Sinais de Alerta para Detecção de Fraude de Primeiro Grau

Última atualização: setembro de 2026

A fraude primária (first-party fraud) passa pelo processo de integração (onboarding) porque a identidade é real. O solicitante é quem diz ser e os documentos coincidem. O que está errado é a intenção, e a intenção raramente aparece na proposta. Ela se revela mais tarde, no comportamento da conta e nas conexões que realiza, por isso a detecção precisa continuar ativa após a abertura da conta e alimentar decisões sobre limites, pagamentos, disputas e cobranças.

TL;DR (Resumo)

• A fraude primária é cometida por um cliente real, usando sua própria identidade, que nunca tem a intenção de pagar ou que abusa do produto de propósito.

• As verificações de identidade são aprovadas porque a identidade é genuína. Os sinais são comportamentais e relacionais, e a maioria aparece apenas após a abertura da conta.

• Monitore o comportamento de pagamento inicial, a velocidade de crédito após a aprovação, contas de origem de fundos e de pagamento divergentes, disputas que contradizem o histórico da conta e conexões com outras contas e credores.

• Separe a intenção de fraude da incapacidade de pagamento antes de modelar qualquer coisa. As perdas por fraude primária geralmente acabam registradas como perdas de crédito e desaparecem dos relatórios de fraude.

• Para muitas equipes, a detecção não é a parte difícil; a ação corretiva é. Limite a exposição, adie aumentos de limite, desvie casos com suspeita de má-fé das cobranças padrão e teste cada mudança antes de colocá-la em produção.

Quais sinais detectam a fraude primária?

A fraude primária é a fraude cometida pelo titular da conta usando sua verdadeira identidade: um golpe de esvaziamento de limite (bust-out), acúmulo de empréstimos (loan stacking), ou uma contestação falsa de transação. O modelo voluntário FraudClassifier do Federal Reserve não possui uma categoria chamada "fraude primária". O termo mais próximo é uma parte autorizada que agiu de forma fraudulenta, que é a maneira correta de pensar sobre isso: a pessoa por trás da atividade é o cliente legítimo.

Como a identidade é validada, os sinais de detecção de fraude primária são comportamentais e relacionais:

• Comportamento de pagamento inicial: inadimplência no primeiro pagamento e empréstimos que nunca recebem um pagamento bem-sucedido.

• Velocidade pós-aprovação: novas consultas e novas linhas de crédito abertas em outros lugares logo após a aprovação.

• Fluxos de dinheiro divergentes: fundos enviados para uma conta bancária enquanto os pagamentos de reembolso vêm de outra.

• Disputas contraditórias: uma contestação que o próprio dispositivo, sessão e histórico de pagamentos da conta não sustentam.

• Vínculos: conexões com outras contas, cartões, dispositivos e credores que mostram o mesmo comportamento.

Um líder de estratégia de fraude em uma fintech de banco de varejo resumiu o porquê de uma única pontuação de score ter dificuldades: "A fraude primária é apenas um nome para muitas atividades diferentes." O restante deste guia aborda cada uma delas padrão por padrão.

Por que a fraude primária passa pela verificação de identidade

Uma verificação de KYC confirma que uma identidade existe e corresponde aos seus documentos em um determinado momento. Ela não estabelece o que a pessoa pretende fazer com a conta. Para saber mais sobre essa etapa, veja o que uma verificação de KYC faz e o que não estabelece.

É por isso que a fraude primária escapa dos controles criados para fraudes de terceiros. Quando um criminoso usa a identidade de outra pessoa, a fricção funciona: uma verificação de documento ou um desafio adicional representa uma barreira real. Um diretor de risco e conformidade em um marketplace de crédito com IA descreveu o grupo de fraude primária de forma diferente: "eles aceitam muita fricção, sabe? Porque eles só querem o dinheiro e vão passar pela verificação de identidade." Mais fricção atrasa os bons clientes e mal incomoda aqueles que você deseja barrar.

Os investimentos em autenticação também não resolvem essa lacuna. Um vice-presidente sênior de risco de crédito de varejo em um grande banco internacional descreveu pesados investimentos em controles de autenticação em vários canais e, depois, "esse problema no meio sobre a falta de intenção de pagar". A autenticação responde se aquela é a pessoa certa. A fraude primária é a pessoa certa com a intenção errada.

A fraude de identidade sintética é um problema diferente. O Federal Reserve a define como a combinação de informações de identificação pessoal para fabricar uma pessoa ou entidade, enquanto a fraude primária envolve uma pessoa real agindo de má-fé. A forma como as identidades sintéticas são criadas e detectadas merece um artigo próprio.

Fraude ou perda de crédito? Por que a classificação vem primeiro

Nem todo empréstimo não pago é fraude. Alguns clientes legítimos simplesmente não conseguem pagar. O trabalho de detecção é separar a incapacidade de pagamento da intenção de não pagar e, até que essa divisão exista, todo modelo construído com base nesses dados herdará essa confusão.

Muitos credores não conseguem fazer essa divisão com segurança. Um membro da equipe de fraude de uma fintech de crédito ao consumidor descreveu como era gerenciar KPIs de fraude sem saber se os eventos subjacentes eram realmente fraude ou inadimplência de crédito, porque a fraude primária se sobrepõe fortemente a bons tomadores que se atrasam no pagamento. Quando a classificação é incerta, a perda geralmente é registrada como baixa de crédito.

Os organogramas das empresas pioram a situação. Um executivo responsável pela estratégia de fraude em novas contas de um grande banco norte-americano descreveu que a fraude primária era gerenciada pela área de abuso de crédito, enquanto a fraude de terceiros e sintética ficavam com a estratégia de fraude. Cada equipe vê parte do padrão, e as perdas acabam indo para o relatório de outra pessoa.

Isso também explica por que um score comprado pode decepcionar. Um líder de subscrição de crédito e fraude em uma empresa de locação com opção de compra mediu um score de fraude adquirido contra o desempenho real dos empréstimos aprovados e descobriu que ele era quase irrelevante para a fraude primária. Um score calibrado para identidades roubadas tem pouco a dizer sobre um cliente real que planeja dar um calote.

Portanto, antes de criar ou comprar modelos de fraude primária, alinhe os rótulos de resultados com a área de crédito: inadimplência no primeiro pagamento, contas que nunca pagam, golpe de esvaziamento de limite confirmado e contestação falsa de roubo de identidade. Decida quem é o dono de cada categoria e registre-as de forma consistente.

Os sinais, padrão por padrão

Cada padrão deixa um rastro diferente em um momento diferente da vida da conta. Trate-os como problemas de detecção separados que compartilham dados.

Fraude de esvaziamento de limite (Bust-out)

No bust-out, o cliente constrói um bom histórico de pagamentos, aumenta seus limites e depois consome tudo sem qualquer intenção de pagar. Um diretor de fraude em uma empresa de crédito no ponto de venda (POS) nos EUA destacou que os casos de bust-out que eles veem estão "todos realmente no nome deles. Não é sintético. É a identidade real." Depois disso, alguns clientes alegam que estavam viajando ou que não sabiam, fazem com que cada credor limpe as contas e voltam com um cadastro que parece limpo.

Dois sinais se destacam. Um é a velocidade pós-aprovação: o mesmo credor detectou um bust-out ao consultar o histórico de um cliente novamente logo após a aprovação e descobrir que o número de consultas de crédito havia disparado. O outro é a 'limpeza de cadastro' (credit washing), uma ficha onde cada operação parece paga e em dia, mas todas as contas acabam se revelando fechadas. Um cadastro limpo não é o mesmo que um histórico sem problemas.

Inadimplência no primeiro pagamento e contas que nunca pagam (Never-pay)

A inadimplência no primeiro pagamento ocorre quando o tomador perde logo a primeira parcela; já a categoria 'never-pay' é um empréstimo sem nenhum pagamento bem-sucedido desde a sua concessão. Isoladamente, qualquer um dos casos pode ser apenas uma dificuldade financeira temporária, mas, como grupo, muitas vezes não são. Uma financeira de saúde nos EUA que analisa seu público 'never-pay' de forma conjunta encontra padrões compartilhados, como muitos empréstimos optando por não realizar pagamentos mensais da mesma forma. Analise esses casos como grupos (cohorts), pois o sinal está no que essas contas têm em comum.

Acúmulo de empréstimos (Loan stacking)

O acúmulo de empréstimos consiste em contratar vários empréstimos ao mesmo tempo, antes que qualquer um deles apareça no cadastro de crédito. O chefe de fraude de uma financeira de veículos cativa descreveu que uma grande parcela das perdas vinha de clientes com fichas perfeitamente corretas, identidade certa e renda real, que contrataram financiamentos de veículos em várias instituições ao mesmo tempo e não pagaram nenhum deles. O acúmulo também acontece dentro de um único credor: a financeira de saúde descobriu tomadores com vários empréstimos para o mesmo tratamento porque não havia sido definido um limite para acúmulo.

Contestações e falsas alegações de roubo de identidade

Algumas fraudes primárias chegam como uma contestação. O diretor de fraude da empresa de crédito no POS descreveu isso de forma direta: "Se você quer cometer o roubo de identidade perfeito, sendo uma fraude primária, solicite todos os empréstimos e, imediatamente depois, diga apenas: 'Não fui eu'." O sinal é uma contestação que o próprio dispositivo, sessão e histórico de pagamentos da conta contradizem. A linha que separa a fraude amigável do abuso deliberado de fraude primária merece um guia próprio; aqui ela importa apenas como um sinal.

Divergência de contas de depósito e velocidade de instrumentos

Uma fintech de adiantamento de dinheiro para o consumidor descreveu fundos enviados para uma conta bancária enquanto os pagamentos de reembolso vinham de uma segunda, seguidos por estornos (chargebacks) na segunda conta, fazendo com que as perdas chegassem a uma conta que a fintech nunca havia financiado. A mesma equipe monitora muitos cartões de débito vinculados um após o outro a uma única conta bancária em um curto espaço de tempo. Na experiência deles, as contas que mostram esse padrão são, em sua maioria, problemáticas.

O mapa de sinais

Conectando os sinais ao longo do tempo, contas e meios de pagamento

Cada sinal na tabela é fraco se analisado isoladamente. Uma nova consulta é normal; assim como uma segunda conta bancária ou um pagamento perdido. O que expõe a fraude primária é a combinação deles, vista ao longo do relacionamento do cliente com você e nas contas, cartões e dispositivos conectados a ele.

Isso significa conectar entidades, além de pontuar eventos. Um analista de risco em uma fintech de pagamentos e finanças embutidas (embedded finance) citou o bust-out entre as tipologias que "não conseguem cobrir totalmente sem a análise de vínculos" e descreveu-o geralmente como gastos no cartão seguidos por um saque via transferência (TED/Pix). Uma estrutura que monitora o cartão e as transferências de forma separada enxerga apenas metade de cada golpe de esvaziamento de limite.

O Federal Reserve Bank de Boston, em uma entrevista sobre identidades sintéticas, recomenda examinar "relacionamentos maiores do que apenas esses poucos componentes", em vez de atributos individuais. O princípio se aplica aqui: as relações se acumulam com o tempo, e as de um fraudador primário tendem a parecer diferentes das de um bom cliente.

Algumas das conexões mais úteis estão fora dos seus próprios dados. O diretor de risco de uma fintech de cartão co-branded descreveu pessoas que cometeram fraude primária em um programa de cartão voltando por meio de outro, e alertou que "eles têm um roteiro aqui", testando várias fintechs assim que o histórico de crédito volta a parecer limpo. Um líder de estratégia de fraude em uma fintech de banco de varejo disse que a equipe explorou profundamente seus próprios dados, e que uma melhor detecção exigiria novos pontos de dados, como sinais de dispositivos, dados comportamentais ou dados de consórcios.

A última conexão é interna. Crédito, fraude e cobrança devem usar o mesmo perfil de risco do cliente, e cada decisão deve enriquecê-lo. Assim, três eventos que parecem não ter relação tornam-se um único caso. As contas laranja (mule accounts) trazem as mesmas questões de vinculação pelo outro lado, e detectar contas laranja e as redes por trás delas é um problema separado com seus próprios sinais.

Estratégias de decisão: o que fazer após o alerta

A maioria das equipes consegue identificar alguns indícios de fraude primária. O que falta é um plano para o próximo passo. Um chefe de fraude em uma fintech de cartão de crédito co-branded disse que suas estratégias "não eram necessariamente voltadas para lidar com a fraude primária em termos de: o que fazemos depois de sinalizar alguém como um potencial fraudador primário?"

Comece pela classificação. Um analista sênior de investigações de crimes financeiros em um banco digital nos EUA descreveu descartar primeiro o roubo de conta (account takeover) e, depois, o roubo de identidade, antes de considerar a fraude primária. Em seguida, tome duas decisões: uma sobre a conta (manter, limitar, suspender ou fechar) e outra sobre a transação (aprovar, reter ou rejeitar). Mantê-las separadas evita que um único pagamento suspeito force o fechamento imediato da conta.

Depois, adapte a ação ao momento do ciclo de vida:

1. Na proposta. Verifique a renda onde os sinais indicarem necessidade e limite a exposição inicial em vez de recusar a proposta de imediato. É aqui que os controles de fraude na abertura de contas e a estratégia de fraude primária se encontram.

2. No início do relacionamento. Monitore os primeiros ciclos de pagamento e atrase os aumentos automáticos de limite até que a conta tenha realizado um pagamento real.

3. Em um pedido de aumento de limite ou pico de gastos. Verifique novamente o histórico em busca de novas consultas e operações, e analise contas vinculadas antes de aumentar a exposição.

4. Na contestação. Analise a solicitação contra o histórico da conta antes de efetuar o crédito, com as evidências do dispositivo, da sessão e do pagamento disponíveis para o analista no gerenciamento de casos. Um alerta que apenas diz "anômalo" não ajuda a tomar decisões; um que mostra o dispositivo, o comportamento normal e as conexões, sim.

5. Na cobrança. Direcione os casos com suspeita de má-fé para o tratamento de fraude, e não para o fluxo padrão de recuperação. Um programa de renegociação de dívida por dificuldades financeiras é a resposta errada para um golpe de esvaziamento de limite.

Respostas graduais protegem os bons clientes. Tornar a integração (onboarding) mais rígida para todos traz resultados indesejados: as taxas de aprovação caem e os bons clientes que parecem suspeitos na entrada desistem, sendo que cada um desses falsos positivos representa perda de receita. A saída é decidir com base em mais informações, que é justamente o objetivo de acompanhar a conta após a abertura.

As ações corretivas mudam frequentemente à medida que os fraudadores se adaptam, por isso as equipes de risco precisam ter autonomia sobre elas, sem precisar esperar por uma atualização do time de engenharia.

Testando a estratégia e fechando o ciclo

Os resultados reais da fraude primária demoram a aparecer. Os calotes no primeiro pagamento levam meses para surgir e, quando chegam à cobrança, o dinheiro já sumiu. Um gerente de administração de portfólio em uma financeira de saúde nos EUA resumiu: "Prefiro analisá-los quando ainda são novos."

Portanto, a validação precisa ser contínua. Um diretor de dados e analytics em uma empresa de empréstimos parcelados nos EUA listou o que estabelecer antes de confiar em um score de fraude primária: se a mitigação funciona, "quais serão as distribuições do score" e "como essas distribuições se correlacionam com as inadimplências no primeiro pagamento". Teste primeiro no histórico e depois rode em modo sombra (shadow) no tráfego em tempo real, para ver o impacto que uma regra teria causado antes de alterar o limite de qualquer pessoa.

Depois, feche o ciclo. Os casos confirmados devem retornar para as regras, modelos e conexões que detectam um reincidente na próxima proposta. Um analista de risco em uma empresa de pagamentos descreveu o ajuste como um ciclo: encontrar as regras que disparam com mais frequência, adicionar atributos para reduzir falsos positivos, testar e repetir. Cada decisão precisa ter seus motivos registrados para que o analista possa entender por que a conta recebeu o alerta.

Erros que mantêm a fraude primária oculta

• Tornar a integração (onboarding) mais rígida para todos. Prejudica os bons clientes e mal afeta as pessoas que passarão por qualquer verificação de identidade.

• Confiar em um score desenvolvido para fraudes de terceiros. Teste-o primeiro contra os seus próprios resultados de fraude primária.

• Esperar a baixa de crédito (charge-off) para classificar os casos. Até lá, o padrão já terá se repetido em todo o grupo.

• Dividir a responsabilidade sem métricas compartilhadas. Se o crédito e a fraude registrarem a mesma perda de formas diferentes, nenhum dos dois conseguirá medi-la.

• Monitorar apenas um meio de pagamento. Um golpe de esvaziamento de limite combinando cartão e depois transferência parece normal se cada meio for analisado de forma isolada.

O que buscar na detecção de fraude primária

Teste qualquer abordagem, desenvolvida internamente ou comprada, contra a forma como a fraude primária se desenvolve:

• Sinais pós-integração: pontuação de score considerando os pagamentos iniciais, mudanças de limite e contestações, e não apenas no momento da proposta.

• Conexões entre contas e meios de pagamento: contas, cartões, contas bancárias e dispositivos conectados, analisando cartões e transferências de forma conjunta.

• Métricas compartilhadas: crédito e fraude trabalhando com base nos mesmos resultados e no mesmo perfil de cliente.

• Ações corretivas controladas pela equipe de risco: limites, retenções e roteamentos alterados, testados e publicados sem depender de um ciclo de desenvolvimento de engenharia.

• Trilha de auditoria por decisão: para qualquer conta, saber o que foi decidido e por quê.

A Oscilar é uma plataforma unificada: estrutura de dados em tempo real, inteligência de dispositivos e comportamento, regras e gerenciamento de casos em uma única solução, com agentes integrados. Para a fraude primária, ela consegue analisar conexões entre contas para descobrir quadrilhas de fraude, além de manter uma trilha de auditoria completa por decisão com justificativas salvas, desenhada para ter o fator humano no processo (human-in-the-loop). Novas estratégias podem ser avaliadas com testes retrospectivos (backtests) contra seus alertas históricos, seguidos pelo modo sombra na fila de produção, com um relatório detalhado no final. Veja como a Oscilar aborda a prevenção à fraude primária.

Perguntas frequentes

O que é fraude primária?

A fraude primária (first-party fraud) é a fraude cometida por um titular de conta usando sua própria identidade real. O cliente nunca tem a intenção de pagar ou abusa deliberadamente do produto, seja por meio de um golpe de esvaziamento de limite (bust-out), acúmulo de empréstimos ou uma contestação falsa. Como a identidade é real, ela geralmente passa pelas verificações de onboarding.

Quais sinais detectam a fraude primária?

Os sinais mais fortes são a inadimplência no primeiro pagamento e contas que nunca pagam, novas consultas e linhas de crédito logo após a aprovação, contas de depósito e de pagamento diferentes, contestações que o histórico da própria conta contradiz e vínculos com outras contas, dispositivos e credores. A maioria aparece apenas após a abertura da conta, por isso o monitoramento deve continuar além do onboarding.

Por que a fraude primária passa pela verificação de identidade?

A verificação de identidade confirma que uma pessoa é quem ela diz ser, e o fraudador primário realmente é essa pessoa. Barreiras de validação adicionais impedem criminosos que usam identidades roubadas, mas um cliente real que planeja dar um calote as aceita porque sabe que passará. A intenção precisa ser deduzida a partir do comportamento ao longo do tempo.

Como os credores diferenciam a fraude primária da perda de crédito?

Eles buscam evidências de má-fé em vez de dificuldades financeiras: velocidade de crédito após a aprovação, acúmulo de empréstimos em vários credores, divergência entre as contas de envio e recebimento de fundos e padrões compartilhados em um grupo de inadimplentes. Eles também alinham as definições dos resultados com a área de crédito, como inadimplência no primeiro pagamento, contas que nunca pagam e esvaziamento de limite confirmado, para que as perdas não sejam registradas automaticamente como perdas de crédito comuns.

Como as equipes podem reduzir os falsos positivos sem aumentar as perdas por fraude?

Utilize tratamentos graduais em vez de recusar propostas logo na entrada: limites iniciais mais baixos, adiamento de aumentos de limite e análises disparadas por sinais posteriores. Tome decisões com base em mais informações, incluindo contas vinculadas e o comportamento inicial, e teste cada alteração no histórico e em modo sombra antes de colocá-la em produção.

Se as perdas por fraude primária estão escondidas nos seus números de crédito, comece alinhando as definições das classificações e mapeando quais desses sinais você já captura após a abertura da conta. Para ver como a Oscilar apoia esse trabalho, conheça nossa solução para fraude primária.