A inteligência artificial (IA) está mudando a forma como instituições financeiras combatem fraudes, mas a transformação não está apenas nos sistemas usados para identificar operações suspeitas. Com transações cada vez mais rápidas, os bancos também precisam decidir em um intervalo menor se devem bloquear uma operação, submetê-la a uma análise adicional ou permitir que ela prossiga.

No Brasil, o Pix é um dos exemplos mais claros dessa mudança. Carlos Cruz, líder de Estratégia de Dados e Inteligência Artificial da IBM na América Latina, explicou em entrevista exclusiva ao Olhar Digital que os bancos estavam mais acostumados a utilizar tecnologias para se proteger de ataques que não aconteciam em tempo real. O sistema de pagamentos reduziu essa janela de reação e passou a exigir uma combinação de dados, inteligência artificial, automação e monitoramento transacional.

O cenário aparece também em uma pesquisa do IBM Institute for Business Value (IBV). 61% dos executivos entrevistados apontaram a detecção de risco de fraude como a aplicação de IA com maior potencial de gerar valor para o negócio, seguida por cibersegurança, com 52%, e KYC (Know Your Customer ou “Conheça seu Cliente”) e AML (Anti-Money Laundering ou “Prevenção à Lavagem de Dinheiro”), com 45%.

O levantamento foi realizado em parceria com a Oxford Economics e ouviu 100 executivos de bancos com responsabilidades em risco, compliance e validação nos Estados Unidos, Reino Unido, Austrália, Índia, Singapura e Alemanha. Os entrevistados foram divididos igualmente entre as funções de diretor de risco (CRO), diretor de compliance (CCO) e diretor de validação (CVO), e a pesquisa foi conduzida em maio de 2025.

Do alerta à ação em tempo real

O desafio agora está em transformar a identificação de um risco em uma resposta rápida do banco. Historicamente, sistemas de inteligência artificial e outras tecnologias podiam ser usados para gerar alertas depois que uma operação já havia acontecido, permitindo investigar o caso e tomar medidas posteriormente.

Com transações instantâneas, essa abordagem perde parte da utilidade. Cruz explica que o Pix reduziu o intervalo entre uma operação fraudulenta e o envio do dinheiro, fazendo com que os bancos precisem avaliar o risco em um espaço de tempo menor.

Nesse cenário, a instituição precisa equilibrar a capacidade de identificar uma fraude com o risco de bloquear operações legítimas. O executivo explica que esse desafio também representa uma mudança em relação ao uso histórico da tecnologia pelos bancos:

O desafio das organizações é: ‘Como que eu regulo a minha régua de alertas para que eu capture o criminoso e não afete o uso dos recursos pelo cliente real?’ Esse é um grande desafio. Mudou bastante porque, no passado, os bancos usavam a IA ou outros recursos como uma ferramenta de reação, o pós-acontecer gera um alerta, o pós-ocorrido.

Carlos Cruz, líder de Estratégia de Dados e Inteligência Artificial da IBM na América Latina, ao Olhar Digital

Hoje, segundo Cruz, os bancos combinam estratégias de dados, inteligência artificial, automação inteligente e monitoramento contínuo. As tecnologias podem acompanhar tanto o comportamento do cliente ao longo do tempo quanto o caminho percorrido por uma transação antes que ela seja concluída.

A pesquisa da IBM mostra que a detecção de fraude é uma das áreas em que os executivos enxergam maior potencial para a IA, mas a adoção da tecnologia também exige mecanismos para validar modelos e controlar riscos. 61% apontam a validação como uma área crítica para investimentos em pessoas e habilidades, enquanto 46% fazem a mesma avaliação sobre controle de riscos.

Conhecer o cliente virou parte da prevenção

Para decidir rapidamente se uma operação é legítima ou suspeita, o banco precisa ter uma visão suficientemente completa de quem está realizando aquela transação. Cruz explica que esse é um dos principais desafios atuais das instituições: consolidar as informações necessárias para construir uma visão consistente da chamada entidade cliente.

Existe um desafio ainda que é fechar o conhecimento de uma coisa que nós chamamos de entidade, que é fechar o conhecimento do que é o cliente para o banco. Então, quando eu conheço, por exemplo, quem é a Ana, quem é o Carlos para o banco, fica mais fácil de eu entender aquilo que pode ser fraude, aquilo que pode ser um mau uso daquele canal ou daquele instrumento de pagamento ou de transferência financeira.

Carlos Cruz, líder de Estratégia de Dados e Inteligência Artificial da IBM na América Latina, ao Olhar Digital

O problema se torna mais complexo à medida que os dados financeiros estão distribuídos entre diferentes instituições e serviços. Cruz cita o avanço do Open Finance como um fator adicional nessa equação, já que informações sobre um mesmo cliente podem estar relacionadas a diferentes organizações. Essa fragmentação dificulta que o banco tenha uma visão completa do comportamento financeiro.

A pesquisa também aponta KYC e AML como os processos mais difíceis de transformar com IA: 43% dos executivos consideram esses processos os mais difíceis de transformar com a tecnologia, à frente de detecção de fraude, com 36%, e cibersegurança, crédito e precificação e compliance reporting, todos com 33%.

Ao mesmo tempo, 45% dos entrevistados afirmam que a IA deve transformar significativamente os processos de KYC e AML. Os percentuais respondem a questões diferentes: os 43% medem a dificuldade de transformar esses processos, enquanto os 45% representam a expectativa de impacto da tecnologia sobre eles.

Para Cruz, uma estratégia de dados voltada a conhecer o cliente também permite monitorar os meios de pagamento e identificar comportamentos fora do padrão. A ideia é combinar essas informações com modelos de risco e tecnologias de investigação, formando uma cadeia que vá da identificação do problema à ação.

Diferentes tipos de IA têm funções diferentes

A estratégia de combate a crimes financeiros não significa necessariamente utilizar um único modelo de inteligência artificial para todas as etapas. Cruz explica que diferentes tecnologias podem ser posicionadas de acordo com a função que precisam desempenhar.

Em uma etapa de autorização em tempo real, por exemplo, Cruz cita o uso de recursos mais próximos da estatística e de modelos determinísticos para avaliar padrões e decidir se determinada operação pode ser autorizada. Já em atividades de investigação, outros tipos de modelos podem ser empregados.

A diferença, segundo o executivo, está também no grau de previsibilidade de cada tecnologia e na função que ela desempenha dentro da estratégia de combate aos crimes financeiros:

No caso da IA generativa, que não é determinística, ela apresenta respostas não tão previsíveis e, por isso, os bancos também estão interessados em entender melhor como essas tecnologias funcionam em cada etapa da esteira de combate a crimes financeiros, para que eles possam se sentir mais protegidos e entender onde pode usar melhor uma IA para poder se proteger, onde uma IA é melhor para investigar.

Carlos Cruz, líder de Estratégia de Dados e Inteligência Artificial da IBM na América Latina, ao Olhar Digital

Cruz acrescenta que a IA generativa pode ser particularmente útil para investigação, enquanto modelos determinísticos são mais eficazes para decisões sobre o que é ou não uma fraude.

Ferramentas de inteligência artificial generativa também podem ser usadas pelos criminosos para sofisticar os ataques. Cruz cita o uso dessas tecnologias para produzir deepfakes, simulações de voz e identidades sintéticas, inclusive em etapas como o onboarding de clientes.

A pesquisa também aponta mecanismos de controle como prioridades para ampliar o uso da tecnologia. 63% dos executivos consideram simulações de testes de estresse a principal prioridade de risco e compliance para escalar a IA em toda a empresa, enquanto 48% apontam os controles de risco em tempo real.

O levantamento também mostra uma diferença entre a importância atribuída ao monitoramento e sua aplicação. Apenas 25% dos profissionais entrevistados afirmam aplicar de forma consistente o monitoramento em tempo real a casos de uso de IA de alto risco.

Além da tecnologia, existe uma demanda por profissionais capazes de combinar conhecimentos de fraude financeira, dados, tecnologia, legislação e operação. Cruz afirma que esse perfil é difícil de encontrar justamente porque exige domínio de áreas diferentes.

É uma corrida bastante assimétrica. Os bandidos, a impressão que nós temos é que eles sempre estão à frente, considerando o baixo custo de algumas tecnologias. E o banco tem a dificuldade de encontrar pessoas capazes de lidar com esse tripé que é tecnologia, dados, toda a parte de legislação e toda a parte de operação. Esse tripé é um tripé difícil de operar.

Carlos Cruz, líder de Estratégia de Dados e Inteligência Artificial da IBM na América Latina, ao Olhar Digital

“Desde a parte de detecção até você tomar uma atitude, essa esteira tem que funcionar de forma integrada”, afirmou Cruz.

O post Pix reduz tempo de reação dos bancos e aumenta papel da IA contra fraudes apareceu primeiro em Olhar Digital.

Ataques cibernéticos recentes contra estruturas financeiras demonstram que os criminosos possuem conhecimento avançado sobre a operação, a organização e os processos do sistema nacional financeiro (SFN), incluindo aspectos específicos da arquitetura das instituições atacadas. O alerta foi feito pelo Banco Central (BC) no Relatório de Estabilidade Financeira (REF) referente ao primeiro semestre de 2025.

Entre janeiro e agosto deste ano, o BC registrou 53 casos de risco cibernético, ante 59 em todo o ano de 2024. Os incidentes geraram perdas financeiras em alguns casos, demonstraram fragilidades relacionadas a controles essenciais em instituições e seus provedores de serviços e mostraram que grupos criminosos cooptam colaboradores ou prestadores de serviço contratados pelas instituições financeiras.

O BC consultou 606 instituições para saber como tem sido feita a gestão do risco de terceiros. Desse total, 453 informaram dispor de procedimentos para relacionamento com terceiros; 317 reportaram que esse processo é avaliado pela segunda linha (compliance, por exemplo); e 319 informaram que o tema é abordado em auditoria interna. “O percentual demonstra que é necessário aprimorar esse processo”, diz o relatório.

Vulnerabilidades

O BC também observou um crescente número de incidentes em que colaboradores cooptados pelo crime facilitam a instalação de dispositivos físicos no ambiente computacional das instituições, viabilizando a conexão à rede corporativa para subtrair informações ou mesmo proporcionar acesso remoto a sistemas corporativos.

“Isso torna essencial investir em práticas de higiene cibernética (por exemplo, aplicação de correções de vulnerabilidades, controle de acesso, observância de padrões de configuração segura de ativos de TI etc.), para reduzir a superfície de ataque”, recomenda o relatório. 

Além disso, a automação dos ataques foi um fator que ampliou a complexidade das atividades criminosas. Serviços providos via API estão cada vez mais disseminados no SFN e têm conferido agilidade aos produtos financeiros.

No entanto, essa facilidade também vem sendo explorada por criminosos para ações fraudulentas, com a abertura automatizada de contas usadas na pulverização de recursos, dificultando seu rastreio.

Serviços oferecidos por API são aqueles que utilizam uma interface de programação de aplicações, substituindo sites, por exemplo. Verificação de saldo, transferência ou extratos dependem da conexão entre o aplicativo e uma API para mostrar os dados em tempo real.

Leia mais:

• Google processa quadrilha de hackers chineses por golpes de phishing com SMS
• Como a IA pode te enganar na Black Friday (e como se proteger)
• Meta Business é usado para aplicar golpes no Facebook

Sem controle

Um conjunto razoável de participantes do sistema financeiro nacional não dispõe de mecanismos adequados para proteger serviços providos via API e para lidar com incidentes como os recentemente ocorridos, segundo o documento. Das 440 instituições que dispõem de soluções de TI para APIs, apenas 128 realizam avaliação periódica dos riscos associados a esse tipo de tecnologia.

O BC identificou deficiências principalmente na validação robusta de dados de APIs, no desempenho e comportamento de serviços providos por meio de APIs e nas ferramentas que poderiam detectar e inibir tentativas de uso indevido, manipulação e extração de dados. “Sem esses mecanismos, é praticamente inviável detectar as tentativas de pulverização de recursos e a realização de transferências fraudulentas associadas a ataques cibernéticos.”

Com base nos ataques recentes, o BC elaborou um conjunto de normas que buscam minimizar riscos e perdas financeiras no SFN. Entre elas, a revisão de critérios para autorizar instituições de pagamento (como carteiras digitais e maquininhas de cartão) e dispositivos que rejeitam transações em caso de suspeita de fraude. 

O post Banco Central alerta: criminosos dominam a dinâmica do sistema financeiro nacional apareceu primeiro em Olhar Digital.

Já estão em vigor as novas regras da Federação Brasileira de Bancos (Febraban) que reforçam o combate a fraudes, golpes digitais e esquemas de lavagem de dinheiro no sistema financeiro. O foco do sistema de autorregulação são “contas laranja” utilizadas pelo crime organizado para atividades ilícitas e contas de bets irregulares — aquelas sem autorização da Secretaria de Prêmios e Apostas do Ministério da Fazenda.

A iniciativa surge após uma operação da Polícia Federal desarticular um esquema bilionário do PCC envolvendo contas bancárias de postos de combustíveis para ocultar recursos ilícitos. A Operação Carbono Oculto é considerada a maior ofensiva já realizada contra a estrutura financeira do Primeiro Comando da Capital.

Na prática, a autorregulação determina diretrizes mínimas para que bancos identifiquem e encerrem contas correntes envolvidas em atividades ilícitas, para prevenir o uso do sistema bancário por criminosos em golpes, fraudes e ataques cibernéticos. Em setembro, a Receita Federal também adotou medidas mais rígidas para evitar lavagem de dinheiro em fintechs.

“Estamos criando um marco no processo de depuração de relacionamentos tóxicos com clientes que alugam ou que vendem suas contas e que procuram o sistema financeiro como canal pra escoar recursos de golpes, fraudes e ataques cibernéticos, bem como para lavar o dinheiro sujo do crime”, disse o presidente da Febraban, Isaac Sidney.

“Os bancos não podem, de forma alguma, permitir a abertura e a manutenção de contas laranja, de contas frias e de contas de Bets ilegais e é por isso que estamos estabelecendo procedimentos obrigatórios a todos os bancos, para disciplinar o setor e coibir esse tipo de crime”, acrescentou ele.

Obrigação dos bancos com as novas regras

• Políticas rígidas e critérios próprios para verificação de contas fraudulentas (“laranja” e frias) e contas usadas por Bets irregulares;
• Recusa de transações e imediato encerramento de contas ilícitas, com comunicação ao titular;
• Reporte obrigatório ao Banco Central, permitindo o compartilhamento das informações entre instituições financeiras;
• Monitoramento e supervisão do processo, pela Autorregulação da Febraban, que pode solicitar, a qualquer tempo, evidências de reporte e encerramento de contas ilícitas;
• Participação ativa das áreas de prevenção a fraudes, lavagem de dinheiro, jurídica e ouvidoria dos bancos, que, inclusive, participaram da elaboração das novas regras;
• No caso de descumprimento, haverá punições, desde pronto ajuste de conduta e advertência até exclusão do sistema Autorregulação.

Leia Mais:

• Uso indiscriminado de IA por bancos pode criar vulnerabilidades, alerta G20
• 5 aplicativos para proteger apps de banco em seu celular Android
• Grok é usado por criminosos para espalhar links com vírus pelo X

Obrigações adicionais dos bancos

• Manter políticas internas disponíveis para identificação e encerramento de contas suspeitas;
• Apresentar declaração de conformidade à Diretoria de Autorregulação da Febraban, elaborada por área independente, Auditoria Interna, Compliance ou Controles Internos;
• Promover, com o auxílio da Febraban, ações de comunicação, orientação e educação para prevenção de golpes e fraudes.

“O crescente e alarmante aumento de fraudes e golpes no âmbito do Sistema Financeiro exige a implementação de medidas efetivas, principalmente, em relação à utilização das contas denominadas ‘Contas de Passagem’, mais conhecidas como ‘Contas Laranjas’. Elas atualmente recebem e movimentam recursos decorrentes de transações ilegais ou suspeitas, viabilizando a realização de várias práticas criminosas”, alertou o diretor de Autorregulação da Febraban, Amaury Oliva.

Quem participa?

Participam do sistema de autorregulação as seguintes instituições financeiras: ABC Brasil, BMG, Bradesco, BTG Pactual, Citibank, Sicredi, Daycoval, BRB, Banco do Brasil, Banco do Estado do Pará, Banco do Estado do Rio Grande do Sul, Banco do Nordeste do Brasil, Fibra, J.P. Morgan, Banco Mercantil, Original, Pan, Safra, Santander, Banco Toyota, Banco Volkswagen, Banco Votorantim, Bank of China (Brasil), Caixa Econômica Federal e Itaú Unibanco.

O post Bets e ‘contas laranja’: veja as novas regras da Febraban contra fraudes apareceu primeiro em Olhar Digital.

O WhatsApp está sendo usado por criminosos em uma campanha de malware no Brasil que se autopropaga. Conhecida como “Water Saci”, a ação utiliza o malware recém-identificado SORVEPOTEL, que se espalha por sistemas Windows por meio de mensagens de phishing convincentes com anexos de arquivos ZIP maliciosos, segundo relatório da Trend Micro. O objetivo é atingir instituições financeiras e corretoras de criptomoedas, incluindo Banco do Brasil, Caixa, Itaú e Bradesco.

Ao contrário dos ataques tradicionais focados em roubo ou ransomware, esta campanha foi projetada para velocidade e propagação, abusando da confiança social e da automação para se espalhar, diz a investigação. “Curiosamente, a mensagem que contém o anexo malicioso exige que os usuários a abram em um desktop, sugerindo que os agentes da ameaça podem estar mais interessados ​​em atingir empresas do que consumidores.”

Como funciona?

• A infecção começa com uma mensagem de phishing enviada de uma conta comprometida do WhatsApp — geralmente pertencente a um amigo ou colega — que contém um arquivo ZIP malicioso disfarçado de documento legítimo (por exemplo, “RES-20250930_112057.zip” ou “ORCAMENTO_114418.zip”);
• Ao ser aberto, o arquivo revela um atalho malicioso do Windows (.LNK) que executa silenciosamente um script do PowerShell. Esse script baixa e executa payloads adicionais diretamente de domínios controlados pelo invasor, como sorvetenopotel[.]com e expahnsiveuser[.]com;
• Uma vez implantado, o malware ativa o Maverick.StageTwo e do Maverick.Agent, módulos projetados para roubar credenciais financeiras e monitorar a atividade do usuário;
• O malware pode criar janelas de sobreposição que aparecem sobre sites bancários legítimos para roubar credenciais de usuários e tokens de autenticação. Ele exibe formulários falsos para senhas, assinaturas eletrônicas ou códigos QR para que pareça integrada ao site real, enquanto captura informações confidenciais do usuário;
• Os criminosos também monitoram a atividade do usuário para identificar visitas a sites bancários brasileiros específicos utilizando correspondência de domínio e análise de conteúdo HTM;
• O SORVEPOTEL é capaz de sequestrar sessões ativas do WhatsApp Web em dispositivos infectados. Quando detectado, o malware aproveita essa sessão para distribuir automaticamente o mesmo arquivo ZIP malicioso para todos os contatos e grupos associados à conta comprometida da vítima.

Leia Mais:

• Brasil é o 2º país mais atacado por malware em 2025, aponta relatório
• Link suspeito? Microsoft Teams terá alerta sobre URLs maliciosas
• 5 malwares que infectam o celular mesmo sem você ter baixado aplicativos

Campanha direcionada

De acordo com a telemetria da Trend Research, a atividade inicial sugere um foco regional no Brasil, com 457 dos 477 casos detectados até agora. A campanha impactou mais organizações governamentais e de serviços públicos, mas também vitimou organizações de manufatura, tecnologia, educação e construção, segundo o relatório.

Para evitar a detecção e manter a persistência, o malware emprega diversas estratégias: utiliza domínios ofuscados e com erros de digitação, como “sorvetenopotel”, que lembra bastante a inofensiva frase brasileira “sorvete no pote”. Essa tática ajuda a infraestrutura maliciosa a se camuflar no tráfego legítimo, diz o documento.

Para minimizar os riscos associados à campanha, a Trend recomenda alguns itens práticos de defesa inicial:

• Desative os downloads automáticos no WhatsApp nas configurações do aplicativo para reduzir a exposição acidental a arquivos maliciosos;
• Use políticas de segurança de endpoint ou firewall para bloquear ou restringir transferências de arquivos por meio de aplicativos pessoais, como WhatsApp, Telegram ou WeTransfer, em dispositivos gerenciados pela empresa;
• Recomenda-se que as organizações ofereçam treinamentos regulares de segurança para ajudar os funcionários a reconhecer os perigos de baixar arquivos por meio de plataformas de mensagens, promovendo o uso de canais seguros e aprovados para a transferência de documentos comerciais.

O post Water Saci: golpe mira bancos e corretoras de criptomoedas no Brasil apareceu primeiro em Olhar Digital.

A VPN “Virtual Private Network” (“Rede Privada Virtual” em português) é uma tecnologia que possui a capacidade de reforçar a privacidade e segurança de conexões online, pois camufla o endereço IP e localização. Além disso, ela criptografa os seus dados. Dessa forma, é uma das melhores opções para garantir a segurança de suas transações bancárias online.

Ao utilizar uma VPN, todas as comunicações entre o dispositivo e a internet são criptografadas, dificultando a atuação de hackers, já que ninguém consegue visualizar o tráfego. A seguir, saiba mais sobre a utilização desta tecnologia. 

Leia mais: 

• 5 benefícios de usar uma VPN (Rede Privada Virtual)
• Serviços de VPN gratuitos podem colocar usuários em risco; veja quais e como se proteger
• Safari realmente é o navegador com mais privacidade?

Como usar VPN de forma segura?

Primeiramente, é importante ressaltar que a segurança de uma VPN depende da qualidade do serviço oferecido pelas empresas fornecedoras. Para utilizar a tecnologia, você deve baixar um aplicativo VPN confiável, abrir o app, realizar o login, selecionar um servidor e tocar em “Conectar”.

Antes de realizar o processo de instalação, confira algumas dicas para utilizar a VPN de forma segura. 

Escolha bons prestadores de serviço

É essencial pesquisar e encontrar prestadores de serviço que tenham credibilidade no mercado e utilizem ferramentas de proteção contra malwares. 

Entre as opções grátis e que são mais utilizadas no mercado, estão a WindScribe, que tem o limite de dados de até 10 GB por mês e está disponível em 10 países. Outra opção é o VPN Gate, que utiliza software livre (código aberto) e está disponível em mais de 90 países. Por fim, uma alternativa é o TunnelBear, que oferece limite de 500 MB mensais e acesso a servidores em 23 países.

Entre as opções de serviço pago, há o Surfshark, uma solução que garante um escudo para que você navegue entre sites e acesse aplicativos sem se expôr aos riscos da internet. Ele também evita ataques de hackers enquanto você utiliza redes Wi-Fi públicas.

Verifique a compatibilidade de configurações dos equipamentos

É essencial conferir as configurações dos aparelhos, assim você confirma se eles são compatíveis com o serviço escolhido. Além disso, alguns dispositivos podem travar devido à baixa velocidade da internet do usuário.

Continue utilizando medidas de segurança

Não deixe de utilizar seus itens de segurança no dispositivo, como firewall e antivírus. Quanto mais recursos você utilizar para garantir sua proteção, melhor.

O post Como garantir sua segurança com a VPN em operações nos bancos digitais apareceu primeiro em Olhar Digital.