No mundo da segurança da informação, estamos acostumados com o roubo de identidade tradicional, que ocorre quando alguém subtrai seu CPF e os dados do seu cartão para fazer compras indevidas ou cometer outras fraudes. No entanto, uma nova ameaça, muito mais silenciosa e resiliente, tomou conta do cenário de fraudes em 2026: a identidade sintética.
Nessa modalidade de fraude, o criminoso não “se passa” por você; ele cria uma pessoa nova — uma amálgama de dados reais e fictícios — que engana algoritmos de crédito e sistemas de segurança por meses ou até anos.
A fraude de identidade sintética funciona por meio da combinação estratégica de informações. O fraudador utiliza dados reais fragmentados, geralmente CPFs de pessoas que raramente consultam seu histórico de crédito, como crianças, idosos ou pessoas falecidas, além de dados fictícios, que vão desde nomes inventados até endereços de “casas de aluguel temporário” e números de telefone descartáveis. A inteligência artificial generativa é a peça-chave contemporânea. Com ela, os criminosos geram fotos de rostos realistas (que não existem no mundo real) e criam históricos em redes sociais com postagens e interações orgânicas, dando verossimilhança ao “personagem” criado.
O ciclo de vida dessa fraude, conhecido como “bust-out”, difere do phishing comum, em que o lucro é imediato. A identidade sintética foca no longo prazo. O processo geralmente segue três etapas.
A primeira é a incubação: nessa fase inicial, o fraudador abre uma conta bancária simples ou solicita um cartão de crédito de baixo limite usando a identidade sintética. Como o CPF é real, mas não possui histórico negativo, o sistema bancário cria um novo “arquivo de crédito” para essa pessoa inexistente.
Em seguida vem o cultivo (nurturing). Durante 6, 10 ou até 18 meses, o criminoso utiliza o cartão e paga as faturas rigorosamente em dia, construindo um score de crédito elevado. Aos olhos do banco, essa “pessoa” se torna um cliente exemplar.
Depois desse período de maturação ocorre o “bust-out” (a explosão). Nesse momento, quando os limites de crédito estão no auge — financiamentos de veículos, empréstimos pessoais e cartões premium —, o fraudador saca todo o dinheiro disponível e desaparece. Como a pessoa nunca existiu, as instituições financeiras ficam sem alguém para cobrar, e a fraude muitas vezes é classificada erroneamente como inadimplência, em vez de crime.
A identidade sintética é difícil de detectar e representa um verdadeiro pesadelo para os sistemas de prevenção de perdas por três motivos principais: ausência de vítima direta, aprovação por algoritmo e profissionalização do crime.
No roubo de identidade tradicional, o dono do CPF percebe uma compra indevida e avisa o banco. Na fraude sintética, como os dados são misturados e o comportamento de pagamento é aparentemente positivo, ninguém reclama — é a ausência de vítimas.
Outro fator é que muitos processos de abertura de conta são totalmente automatizados. Se os dados básicos conferem, a conta é aberta. Estamos na era da aprovação por algoritmo.
Por fim, há a profissionalização. Grupos criminosos organizados mantêm verdadeiras “fazendas de identidades”, cultivando milhares de perfis simultaneamente com o auxílio de automação e inteligência artificial.
O setor bancário vem reagindo e tentando combater a identidade sintética em 2026 ao abandonar a validação estática de documentos e adotar o conceito moderno de biometria comportamental. Nesse modelo, o algoritmo não analisa apenas quem a pessoa diz ser, mas como ela interage com os sistemas. A velocidade da digitação, a forma como segura o celular e o modo como navega no aplicativo são padrões únicos que uma identidade sintética dificilmente consegue replicar de maneira humana.
A identidade sintética representa a evolução da engenharia social para a engenharia de dados. Ela demonstra que, na era da inteligência artificial, a existência de um rastro digital — fotos, perfis e documentos — já não é prova suficiente de que um ser humano real está do outro lado da tela.
Em nosso próximo encontro, detalharemos com mais profundidade o que é e como as grandes corporações estão utilizando a biometria comportamental para mitigar as fraudes produzidas pela identidade sintética.
Allan Julianelli é gerente de TI da Associação do Ministério Público do Estado do Rio de Janeiro desde 1998 e policial civil do Estado do Rio de Janeiro desde 2002.
allan.julianelli@amperj.org