As equipes de combate à fraude e de gestão de riscos costumam viver em um ciclo contínuo de emergências — perseguindo novos padrões de ataque, justificando os atritos e tentando provar seu valor para uma empresa que está totalmente focada no crescimento.
Essa tensão é exatamente o que exploramos na primeira sessão de Facing Digital Challenges: How Biometrics Will Shape Secure Identity in 2026, a primeira de duas partes de nossa série de webinars voltada a especialistas em prevenção de fraude, gestão de riscos e identidade digital.
Apresentada por Ajay Amlani, CEO da Aware, e com a participação de Esther Scott, chefe de Produtos de Identidade da Square (Block), a primeira parte dessa conversa abordou como os líderes podem:
- Passar de gastos reativos para investimentos sustentáveis
- Encarar o risco e a identidade como facilitadores dos negócios, e não como obstáculos
- Equilíbrio entre sinais passivos e ativos e atrito inteligente
- Explore os desafios estratégicos da seleção de fornecedores, da decisão entre desenvolver ou adquirir soluções e dos riscos de dependência excessiva de fornecedores.
- Evolua de KYC para KYC + KYB + KYA em um mundo acelerado por tecnologias de IA avançadas.
Este blog resume os principais temas e insights da Parte Um. Acompanhe a Parte Dois, na qual Esther e Ajay abordarão mais a fundo os conceitos de autenticidade, comprovação de identidade, ameaças de deepfakes, padrões e privacidade.
O Problema do Ciclo Interminável: Gastos Reativos e Memória Curta
Um dos primeiros grandes temas: o combate à fraude em investimentos costuma ser reativo. Ocorre um grande incidente, os gastos disparam… e então todos relaxam.
Como disse Esther:
“Vai acontecer algum evento grave… e aí dá para ver os gastos nessa área por, provavelmente, 18 meses… e há uma espécie de perda de memória que vai se instalando.”
O resultado? As equipes de risco ficam presas em um ciclo de "Whack-A-Mole"(ciclo interminável), sempre um passo atrás:
“Você pode ser ótimo hoje, mas amanhã é outro dia… se você estiver preso nesse jogo reativo do tipo ‘Whack-A-Mole’, já está ficando para trás. Se não estiver para trás hoje, estará amanhã.”
Esse problema é agravado pelo aumento dos deepfakes e dos ataques automatizados, que reduzem o custo e a escala das fraudes. Os ciclos de melhoria “anual” aos quais muitas organizações estão acostumadas simplesmente não funcionam mais.
Risco como Impulsionador do Negócio, Não Apenas Como Prevenção de Perdas
Esther enfatizou que, para conquistar apoio de longo prazo, os líderes de fraude e identidade digital precisam apresentar seu trabalho como um impulsionador de crescimento e não apenas como um custo de compliance.
“Se você fizer um bom trabalho ao fortalecer seus sistemas de gestão de riscos, seus sistemas de identidade… poderá controlar essa alavanca de maneira relativamente previsível.”
Quando bem feitos, os investimentos certos:
- Abrir novos mercados
- Oferecer suporte a novos produtos
- Amplie o leque de pessoas a quem você pode atender com segurança
"Fazer essas coisas corretamente permite que você entre em novos mercados, ofereça novos produtos e amplie sua visão sobre quão preparados os usuários estão para adotá-los.
Ajay reforçou essa tensão: as equipes de produto costumam se concentrar em maximizar o crescimento e reduzir os atritos, enquanto as equipes de combate à fraude tentam justificar esses atritos e os recursos necessários. Parte do trabalho consiste em ensinar à organização que:
- O atrito não é o inimigo — o atrito desnecessário é que é.
- Controles rigorosos de identidade e de risco ampliam o funil ao longo do tempo, permitindo que a empresa diga “sim” com mais confiança.
Sinais Ativos X Passivos: Encontrando os Momentos Certos para o Atrito
Ajay passou então a abordar um desafio prático: equilibrar sinais ativos e passivos ao longo da jornada do cliente.
Ele comparou as verificações ativas, como KBA, captura de documentos + selfie ou solicitações biométricas explícitas, com sinais passivos extraídos do comportamento do dispositivo, da rede e da conta:
“Existem sinais que podem ser coletados de forma passiva… e sinais que podem ser coletados de forma ativa… Você está pedindo ao cliente para fazer alguma coisa?”
Resposta de Esther: depende — e isso muda com o tempo.
“Se houvesse uma solução milagrosa para tudo isso, ótimo, todos nós faríamos isso e o problema estaria resolvido… mas a realidade é que a questão é muito complexa e sofre variações ao longo do tempo.”
Alguns pontos-chave de sua abordagem:
O contexto é importante.
No caso de transações de alto risco (por exemplo, pedidos de financiamento imobiliário), os clientes esperam verificações mais rigorosas e estão dispostos a tolerá-las.
“Provavelmente existe uma certa tolerância em relação a isso… você pensa: ‘É, eu quero tudo. Quero garantir isso’.”
Para casos de uso mais simples (por exemplo, aplicativos de pagamentos P2P), esse mesmo atrito seria inaceitável. Nesses casos, recorre-se mais às “verificações silenciosas”:
“Até que ponto posso ter certeza de que o Ajay é mesmo o Ajay e que este é o celular dele… que ele está na jurisdição onde acho que deveria estar… com base em tudo o que ele me passou?”
O momento certo é tudo.
As equipes testam se é melhor realizar verificações logo no início do processo de integração ou acioná-las posteriormente com base no comportamento, em limites ou em sinais de risco:
“Em todos os lugares em que trabalhei, fizemos muitos testes para verificar: será que o momento certo para fazer tudo isso é logo no início? Será quando você está fazendo algo novo?”
É aqui que a IA e o ML se tornam essenciais:
“É possível codificar e construir manualmente apenas um número limitado de casos de uso baseados em cenários… a maioria das empresas está optando por… reconhecer padrões que já ocorreram e [tomar] decisões mais inteligentes daqui para frente.”
Ela também destacou as limitações de ferramentas tradicionais, como a KBA:
“O KBA, em particular… apresenta bastante atrito, e não me sinto muito à vontade com ele na maioria das aplicações… O que posso fazer em vez disso?”
Fornecedores, Testes e Complexidade Operacional: O Dilema de Construir ou Comprar
Qualquer especialista em fraudes ou identidade reconhece o próximo desafio de Ajay: a sobrecarga de fornecedores.
“Quando eu trabalhava em grandes empresas, recebia de 20 a 30 ligações por semana de fornecedores dizendo… ‘Se você usar o meu martelo, todos os seus problemas vão desaparecer.’”
Ele também destacou como alguns fornecedores vencem testes comparativos recorrendo discretamente a grandes equipes de revisão manual, ao mesmo tempo em que promovem suas soluções como “totalmente automatizadas”:
“Na verdade, eles contam com uma equipe robusta de 50 pessoas… analisando cada uma delas… [e] o cliente fica impressionado: ‘Uau, esse sistema automatizado é simplesmente incrível.’”
Esther destacou como é difícil, na prática, realizar uma avaliação verdadeira e justa:
“Conseguir testar 20, 30 fornecedores em um ano é realmente caro, tanto em termos de tempo quanto de recursos.”
Seu manual de estratégias inclui:
- Backtesting em grande escala, dentro de restrições rigorosas de governança de dados
- Exigir prazos de entrega rápidos — se o processo for realmente automatizado, não deveria demorar semanas
- Execução de testes de integração em ambiente de produção com uma lista reduzida dos principais fornecedores
- Aprimorar os processos internos relacionados a contratos e integrações para reduzir os atritos ao longo do tempo
Quanto à questão “desenvolver ou adquirir”, a posição de Esther é clara: desenvolver é a exceção, não a regra.
“Não estamos aqui necessariamente para desenvolver o melhor recurso [de verificação]… em geral, as pessoas estão usando recursos bastante padronizados.”
As montagens personalizadas só fazem sentido se:
- Você tem um problema ou uma vantagem competitiva verdadeiramente única
- Você está preparado para se antecipar aos invasores e às mudanças tecnológicas por tempo indeterminado
“Você pode criar algo e pensar: ‘Ótimo, problema resolvido, vou seguir em frente’. Pois bem, os fraudadores não param nem começam. A tecnologia não para.”
Como evitar a dependência de fornecedores e se preparar para mudanças
A dependência de um único fornecedor não é apenas uma preocupação relacionada às compras — é um risco à resiliência.
Esther recomendou uma mentalidade de reavaliação constante e sutil:
“Um rigor saudável… consiste em avaliar e reavaliar todas as suas capacidades… pelo menos uma vez por ano: será que estou apostando no cavalo certo?”
Principais práticas que ela mencionou:
Tenha um “cavalo de confiança” para o volume diário
Mantenha um contato casual com outros fornecedores — não perca a curiosidade e continue conversando com eles
Incorpore fornecedores ou recursos adicionais antes que sua solução atual fique obsoleta
Não se apegue emocionalmente:
“As pessoas são contratadas, todo tipo de coisa muda… Isso não significa que você tenha errado. Significa apenas que o mercado continuou evoluindo.”
Ajay acrescentou uma perspectiva do Departamento de Defesa (DOD), com base em sua experiência na criação da Unidade de Inovação da Defesa:
“Percebemos que, basicamente, estávamos cercados por fornecedores tradicionais… cujo único cliente era o Departamento de Defesa… você paga pela pesquisa e desenvolvimento e, em seguida, acaba comprando o produto.”
O modelo DIU apostou na concorrência, na avaliação em etapas e no aproveitamento de capital externo (investidores), em vez de financiar diretamente toda a pesquisa e desenvolvimento — uma analogia interessante sobre como as empresas comerciais poderiam pensar em “investir em sua base de fornecedores”.
De KYC a KYC + KYB + KYA em um mundo de IA
Na parte final da discussão, Ajay e Esther analisaram como o conceito de identidade se expandiu, passando do KYC para:
KYC – Conheça seu cliente
KYB – Conheça o seu negócio
KYA – Conheça o seu agente
Ajay apresentou isso como o “ABC” da identidade moderna e questionou como as empresas deveriam pensar em equilibrar essas camadas — especialmente à medida que os agentes e os atores habilitados por IA passam a desempenhar um papel cada vez mais importante:
“Os invasores… têm a flexibilidade, a autonomia e… as ferramentas colaborativas necessárias para atuar em todo o mundo na tentativa de se fazerem passar por pessoas de bem.”
Esther observou que, embora os sabores sejam diferentes, os princípios subjacentes são os mesmos:
“Toda a discussão anterior sobre o que é eficaz e qual é o ritmo das coisas se aplica também ao KYC, ao KYB e ao KYA.”
Alguns destaques do ponto de vista dela:
- As expectativas variam de acordo com o segmento. As grandes empresas esperam um processo de integração mais complexo; os consumidores esperam algo mais parecido com a experiência de um aplicativo P2P.
- A verificação do agente é uma nova camada de segurança, não um substituto: agora é necessário ter certeza de que tanto o agente quanto a parte representada são legítimos.
- Controles em camadas e resiliência são fundamentais:
“Ter essa resiliência para saber que, aconteça o que acontecer, conto com um portfólio de fornecedores… e recursos… para assumir o comando ou encaminhar alguém ao processo adequado.”
E a IA colocará à prova as suposições tradicionais sobre a confiança:
“Tradicionalmente, temos conseguido… pecar pelo excesso de confiança em relação a um cliente, pois já construímos um impulso suficiente. Agora, de repente, algo pode parecer muito com um cliente, mas não é um cliente… e você só descobre isso depois que a situação já foi longe demais.”
O que vem por aí na segunda parte
Na Parte 2, Ajay e Esther irão se aprofundar na camada de tecnologia e confiança que está por trás de tudo isso:
- Liveness detection e prova de que somos humanos
- Comprovação da personalidade em um ambiente agênico e com forte presença de IA
- As ameaças do deepfake e como são as defesas “suficientemente eficazes”
- Normas e testes independentes (NIST, DHS, etc.)
- A evolução do papel da privacidade e da gestão responsável nos sistemas biométricos
Confira a Parte Um e inscreva-se na Parte Dois desta série, na qual vamos aprofundar esses temas e compartilhar mais orientações práticas para os líderes nas áreas de fraude, risco e identidade.
