Última atualização: outubro de 2026

A inteligência de dispositivos e a biometria comportamental são as duas famílias de sinais passivos que as equipes de combate a fraudes adotam quando senhas e códigos únicos já não bastam. A inteligência de dispositivos revela o que está se conectando e se há tentativa de disfarce. A biometria comportamental indica se quem usa o dispositivo age como o titular da conta. Juntas, elas identificam dispositivos adulterados, bots que imitam humanos, sessões de acesso remoto e clientes manipulados por golpistas — desde que padrões de referência sejam definidos por usuário, o atrito ocorra apenas quando o risco exigir e as questões de privacidade sejam definidas antes de coletar o primeiro sinal.

Resumo

• A inteligência de dispositivos identifica o aparelho e a conexão por trás de uma sessão e verifica possíveis disfarces. A biometria comportamental mede como a pessoa digita, desliza na tela, toca e se movimenta.

• A impressão digital do dispositivo (device fingerprint) é apenas um componente da inteligência de dispositivos, não o conjunto completo. Hoje, golpistas ajustam impressões digitais forjadas para ficarem muito parecidas com as do cliente.

• Esses sinais identificam o que as credenciais não veem: clientes convencidos a passar códigos únicos, bots com ritmo humano, pessoas pagas para burlar checagens de bot, sessões de acesso remoto e contas repassadas a terceiros.

• Elas dependem de padrões de referência. Sem histórico do usuário, o desvio individual não tem termo de comparação; assim, o valor se desloca para o risco do dispositivo e para a própria proposta ou cadastro.

• Dados comportamentais podem ser considerados informações biométricas sob certas leis estaduais, com isenções que variam conforme a legislação. Defina avisos, retenção e o tratamento por fornecedores com o setor jurídico antes da coleta.

• Teste qualquer fornecedor em tempo real com seu próprio tráfego. Sinais comportamentais nunca foram coletados em seus dados históricos; logo, uma pontuação retrospectiva não serve de prova.

Qual é a diferença entre inteligência de dispositivos e biometria comportamental?

A inteligência de dispositivos identifica o aparelho e a conexão da sessão, checando se algum deles está camuflado. A biometria comportamental analisa a interação da pessoa no aparelho: ritmo de digitação, toques e deslizamentos na tela, movimentos do mouse e navegação. Enquanto uma avalia o que está se conectando, a outra verifica se a pessoa se comporta como o titular da conta. As equipes de combate a fraudes utilizam ambas porque uma cobre as lacunas da outra.

A inteligência de dispositivos começa pelas características do aparelho: hardware, sistema operacional, configuração do navegador, idioma e fuso horário. Em seguida, avalia a conexão, como tipo de rede, reputação do IP e uso de proxy ou VPN. Depois, confere a integridade, procurando por emuladores, celulares com root ou jailbreak e atributos conflitantes. Por fim, avalia o histórico: a frequência com que o aparelho foi visto, em quantas contas e com quais desfechos.

A impressão digital do dispositivo faz parte desse panorama. Trata-se de um identificador composto pelos atributos do aparelho para reconhecê-lo na próxima visita. A inteligência de dispositivos dá passos além: avalia se essa identificação é estável, se parece forjada e qual foi o comportamento prévio do aparelho.

A biometria comportamental avalia a pessoa, não o hardware. As diretrizes de autenticação do FFIEC de 2021 a definem assim: "A análise biométrica comportamental pode incluir dados como os toques, movimentos de deslizar os dedos, toques no teclado e uso do mouse pelo cliente." O mesmo guia trata a identificação de dispositivos e a biometria comportamental como controles em camadas, afirmando que cookies, geolocalização ou correspondência de IP não são suficientes quando usados isoladamente.

Por serem coletados em segundo plano, os dados de biometria comportamental costumam ser chamados de biometria passiva. Quando monitoram toda a sessão e não apenas o login, a prática é chamada de autenticação contínua, tornando a autenticação biométrica comportamental uma das camadas de segurança, e não uma barreira única.

As duas abordagens falham em cenários distintos, o que justifica utilizá-las em conjunto.

O que elas detectam que senhas e códigos únicos não veem

Senhas e códigos temporários confirmam apenas o que alguém sabe ou tem em mãos. Eles não dizem nada sobre quem está digitando ou qual aparelho envia a solicitação. Cinco táticas comuns exploram essa brecha.

Clientes convencidos a entregar códigos temporários

Golpes de falsa identidade agora miram diretamente o código temporário. Um gerente de compliance em BSA/AML de uma cooperativa de crédito explicou como farsantes convencem cooperados a autorizar o código: "Eles entregam as credenciais, entram no sistema e ganham acesso total à conta." Em seguida, o invasor altera a senha e o cooperado perde o acesso à própria conta.

Nesse caso, a autenticação multifator funcionou como previsto, já que o código era válido. Os sinais de dispositivo e comportamento fazem outra pergunta no login: este aparelho pertence ao usuário e a sessão parece ser dele? Um gerente de fraudes de uma cooperativa resumiu bem o objetivo: "Eu gostaria de identificar o perigo quando ele bate à porta, e não quando já está dentro de casa." As melhores práticas de prevenção de invasão de contas baseiam-se nesses sinais.

Dispositivos forjados para evitar checagens extras

Invasores sabem que um dispositivo conhecido reduz a pontuação de risco. Um líder de estratégia de fraude de uma operadora de telefonia relatou ataques de credential stuffing nos quais criminosos "tentam imitar a impressão digital do aparelho, certo? Eles testam para ver se o identificador chega perto o suficiente do original para não acionar verificações adicionais."

Por isso, a simples correspondência de impressão digital nunca deve ser definitiva. A inteligência de dispositivos procura sinais de manipulação: emuladores, combinações anômalas de atributos e configurações que mudam entre sessões de um jeito incompatível com aparelhos e navegadores reais. Uma única sessão alternando entre várias identidades já é, por si só, um forte alerta, independentemente da impressão digital.

Bots que imitam humanos e pessoas contratadas para burlar checagens

O mesmo executivo de telefonia relatou que os criminosos estão programando bots para simular o comportamento de clientes reais, gastando mais tempo nas páginas e rolando a tela antes de agir. O oposto também ocorre. Um especialista em monitoramento de transações em uma fintech bancária descreveu casos em que "eles colocam literalmente uma pessoa real para resolver o captcha e passar pelos filtros habituais de detecção de bots."

Um gerente de produto de autenticação em uma empresa de remessas afirmou que CAPTCHAs e barreiras similares já não contêm os fraudadores. Os sinais comportamentais ajudam nesse cenário porque avaliam a sessão inteira, não um desafio pontual. Um bot configurado para parecer humano ainda tende a repetir padrões, e equipes de pessoas manipulando várias contas costumam gerar sessões mecânicas e idênticas em aparelhos similares.

Sessões de acesso remoto

Um responsável por programas contra fraudes a idosos em um banco destacou que o monitoramento baseado em regras não possui os sinais comportamentais necessários para detectar ferramentas de acesso remoto usadas em engenharia social, faltando à equipe ferramentas internas para isso. Um analista de fraudes em pagamentos digitais completou que flagrar o acesso remoto em celulares é bem mais difícil do que em computadores.

O controle remoto deixa rastros detectáveis: programas de compartilhamento de tela ativos, comandos recebidos sem os toques na tela que uma mão real geraria e movimentação do cursor fora do padrão do usuário. Esses sinais são mais discretos em smartphones, razão pela qual a cobertura mobile exige atenção redobrada em qualquer avaliação.

Clientes manipulados e contas cedidas a terceiros

Alguns dos casos mais complexos ocorrem quando o próprio cliente, em seu aparelho, age sob instrução de um golpista. Os sinais comportamentais podem revelar hesitação ou uma navegação mecânica, que segue um roteiro. Quando o cliente é induzido a fazer a transferência, os sinais devem ser combinados ao contexto da transação; nosso guia sobre fraudes de pagamentos autorizados aprofunda esse tema.

Um líder de estratégia de risco em uma fintech de consumo apontou outro padrão: dois aparelhos conectados à mesma conta simultaneamente, indício frequente de 'laranjas' ou repasse de contas. No onboarding, esses sinais auxiliam a evitar fraudes de cadastro, onde um mesmo aparelho envia dezenas de solicitações ou informações pessoais são coladas em vez de digitadas, sugerindo identidades sintéticas; confira nosso guia sobre como detectar fraudes de identidade sintética.

Como funcionam os sinais passivos e os padrões de referência

Sinais comportamentais e de dispositivos isolados dizem pouco. Cada sessão é avaliada sob dois referenciais: o comportamento geral dos usuários na plataforma e o padrão habitual daquele cliente específico. Um gestor de combate a fraudes e lavagem de dinheiro em uma financeira digital avaliou fornecedores buscando ambos: análise em nível de população para anomalias gerais e perfis individuais assim que o usuário se torna cliente.

O padrão geral identifica condutas que nenhum cliente legítimo teria, como preencher formulários extensos em segundos ou configurações de aparelho que nunca aparecem entre usuários comuns. Já o padrão individual destaca o que destoa da rotina daquele usuário. O gerente de autenticação da empresa de remessas explicou que a análise do login reúne endereço IP e histórico comportamental para identificar irregularidades.

Avaliação por desvio combinado, não por sinais isolados

Uma única alteração é comum: as pessoas trocam de telefone, viajam e atualizam navegadores. Várias mudanças simultâneas, no entanto, acendem o alerta: um novo aparelho, outra conexão, ritmo de digitação incomum e inclusão acelerada de um novo favorecido em uma mesma sessão. Pontuar o desvio conjunto, em vez de criar regras para cada sinal individual, é o que evita alarmes falsos.

O identificador do dispositivo também precisa resistir a mudanças rotineiras. Se uma atualização de navegador, a limpeza de cookies ou a troca do sistema operacional fizer o aparelho parecer novo, cada uma dessas sessões começará sem histórico nenhum.

Etapas comuns da avaliação de uma sessão:

1. Coleta passiva de sinais do aparelho e da interação, sem passos extras para o usuário.

2. Identificação do dispositivo e checagem de integridade: emuladores, adulterações, parâmetros falsos.

3. Comparação da sessão com o padrão geral dos usuários.

4. Comparação com o histórico do próprio usuário, quando existente.

5. Cruzamento do resultado com o contexto da transação, favorecido e mudanças recentes na conta.

6. Decisão: liberar, solicitar verificação extra ou reter para análise manual.

Quando faltam dados de histórico

Identificar desvios individuais exige histórico prévio, algo que nem todo negócio possui. Um gestor de automação de risco em crédito empresarial expressou ceticismo: "Não tenho como saber de onde essa pessoa costuma se conectar normalmente." No caso dele, os usuários eram vendedores de parceiros com acessos pontuais, sem um padrão habitual para servir de base.

Mesmo na primeira sessão, dados da população geral e o risco do dispositivo continuam úteis. Em empresas de crédito, o gestor de fraudes observou que, liberado o empréstimo, a rotina de login se torna secundária e os dados da proposta concentram a maior parte da avaliação de risco. Com isso, a relevância desses sinais foca no momento do envio da proposta.

Os agentes de IA trazem um desafio recente. Um especialista em crédito e fraude de um serviço de streaming perguntou como a detecção reagirá conforme agentes automatizados assumirem o preenchimento de formulários, ação que os sinais de digitação foram criados para analisar. O ritmo de digitação distingue uma pessoa digitando de um texto colado, mas o uso de um agente autorizado pelo cliente pode ser legítimo. Essa é uma das questões em aberto para os modelos comportamentais.

Atrito apenas quando o risco justificar

A coleta passiva não cria barreiras para o cliente. A grande maioria das sessões deve fluir de forma invisível, reservando etapas extras de autenticação para situações de risco elevado. Exigir confirmações a cada novo aparelho ou login ligeiramente fora do comum habitua os usuários a ignorar alertas e afasta bons clientes.

A detecção de golpes no momento do login é a etapa mais delicada para aplicar fricção. Um líder de estratégia de fraudes do mesmo banco mencionou que golpes são difíceis de barrar nesse ponto, pois muitos clientes legítimos apresentam comportamentos semelhantes sem os indicadores corretos, levando a equipe a focar mais na invasão de contas. Reduzir falsos positivos em fraudes exige esse mesmo rigor: cruzar sinais e contexto antes de criar atrito.

A equidade também requer atenção. Alguns sinais comportamentais, como pausas ou digitação lenta, podem ser comuns entre idosos ou pessoas que utilizam tecnologias assistivas. Avalie o conjunto dos sinais em vez de punir um indicador isolado e analise os impactos por perfil de público antes de ativar uma regra.

Erros frequentes

• Considerar a correspondência do dispositivo como garantia absoluta de identidade.

• Criar regras isoladas para cada sinal em vez de pontuar o desvio conjunto.

• Exigir validação extra para qualquer aparelho novo, sobrecarregando bons clientes.

• Tentar medir desvios individuais de clientes que ainda não possuem histórico.

• Coletar dados comportamentais antes de alinhar termos de consentimento, retenção e uso por fornecedores.

Privacidade, consentimento e conformidade

Dados comportamentais podem se enquadrar como biometria sob legislações estaduais nos EUA, com isenções bancárias que variam conforme o texto legal. O que dizem as leis:

• Califórnia. A CCPA (Cal. Civ. Code 1798.140) inclui expressamente "padrões ou ritmos de digitação e passos" como biometria, mas isenta dados pessoais tratados conforme a Gramm-Leach-Bliley Act.

• Illinois. A BIPA (740 ILCS 14/10) restringe identificadores biométricos a "escaneamento de retina, íris, impressão digital, voz ou geometria facial/das mãos", sem citar digitação. A Seção 25(c) dispensa instituições financeiras enquadradas no Título V da Gramm-Leach-Bliley Act.

• Texas e Washington. A legislação do Texas (Tex. Bus. & Com. Code 503.001, com vigência em janeiro de 2026) e a de Washington (RCW 19.375) não incluem padrões de comportamento nas definições e abrem exceções para fins de segurança e prevenção a fraudes.

O impacto dessas regras depende dos dados coletados, da entidade responsável e da finalidade do uso. Essas definições cabem à equipe jurídica e devem estar claras antes de qualquer coleta de dados.

Pontos essenciais de governança para formalizar por escrito:

• Finalidade. Para quais fins os sinais serão usados e quais práticas são proibidas.

• Aviso e consentimento. Informações repassadas ao cliente, canais utilizados e exigência de autorização formal.

• Retenção de dados. Prazo de armazenamento de dados brutos e pontuações geradas, além de critérios para exclusão.

• Acesso. Quem pode consultar os dados (internamente e no fornecedor) e como atender a solicitações de titulares.

• Uso por fornecedores. Local de armazenamento dos dados pelo fornecedor e se eles são aplicados no treino de modelos para terceiros.

• Documentação dos modelos. Forma como os escores são gerados, testados e auditados, em formato acessível a revisores de risco.

Como escolher fornecedores de inteligência comportamental e de dispositivos

Quem busca soluções no mercado logo entende o problema e passa a cobrar comprovações reais. Um executivo de risco de cartões afirmou entender que métodos tradicionais contra tráfego não humano podem ser burlados por IAs modernas, mas queria ver por que um fornecedor se sobressairia frente aos outros. Estas perguntas ajudam a esclarecer:

1. Vocês conseguem comprovar os resultados usando nosso tráfego real? Como sinais comportamentais não existiam em dados históricos, eles não podem ser gerados retroativamente em bases antigas. O mesmo executivo observou: "É preciso implementar e monitorar em tempo real para atestar o valor." Um líder de fintech reforçou a questão: respostas que oferecem apenas simulações sobre fraudes do passado dizem pouco.

2. O modelo é treinado com nossa base, com dados compartilhados ou ambos? Um gestor de cartões levantou esse ponto, ciente de que carteiras muito específicas têm particularidades. Respostas vagas sobre quais dados geram a pontuação do cliente acendem o sinal de alerta.

3. O analista consegue entender os motivos de uma pontuação alta? Justificativas claras e defensáveis têm mais valor para a equipe do que números arbitrários. Evite soluções que entregam pontuações em formato de caixa-preta sem fatores explicativos.

4. Qual é a complexidade da integração? Verifique SDKs para web e celular, o processamento feito no aparelho e a velocidade de envio dos dados ao motor de decisão. O gerente de compliance da cooperativa mencionou que plataformas muito customizadas dificultam o uso de APIs prontas. Evite soluções inflexíveis que ignoram sua arquitetura.

5. Como lidam com aparelhos forjados, emuladores, acesso remoto e agentes automatizados? Peça para ver como as informações são transformadas em decisões práticas em sessões parecidas com as suas. Suspeite de quem apenas lista recursos sem explicar sua aplicação.

6. Quais dados são coletados, onde ficam guardados, por quanto tempo e quem pode vê-los? O retorno deve cobrir os requisitos de conformidade listados acima. Desconfie de prazos indefinidos ou margem para reuso dos dados em modelos externos.

Perguntas frequentes

Impressão digital do aparelho e inteligência de dispositivos são a mesma coisa?

Não. A impressão digital reúne atributos do aparelho para identificá-lo em acessos futuros. A inteligência de dispositivos usa essa identificação apenas como ponto de partida, somando checagens de adulteração e emuladores, reputação de rede e IP, além do histórico do aparelho em outras contas. Como impressões digitais podem ser clonadas, elas nunca devem ditar a decisão sozinhas.

A biometria comportamental gera atrito para o cliente?

Não de forma direta. Como a coleta ocorre em segundo plano, os clientes não precisam cumprir etapas extras. O atrito só surge caso o sistema determine uma checagem adicional diante de uma pontuação de alto risco — o que deve ser reservado a situações justificadas.

A biometria comportamental é regulada por leis de proteção de dados biométricos?

Dependendo da região, sim. Na Califórnia, a CCPA inclui expressamente padrões de digitação e locomoção como dados biométricos, com ressalvas para a Gramm-Leach-Bliley Act. Em Illinois, a BIPA não abrange esses pontos e isenta instituições sob o Título V da mesma lei, enquanto estados como Texas e Washington abrem exceções para segurança e prevenção a fraudes. A abrangência em cada caso deve ser validada pelo setor jurídico.

A biometria comportamental bloqueia golpes com vítimas induzidas por criminosos?

Não isoladamente. Nesses casos, o titular legítimo usa o próprio aparelho e as credenciais corretas. Embora os sinais mostrem hesitação, comportamentos mecânicos ou a presença de programas de acesso remoto, eles não conseguem assegurar se a transferência foi ideia da própria pessoa. Daí a importância de cruzar dados com os valores e a conta de destino.

O papel da Oscilar

Na Oscilar, a inteligência comportamental e de dispositivos integra uma plataforma unificada: fluxo de dados em tempo real, inteligência de risco, regras avançadas e gestão de casos em uma única estrutura. Isso permite analisar os sinais apresentados lado a lado com informações transacionais e parâmetros de risco, sem a fragmentação de ferramentas isoladas. Para conferir essas soluções na prática, conheça mais sobre a nossa inteligência comportamental e de dispositivos na plataforma Oscilar.