O Banco Central do Brasil sinaliza que deve responsabilizar instituições que tiverem contas laranja como destino de valores oriundos de fraude. Fintechs e bancos correm contra o tempo para se adequarem à nova regulação. De acordo com o Banco Central, apenas 5% dos valores perdidos em golpes virtuais são recuperados atualmente.

E o grande desafio em rastrear e recuperar esses valores está no fato de os criminosos usarem centenas de milhares de contas laranja, em diversas instituições financeiras, para espalhar o dinheiro e torná-lo irrastreável em questão de minutos.

Além disso, o Mecanismo Especial de Devolução do PIX, o MED, não obriga que a instituição recebedora faça o ressarcimento do valor recebido, caso este valor não esteja mais dentro desta instituição, o que se aplica à maioria dos casos – ficando, assim, o prejuízo restrito à instituição de origem ou ao próprio cliente vítima do golpe.

O fato é que a criação e operação massiva de contas laranja se tornou uma indústria lucrativa para os fraudadores. Uma busca rápida na Deep Web e em grupos de aplicativos de mensagens já é o suficiente para encontrar uma vasta oferta dessas contas, em dezenas de instituições financeiras, sendo comercializadas por preços que variam entre R$ 50 e R$ 500. Estes valores podem acabar sendo atrativos também para pessoas que os vêem como oportunidade de ganhar dinheiro sem, muitas vezes, entender que ter uma conta falsa em seu nome é parte de um esquema fraudulento.

O cenário de tranquilidade para as instituições que hoje não têm obrigação de ressarcir os valores reivindicados por meio do Mecanismo Especial de Devolução (MED), parece estar com os dias contados. Com a escalada das fraudes digitais, a popularização do dinheiro como ativo virtual e grandes operações contra esquemas de lavagem de dinheiro, o Banco Central, através do seu presidente Roberto Campos Neto, declarou recentemente que pretende responsabilizar também as instituições financeiras que forem usadas para receber dinheiro ilícito por meio de contas laranja.

O cenário de não ter que ressarcir a instituição pagadora se os valores não estiverem mais em seu sistema tomará a forma de grandes prejuízos financeiros e mesmo reputacionais de curto prazo para bancos e fintechs.

Modus Operandi

O modus operandi para operações de contas laranja consiste em 2 pilares:

O primeiro passa pela criação massiva de contas em instituições financeiras, bancos e fintechs que possuem um processo de onboarding frágil. Os criminosos, de posse de uma infinidade de dados e informações pessoais vazadas, usam dispositivos e fazendas de fraude para uma criação massiva de contas em nomes de terceiros, que muitas vezes só tomam conhecimento de que tiveram suas informações usadas ilicitamente quando são posteriormente negativadas, quando tomam. Se a conta for usada para esquemas de lavagem de dinheiro, é possível que o titular dos dados nunca saiba que seu nome está sendo usado.

Os crescentes investimentos em tecnologias de device fingerprint e documentoscopia, por exemplo, fizeram com que essa modalidade fosse reduzida significativamente. Mas, as estratégias de fraude acabam migrando até encontrarem ambientes favoráveis ao seu sucesso.

O segundo pilar das grandes operações de contas laranja está no aliciamentoe repasse, configurando-se como um enorme desafio na estratégia de prevenção. Isso se deve ao fato de as camadas atuais de segurança terem pouca ou nenhuma efetividade para realizar este bloqueio, já que há um repasse consentido pelos usuários legítimos dessas contas aos destinos finais definidos pelos fraudadores. Neste caso, é ainda mais desafiador, pois todo o processo de onboarding é legítimo.

A criação de conta ocorre a partir de documentos, informações e titulares legítimos. O problema passa do onboarding para o transacional, dado que os criminosos vêm conseguindo comprar essas contas por meio do contato direto com os titulares, tornando-as receptoras de transações ilícitas.

Com a intenção do Banco Central do Brasil (BACEN) de responsabilizar as instituições que foram usadas para operações de contas laranja, fintechs e bancos agora correm para auditar, prevenir e reprimir esse tipo de fraude, seja no momento de abertura de conta, seja prevenindo que transações fraudulentas ocorram.

O uso da tecnologia é essencial para acompanhar a constante evolução das técnicas de fraude e impedi-las antes mesmo que ocorram. No caso da Incognia, cuja tecnologia apresenta alto nível de precisão e efetividade, suas soluções endereçam os desafios das contas laranja de duas formas: a primeira delas é a partir da identificação dos padrões anômalos de localização, associados à abertura ou operação sistemática de contas. Ou seja, criação ou invasão de contas em massa. E a segunda é através da validação dinâmica e contínua do comportamento dos dispositivos móveis. Mudanças no comportamento padrão do dispositivo, não condizentes com o comportamento padrão do usuário, frequentemente indicam que um indivíduo diferente do dono da conta está de posse desta.

Soluções que se baseiam em dados dinâmicos e que não dependem exclusivamente de informações estáticas dos usuários são chave para identificar e combater essas fraudes que, além de complexas, causam não somente prejuízos financeiros, mas também podem oferecer riscos aos usuários que optam por fazer parte destes esquemas, frequentemente sem conhecê-los por completo.

Eduardo Pires é Country Manager do Brasil na Incognia