CIAM e Verificação de Identidade: Por que uma conta totalmente autenticada ainda pode ser usada por fraudadores

Toda equipe de prevenção à fraude já passou por essa reunião: uma conta tem o comprometimento confirmado ou é identificada como sintética, e alguém analisa os logs para reconstruir o ocorrido. Os logs estão limpos. A senha estava correta, o código de uso único foi inserido e o dispositivo foi reconhecido. Todos os controles funcionaram exatamente como projetados e, ainda assim, o fraudador no controle da conta conseguiu movimentar o dinheiro.

Nenhuma falha técnica ocorreu. A conta nunca foi o ponto fraco; a identidade por trás dela era o problema, e ninguém tinha realmente estabelecido a quem ela pertencia.

Essa é a diferença entre a Gestão de Identidade e Acesso de Clientes (CIAM) e a verificação de identidade. Apesar da palavra "Identidade" no nome, o CIAM autentica as credenciais de um usuário, mas não estabelece se a pessoa por trás delas é quem diz ser, ou se a conta que está sendo desbloqueada pertence a uma pessoa real, a uma identidade sintética montada a partir de três pessoas diferentes, ou ao mesmo fraudador operando discretamente 19 perfis na sua instituição. Uma conta totalmente autenticada costuma ser o lugar mais seguro para um fraudador agir, pois passa por todas as verificações técnicas por padrão.

Resumo Prático

• Autenticação ≠ verificação. O CIAM protege o acesso verificando credenciais, sessões e permissões. A verificação de identidade analisa continuamente se uma conta corresponde a uma pessoa real e única.

• A resolução de entidades é a peça que falta. A fraude se esconde em dados fragmentados em diferentes canais; fechar essa lacuna significa verificar a identidade continuamente toda vez que os dados pessoais (PII) são atualizados, unindo registros dispersos em uma única identidade confiável.

• Os riscos estão aumentando. A Deloitte projeta que os prejuízos com fraudes geradas por IA nos EUA podem subir de US$ 12,3 bilhões (2023) para US$ 40 bilhões até 2027 (uma taxa de crescimento anual de 32%), com identidades sintéticas e deepfakes entre os fatores de crescimento mais rápidos, junto com golpes de e-mail corporativo (BEC) por IA.

• A solução é somar, não reconstruir. Mantenha o CIAM como o seu validador de credenciais e combine-o com um sistema de risco unificado: integrando resolução contínua de entidades, monitoramento de identidade, monitoramento de fraudes e inteligência cognitiva de identidade em um único mapa de risco e identidade. 

Uma conta totalmente autenticada é uma interrogação bem protegida

A fraude raramente se revela como um login suspeito óbvio. Ela se esconde em dados que parecem desconectados à primeira vista:

• Identidade real fragmentada. Um cliente abre uma conta corrente na sua agência e, três anos depois, solicita um empréstimo por um sistema diferente: com o nome grafado de forma ligeiramente diferente, um endereço novo e sem um código de cliente compartilhado entre os dois sistemas. Para um sistema de risco desconectado, uma única pessoa real parece ser dois estranhos.

• Identidade sintética. Um perfil falso (um documento roubado combinado com nome e endereço fictícios) solicita dezenas de produtos. Cada solicitação é aprovada como um novo cliente legítimo, pois nada os conecta no momento da decisão. A conta pode então se comportar como um cliente exemplar por meses, passando por todas as checagens de login, antes de aplicar o golpe.

• Ponto cego entre canais. Um fraudador altera os dados de contato em um canal, vincula uma conta em outro e faz uma transferência incomum em um terceiro. Sem uma visão unificada da pessoa, esses eventos parecem três ações isoladas e sem relação.

Orientações recentes da American Bankers Association e da Better Identity Coalition apontam as identidades sintéticas e os deepfakes gerados por IA como as principais ameaças, reforçando a necessidade de uma comprovação de identidade de última geração como defesa operacional essencial.

A autenticação começa onde a verificação de identidade deveria ter terminado

A autenticação assume que a identidade por trás de uma conta já é conhecida e única, e passa a proteger o acesso a ela. Quando a resolução é feita primeiro, essa premissa é verdadeira e a autenticação cumpre exatamente o papel para o qual foi criada. Quando não é, a autenticação protege fielmente uma conta que, na verdade, é uma farsa.

A verificação pode confirmar quem alguém é e depois perder o rastro de como essa pessoa se comporta em uma sessão ativa — que é exatamente a lacuna que a camada de login foi feita para fechar. Enquanto isso, a autenticação pode proteger uma sessão com perfeição, mesmo que a identidade por trás dela nunca tenha sido real.

Como a resolução e o acesso dividem o trabalho

A Oscilar faz a resolução da identidade e toma a decisão com base no risco; o CIAM gerencia as credenciais e o acesso.

Como escolher uma camada de verificação de identidade para o seu CIAM

Avalie as plataformas com base em cinco requisitos para adicionar uma camada de resolução de identidade sem alterar o seu CIAM atual:

• Resolução de entidade real: A camada precisa unificar registros de forma contínua em uma única identidade confiável, em vez de apenas fazer consultas pontuais de dados. 

• Velocidade de fração de segundo: A análise de risco precisa rodar em tempo real durante o login e as transações, sem causar fricção para o cliente. 

• Baixas taxas de falsos positivos: Unificar registros duplicados em entidades únicas evita alertas repetitivos, otimizando a detecção de fraudes no KYC desde o início. 

• Integração simples: A plataforma deve funcionar integrada ao seu CIAM atual por meio de APIs padrão, sem a necessidade de reescrever códigos.

• Transparência e conformidade: Cada combinação de dados, pontuação e recomendação deve trazer justificativas claras para auditorias internas e reguladores externos.

Fechando a lacuna de resolução

O CIAM responde muito bem a uma pergunta: estas credenciais correspondem a esta conta e o que ela tem permissão para fazer? A pergunta que ele deixa de fazer é se existe uma pessoa real por trás dessa conta em toda a sua base de dados.

Essa pergunta sem resposta é justamente onde a fraude moderna acontece. 

Mantenha o seu CIAM como controlador de credenciais e acessos, mas adicione a inteligência cognitiva de identidade da Oscilar junto a ele no cadastro, no login e em cada alteração de dados. Ao unir uma integração perfeita de CIAM com acesso pronto a mais de 100 provedores de dados (incluindo serviços especializados de verificação de identidade), a Oscilar resolve a identidade real primeiro e autentica depois, barrando fraudes antes mesmo que o acesso seja concedido.

Perguntas Frequentes

O CIAM é o mesmo que verificação de identidade? Não. O CIAM protege o acesso a uma conta, gerencia credenciais, sessões e permissões, e confirma se a credencial inserida está correta. A verificação de identidade responde a uma pergunta anterior: se aquela conta pertence a uma pessoa real e identificada. Uma estrutura completa precisa de ambos.

Por que a autenticação baseada em risco não é o mesmo que verificação de identidade? A autenticação baseada em risco analisa dados do dispositivo e comportamento para avaliar se uma sessão de login parece suspeita. Isso ajuda a evitar invasões de contas, mas não resolve se a identidade por trás dela é real. Uma identidade sintética que mantém uma conta há um ano pode fazer login sem gerar alertas, porque o problema está na identidade criada e não necessariamente na sessão de login.

O que é resolução de entidades na verificação de identidade? É o processo de cruzar registros fragmentados e inconsistentes — variações de nomes, endereços parciais ou documentos formatados de maneira diferente em cada sistema — em uma única identidade real, justificando cada correspondência com base em níveis de confiança. É assim que uma empresa percebe que vários cadastros pertencem a uma única pessoa ou que uma solicitação foi feita com dados misturados que não fazem sentido juntos.

É possível adicionar a verificação de identidade a um CIAM existente sem substituí-lo? Sim. Uma camada de resolução e decisão foi feita para trabalhar junto com o CIAM: ela resolve a identidade, faz a avaliação de risco (inclusive no login) e indica se é preciso solicitar uma verificação extra ou bloquear a sessão, enquanto o CIAM continua cuidando das credenciais, sessões e acessos.

A Oscilar substitui a autenticação baseada em risco do meu próprio CIAM? Não, ela a complementa. O seu CIAM continua controlando a checagem de credenciais e a sessão ativa. A Oscilar adiciona a visão de risco que a checagem de credenciais não consegue ver sozinha: a identidade unificada, o que mudou nela recentemente e como essa sessão se compara ao histórico de comportamento dessa identidade. Depois, ela indica se o acesso deve ser liberado, se exige verificação extra ou se deve ser retido para análise.

Como funciona a verificação de identidade contínua? Ela reavalia a identidade e recalcula o risco sempre que surge um dado novo, e não apenas no momento do cadastro inicial. Quando um cliente altera dados de contato, vincula uma nova conta, inicia um pagamento incomum ou simplesmente faz login, o sistema analisa o evento comparando com o histórico da identidade confirmada, detectando invasões e contas laranja que passariam despercebidas em uma verificação única de cadastro.