevereiro de 2026.