Biometria facial reforça o antifraude financeiro

A biometria facial ganha espaço na prevenção de fraudes em caixas eletrônicos e canais digitais, mas seu desempenho depende da combinação com prova de vida, análise do dispositivo e comportamento transacional. Atualizado em agosto/2026, este artigo explica como a autenticação funciona, quais riscos permanecem e como a Resolução BCB nº 584 amplia a responsabilidade das instituições.

A discussão esteve entre os temas anunciados para o Febraban Tech 2026, programado para ocorrer entre 24 e 26 de agosto. Na data de corte deste conteúdo, 23 de agosto, a apresentação ainda não havia acontecido e não existia publicação oficial recente detalhando uma nova adoção de biometria facial em caixas eletrônicos ou canais digitais.

Como funciona a biometria facial contra fraudes

A biometria facial confirma a identidade ao comparar características do rosto capturadas pela câmera com um padrão previamente cadastrado, enquanto a prova de vida tenta verificar se a interação ocorre com uma pessoa presente, e não com uma fotografia ou vídeo.

O processo costuma envolver captura da imagem, extração de pontos faciais, comparação com um cadastro e aplicação de regras de risco. Em operações sensíveis, a instituição pode solicitar movimento espontâneo, mudança de ângulo ou outro desafio interativo. A prova de vida passiva, por sua vez, tenta detectar sinais de presença sem exigir uma ação explícita do usuário.

Essa camada pode reduzir o uso indevido de credenciais roubadas. Ainda assim, a biometria facial não deve funcionar como fator isolado. Uma tentativa de account takeover, quando um fraudador assume a conta de outra pessoa, pode envolver engenharia social, aparelho comprometido, alteração de endereço, comportamento atípico e acesso a dados vazados.

Autenticação precisa observar o contexto

O sistema ganha qualidade quando compara o rosto com outros sinais da operação. O dispositivo usado, a localização aproximada, o horário, o histórico de transações e a sequência de navegação ajudam a separar uma pessoa autorizada de uma sessão suspeita.

Na nossa mesa de câmbio, a mesma regra aparece em operações empresariais: nossos clientes exportadores podem trocar de dispositivo durante uma viagem ou autorizar uma operação fora do padrão. Um alerta contextual precisa distinguir uma mudança explicável de um comportamento realmente incompatível, sem bloquear automaticamente uma atividade legítima.

O caso judicial divulgado em 15 de agosto de 2026 reforçou esse ponto. Em uma contratação contestada de empréstimo, selfie e biometria facial, sozinhas, não comprovaram a autoria. A perícia identificou divergências de localização, dispositivo e endereço IP, além de registros técnicos insuficientes.

A lição operacional é direta: a imagem facial deve integrar uma trilha de evidências. Registros de sessão, dados do dispositivo, prova de vida, histórico de comportamento e auditoria posterior formam uma defesa mais consistente do que uma única correspondência biométrica.

Biometria facial, senha, token ou cartão

Nenhum método elimina completamente o risco de fraude. A escolha correta depende da operação, do perfil de risco, da acessibilidade do canal e da capacidade de monitorar eventos suspeitos depois da autenticação.

A biometria oferece uma vantagem relevante: o usuário não precisa memorizar um segredo nem carregar um objeto físico para iniciar a identificação. Isso não significa que ela seja automaticamente superior em todas as situações. O cadastro facial pode falhar com iluminação inadequada, câmera de baixa qualidade, alterações de aparência ou limitações motoras e visuais.

Senhas continuam vulneráveis ao compartilhamento e ao roubo. Tokens podem ser desviados durante uma fraude de engenharia social. Cartões podem ser perdidos ou clonados. A arquitetura mais segura combina fatores diferentes e ajusta o nível de exigência ao risco da operação.

Observacao GX: trate a biometria como uma decisão de risco, não como um simples botão de aprovação. Se o rosto for compatível, mas o dispositivo, a localização e o comportamento divergirem simultaneamente, a sessão deve seguir para uma etapa adicional ou análise especializada. Essa regra reduz a dependência de um único sinal sem transformar todo desvio em bloqueio automático.

Deepfakes e limites da prova de vida

Deepfakes reduzem a vantagem da biometria quando o sistema confia apenas em imagem ou vídeo. A análise técnica publicada em 18 de agosto de 2026 apontou que conteúdos sintéticos podem explorar limitações da prova de vida passiva.

O risco não torna a biometria inútil. Ele muda o desenho da autenticação. Desafios interativos, análise do aparelho, comportamento transacional e reforço por hardware dificultam uma fraude baseada somente em conteúdo visual manipulado.

Onde a instituição deve colocar os controles

• Cadastro: registrar a origem da imagem, o consentimento aplicável e a qualidade mínima da captura.
• Autenticação: combinar correspondência facial com prova de vida e sinais do dispositivo.
• Transação: verificar valor, destinatário, padrão de uso e alterações recentes no perfil.
• Exceção: encaminhar casos inconclusivos para fator adicional ou revisão humana.
• Pós-evento: preservar registros suficientes para investigação, contestação e auditoria.

O controle precisa funcionar antes, durante e depois da autorização. Um fraudador pode superar a primeira barreira e revelar o desvio apenas ao tentar movimentar recursos para um destinatário novo ou alterar dados cadastrais.

Caixas eletrônicos apresentam desafios próprios. A instituição precisa lidar com iluminação, posicionamento da câmera, filas, privacidade física e usuários que não conseguem permanecer diante do equipamento pelo tempo exigido. Nos canais digitais, a variedade de aparelhos, sistemas operacionais e condições de rede amplia a possibilidade de falhas de captura.

Resolução BCB nº 584 e responsabilidade antifraude

A Resolução BCB nº 584, editada pelo Banco Central em 7 de agosto de 2026, ampliou regras de prevenção a fraudes para instituições financeiras, instituições de pagamento e prestadores de serviços de ativos virtuais.

A norma exige registros diários de fraudes e tentativas e reforça controles de retenção cautelar e análise de risco. Ela não determina o uso de biometria facial. Portanto, a tecnologia deve ser avaliada como parte de uma arquitetura de prevenção, e não como resposta regulatória automática.

Essa distinção importa para a governança. Uma instituição pode adotar reconhecimento facial e ainda apresentar controles insuficientes se não registrar eventos, investigar divergências ou explicar por que uma operação foi aprovada. A tecnologia precisa produzir evidências verificáveis, com acesso restrito e prazo de retenção compatível com a finalidade.

O Banco Central reúne informações sobre regulação e supervisão no portal de estabilidade financeira do Banco Central. A consulta ajuda equipes de risco a acompanhar responsabilidades aplicáveis aos participantes do sistema.

LGPD, consentimento e proteção dos dados biométricos

Dados biométricos vinculados a uma pessoa exigem cuidado elevado. A instituição deve definir finalidade, base legal, necessidade, transparência, segurança e governança antes de transformar uma imagem facial em mecanismo de autenticação.

Consentimento, quando aplicável, precisa ser informado e específico. A organização também deve explicar o que será coletado, por que a coleta é necessária, quem terá acesso, por quanto tempo os registros serão mantidos e quais alternativas existirão para pessoas que não possam ou não queiram utilizar o recurso.

A Lei Geral de Proteção de Dados, a Autoridade Nacional de Proteção de Dados e o controlador da operação formam parte do conjunto institucional relevante. O portal da Autoridade Nacional de Proteção de Dados apresenta orientações e informações sobre proteção de dados pessoais.

Falsos positivos e acessibilidade

Um falso positivo ocorre quando o sistema associa uma pessoa legítima a uma identidade ou risco incorreto. Um falso negativo ocorre quando a tecnologia não reconhece o usuário autorizado. Ambos geram custo operacional, mas o segundo pode bloquear acesso, atrasar pagamentos ou estimular tentativas repetidas.

Acessibilidade precisa entrar no projeto desde o início. A instituição deve oferecer uma rota alternativa para quem enfrenta dificuldade com câmera, iluminação, mobilidade, aparência ou outro requisito da captura. Essa alternativa precisa manter nível de segurança compatível, sem penalizar o cliente por não usar o rosto.

A governança também deve incluir testes com diferentes perfis de usuários, revisão de limiares, monitoramento de taxas de falha e procedimento para contestação. O objetivo é reduzir tanto fraudes quanto recusas indevidas.

Fluxo recomendado de autenticação facial

Um fluxo seguro começa com identificação, confirma presença, avalia o contexto e só então decide se libera, reforça ou bloqueia a operação.

O gráfico descritivo sugerido para este artigo deve apresentar cinco etapas em sequência: cadastro protegido, captura facial, prova de vida, análise integrada de dispositivo e comportamento, e decisão com registro de auditoria. Em cada etapa, o gráfico deve indicar pontos de controle, como qualidade da imagem, detecção de conteúdo sintético, divergência de localização, alteração cadastral e acionamento de fator adicional.

A visualização pode usar três saídas: aprovação, autenticação reforçada e retenção cautelar. Essa representação evita a mensagem equivocada de que uma correspondência facial sempre resulta em aprovação imediata.

O ponto central é a proporcionalidade. Uma consulta de baixo risco pode exigir menos fricção. Uma alteração de dados, contratação de crédito ou transferência para novo destinatário pode exigir controles adicionais. O sistema deve registrar a justificativa técnica para cada decisão relevante.

Para acompanhar o ambiente macroeconômico no qual instituições administram liquidez, crédito e tecnologia, o CDI estava em 13,90% ao ano na referência de 20 de agosto de 2026, enquanto a Selic meta estava em 14,00% ao ano na referência de 22 de agosto de 2026. Esses indicadores não medem fraude, mas ajudam a contextualizar o ambiente financeiro em que bancos e empresas operam.

O IPCA acumulado em 12 meses estava em 4,44% na referência de 1º de julho de 2026. No Boletim Focus de 14 de agosto de 2026, a mediana projetava IPCA de 5,02% para o fim de 2026, PIB Total de 1,98% para o fim de 2026, câmbio de R$ 5,2000 para o fim de 2026 e Selic de 13,75% ao ano para o fim de 2026. Essas são expectativas, não valores vigentes.

Para empresas expostas ao comércio exterior, a PTAX de venda estava em R$ 5,1625 na referência de 21 de agosto de 2026. O dado não substitui controles de identidade em plataformas financeiras, mas mostra por que trilhas de auditoria e autenticação contextual também importam em operações com impacto cambial.

A biometria facial pode reduzir determinados vetores de fraude, especialmente quando dificulta o uso de credenciais por terceiros. Seu benefício cai quando a instituição ignora deepfakes, não oferece alternativa acessível, armazena dados sem governança ou aprova operações apenas porque a câmera encontrou semelhança.

O próximo passo para bancos, instituições de pagamento e prestadores de serviços de ativos virtuais é medir o sistema completo. A pergunta operacional não deve ser apenas se o rosto foi reconhecido, mas se a identidade, o dispositivo, o comportamento e a operação fazem sentido juntos.

Este conteudo e informativo e nao constitui recomendacao de investimento ou solicitacao de servico.

Autoria: Equipe GX Capital, boutique financeira em Porto Alegre/RS, 15+ anos em cambio, credito estruturado, trade finance e wealth management.