Fraude digital consome até 3% do PIB na Ásia e força bancos a repensar defesas além do AML tradicional
A Group-IB reúne dados recentes sobre fraude digital na Ásia mostrando perdas equivalentes a 1%–3% do PIB em alguns países, com deepfakes contornando verificações de KYC, bots abrindo contas falsas em massa e trojans bancários direcionados a apps financeiros. O artigo argumenta que o monitoramento transacional tradicional (AML/OFAC) já não é suficiente e propõe complementar a defesa com sinais de dispositivo, comportamento e inteligência de ameaças.
O pano de fundo é a escala do problema: segundo o Global Scam Report 2023 citado no artigo, as perdas por fraude online já representam entre 1% e 3% do PIB em países da região, e dados de meados de 2024 de Singapura mostram o volume e o valor das fraudes continuando a crescer, não a estabilizar.
A Group-IB descreve um mix de técnicas que foge do golpe isolado tradicional: deepfakes usados para passar por verificações de identidade em KYC, o que compromete o próprio processo de onboarding bancário; bots automatizando a criação de contas falsas em escala; aplicativos bancários legítimos "reempacotados" com trojans e distribuídos como se fossem os originais; e redes de contas-mula formadas com identidades alugadas coordenadas via Telegram. A combinação é o que preocupa: cada técnica isolada já é conhecida, mas usadas em conjunto elas atacam simultaneamente o cadastro (KYC), o dispositivo (apps trojanizados) e a rede de saída do dinheiro (mulas), deixando pouco espaço para um único controle deter o ataque.
A resposta proposta se organiza em três eixos: confiança no dispositivo (checar apps maliciosos instalados, geolocalização por IP, sinais de jailbreak/root), confiança no uso (biometria comportamental, dados de sensores como giroscópio, tempo de preenchimento de formulários) e confiança no usuário (cruzamento com inteligência de ameaças e vazamentos de dados conhecidos). A ideia central é que, como cada camada de fraude citada ataca uma etapa diferente do funil — cadastro, login, transação —, a defesa também precisa cobrir essas três etapas em vez de depender só da regra pós-transação.
Para bancos e fintechs da região, e não só, o recado prático é revisar se o KYC atual resiste a evidência sintética/deepfake e não apenas a documento mais selfie estática, instrumentar telemetria comportamental no app em vez de só no backend, e tratar contas recém-abertas com padrões de dispositivo compartilhado como população de risco elevado até prova em contrário — especialmente no primeiro ciclo de uso, que é quando esse tipo de fraude tende a se materializar.