O grupo de extorsão ShinyHunters alega ter comprometido o sistema DAVID, plataforma usada pelo Departamento de Trânsito (DMV) da Flórida, e roubado mais de 200 mil registros de motoristas. Dados de identidade governamental como esses são especialmente valiosos para fraude, pois costumam conter nome completo, endereço, data de nascimento e número de habilitação — insumos-chave para roubo de identidade e abertura de contas fraudulentas.
A IDScan, empresa que fornece sistemas de verificação de identidade usados por locadoras de veículos, varejistas, bancos e hotéis, sofreu uma invasão cujos dados foram colocados à venda em um serviço clandestino chamado Nexus. O pacote inclui mais de 153 milhões de scans de carteiras de motorista dos EUA e Canadá, 10 milhões de documentos de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos. A empresa já responde a múltiplas ações judiciais e o FBI abriu investigação sobre o caso.
Um serviço de roubo de identidade chamado Nexus apareceu na dark web em 1º de setembro oferecendo busca em mais de 153 milhões de carteiras de habilitação dos EUA e Canadá, além de carteiras de identidade, documentos de viagem e carteiras de saúde. Investigadores rastrearam a origem até a IDScan.net, empresa de verificação de identidade usada por Hertz, Target, FedEx e outras grandes marcas, e o FBI abriu investigação após constatar que documentos de agentes federais também vazaram.
Um vendedor em fórum russo de compra e venda de dados listou o que chama de base da Ticketmaster com mais de 412 mil registros de compradores latino-americanos, 61% deles brasileiros, incluindo nome, CPF, e-mail, telefone e detalhes de pagamento. O anúncio é explícito quanto ao uso: o próprio vendedor afirma que os CPFs servem para fraude bancária, aplicativos de empréstimo e registro fraudulento de chip (SIM swap).
Um serviço batizado de 'Nexus' passou a vender na dark web digitalizações de mais de 153 milhões de carteiras de motorista de cidadãos dos EUA e Canadá, além de milhões de outros documentos de identidade e cartões médicos. O jornalista Brian Krebs rastreou a origem dos dados até a IDScan.net, empresa de verificação de identidade usada por locadoras de veículos, varejistas e cassinos, levando o FBI a abrir investigação formal. O vazamento expõe milhões de pessoas — incluindo autoridades públicas — a fraude de abertura de crédito e outros golpes de identidade.
A empresa de segurança Huntress documentou cinco casos em 2026 de operadores ligados à Coreia do Norte, rastreados como 'FAMOUS CHOLLIMA', que conseguiram vagas legítimas de TI em empresas ocidentais usando documentos falsificados e identidades roubadas. Os operadores usam dispositivos de KVM remoto, VPNs e proxies para simular presença local, executam o trabalho de fato e desviam parte do salário para financiar o regime norte-coreano. O caso ilustra como fraude de identidade e engenharia social contra processos de contratação (RH) viraram vetor de financiamento ilícito e evasão de sanções.
Um novo artigo acadêmico apresenta o UiAs, sistema que combina ondas mmWave e acústicas para distinguir um rosto vivo de uma máscara 3D de alta fidelidade durante autenticação facial, alcançando 93,25% de acurácia mesmo com usuários nunca vistos no treinamento. A proposta ataca diretamente o problema de spoofing físico em verificação facial, tecnologia usada em KYC remoto e abertura de conta digital.
Um estudo propõe um protocolo de liquidação interbancária para CBDC (moeda digital de banco central) em redes Ethereum permissionadas que mantém a instituição pagadora publicamente identificável para fins de conformidade, mas oculta criptograficamente o destinatário, o valor e o conteúdo da transação. Testado em uma rede de cinco nós com bancos comerciais, banco central e depositária de valores, o sistema liquida transações em 8 a 16 segundos, com verificação de prova em cerca de 1 milissegundo. O modelo de 'anonimato relaxado' é desenhado especificamente para permitir rastreabilidade regulatória de AML/CFT sem expor fluxos financeiros bilaterais sensíveis a todos os participantes da rede.
Entre novembro de 2025 e junho de 2026, a Operação Jackal IV da INTERPOL resultou em 58 prisões e na identificação de 263 suspeitos ligados a redes de crime organizado da África Ocidental, incluindo grupos como o Black Axe. A investigação rastreou o fluxo do dinheiro — contas laranja, empresas de fachada e serviços de lavagem terceirizados — usado para escoar lucros de golpes românticos, fraude cripto, investimentos falsos e sextortion, com apreensões que somaram dezenas de milhões de euros só na Romênia.
A Group-IB detalha a operação "CoinLure", uma fábrica industrializada de plataformas fraudulentas de investimento que já movimentou US$ 187 milhões usando 208 domínios e 23 templates compartilhados. O relatório argumenta que como o pagamento é sempre autorizado pela própria vítima, tentar bloquear a fraude na hora da transação chega tarde demais — a defesa eficaz está em mapear a infraestrutura compartilhada por trás de dezenas de plataformas aparentemente distintas.
Em novembro de 2023, criminosos exploraram uma vulnerabilidade introduzida por uma atualização de software falha no sistema de processamento de pagamentos de um prestador de serviços do Commerzbank, iniciando débitos diretos não autorizados em contas de clientes alemães e desviando cerca de €30 milhões em quatro dias. O banco absorveu integralmente o prejuízo, e a 'Operação Klonen' prendeu quatro suspeitos no Brasil em agosto de 2026, com mais três indiciados na Espanha e na Bulgária.
Um alerta consolidado do Departamento de Estado e do FBI descreve como esquemas de infiltração — ligados a operadores norte-coreanos de TI, mas replicáveis por qualquer fraudador — exploram lacunas entre etapas isoladas de contratação (checagem de identidade, entrega de equipamento, entrevista) para colocar uma pessoa fictícia numa vaga remota real. Cada verificação isolada passa no teste, mas nenhuma confirma que quem está logado no primeiro dia é a mesma pessoa entrevistada, o que exige combinar verificação documental com biometria de vivacidade (liveness) para fechar a lacuna.
Um vendedor em fórum de vazamentos anunciou 9,2 milhões de registros do cadastro populacional de Israel como uma violação recente, mas análise técnica mostrou que todos os campos de data param em 2005 — os dados vêm de um roubo antigo cometido por um funcionário do Ministério de Assuntos Sociais. Apesar de 'velhos', os identificadores nacionais, endereços e vínculos familiares seguem plenamente utilizáveis para fraude.
Um relatório da Group-IB argumenta que, na maioria das empresas, existe um intervalo sem dono entre o momento em que a vítima digita a senha numa página falsa e o momento em que a transação fraudulenta é processada — porque times de cibersegurança e de antifraude monitoram estágios diferentes do ataque. O texto usa como estudo de caso uma instituição financeira indonésia enganada por rostos gerados por IA no processo de KYC digital para aprovação de empréstimos, com US$ 6,58 milhões desviados antes da contenção. A lição central é estrutural: o atraso não veio de falta de ferramentas, mas da falta de um time responsável por essa janela específica do ataque.
Promotores federais dos EUA acusaram Zhuoying Chen e Haojie Zhang de comandar uma rede com mais de uma dezena de integrantes em Nova York que lavou ao menos US$ 43 milhões provenientes de golpes de investimento aplicados via redes sociais e apps de mensagem — o padrão conhecido como "pig butchering". O esquema usava cerca de 45 empresas de fachada e 140 contas bancárias para movimentar o dinheiro até a China.
Análise de tendências de 2026 detalha como identidades sintéticas e deepfakes contornam a verificação de identidade no onboarding digital, e por que checagens passivas já não bastam.
Bancos brasileiros registraram 12 ataques ao ecossistema Pix nos primeiros quatro meses de 2026. Em resposta, a Lei 15.397/2026 passou a criminalizar o aluguel de contas e o MED 2.0 ampliou o rastreamento de recursos desviados.
Uma ação liderada pela Polícia de Dubai, com FBI e o Ministério da Segurança Pública da China, prendeu 276 suspeitos, fechou nove centrais de golpe e apreendeu US$ 701 milhões em cripto ligados a fraudes de investimento romântico.
O pesquisador da ESET Jake Moore demonstrou três formas de burlar sistemas de reconhecimento facial — óculos inteligentes para identificar estranhos em público, imagens geradas por IA para abrir uma conta bancária real via eKYC e troca de rosto em tempo real para escapar de uma lista de vigilância em uma estação de trem. O experimento expõe fragilidades concretas nos processos de verificação de identidade que bancos e fintechs vêm adotando para onboarding remoto.
O Departamento de Justiça dos EUA, com a HSI, apreendeu US$ 61 milhões em Tether desviados por esquemas de pig butchering; a própria Tether já congelou cerca de US$ 4,2 bilhões em ativos ilícitos.
Relatório da Group-IB mapeia como fraudadores no Uzbequistão combinam ligações se passando por bancos ou órgãos governamentais, criação de urgência artificial e bots no Telegram para induzir vítimas a completar verificações de identidade que, na prática, autorizam empréstimos fraudulentos em seu nome. O documento também aponta casos de fraude interna, com funcionários de bancos usando acesso privilegiado para solicitar crédito em nome de clientes. Como resposta, instituições financeiras do país passaram a adotar verificação biométrica obrigatória, ligação de confirmação e períodos de carência antes da liberação dos valores.
A Group-IB apresenta uma rede de compartilhamento de sinais de risco entre bancos baseada em tokenização distribuída, que permite verificar em milissegundos se uma conta já foi sinalizada como suspeita por outra instituição, sem expor dados de clientes entre os participantes. A proposta mira sobretudo o combate a contas-mula, detectando-as ainda na fase de "aquecimento" — quando o fraudador constrói histórico de transações legítimas antes de usar a conta para lavar dinheiro de golpes de pagamento autorizado (APP fraud). Um piloto com 46 bancos, envolvendo apenas dois participantes ativos, já teria identificado de 300 a 400 transações diárias suspeitas, com potencial de evitar entre US$ 10 e 15 milhões em perdas anuais.
Um panorama da Group-IB sobre fraude digital na Austrália aponta perdas anuais superiores a A$2 bilhões, puxadas por roubo de identidade com sequestro de contas de superanuação, fraude em apostas e em crédito "compre agora, pague depois", golpes com deepfake e voz sintética, e fraude de pagamento instantâneo induzida por telefone. Chama atenção o uso de malware que manipula a câmera do dispositivo e de ferramentas de IA que imitam testes de vivacidade facial para burlar verificações de KYC, além de redes de contas laranja usadas para lavar o dinheiro desviado.
A Group-IB descreve a fase de 'aquecimento' de contas-mula, período em que fraudadores usam dinheiro genuíno para construir um histórico transacional que pareça legítimo antes de ativar a conta para lavagem em larga escala. O artigo argumenta que identificar essa fase inicial — antes da ativação — é a janela mais eficaz para bancos cortarem redes de lavagem antes que causem dano real.
A Group-IB reúne dados recentes sobre fraude digital na Ásia mostrando perdas equivalentes a 1%–3% do PIB em alguns países, com deepfakes contornando verificações de KYC, bots abrindo contas falsas em massa e trojans bancários direcionados a apps financeiros. O artigo argumenta que o monitoramento transacional tradicional (AML/OFAC) já não é suficiente e propõe complementar a defesa com sinais de dispositivo, comportamento e inteligência de ameaças.
O artigo argumenta que a vagueza do conceito de 'interesse legítimo' no GDPR, somada ao risco de multas de até 4% do faturamento global, leva bancos e fintechs a serem excessivamente cautelosos no uso de dados para detecção de fraude — mesmo quando esse uso seria legalmente defensável. O resultado é uma espécie de paralisia analítica nas áreas de risco, em contraste com áreas de marketing que exploram os mesmos dados sem tanta hesitação.
Artigo da Group-IB detalha o funcionamento das redes de mulas financeiras (money mules), pessoas recrutadas para movimentar fundos ilícitos entre contas bancárias em nome de criminosos. O texto explica o ciclo completo do esquema, desde o recrutamento de vítimas até a lavagem via criptoativos, além de indicadores técnicos usados por bancos e exchanges para detectar essas contas. As perdas globais associadas a esse tipo de fraude são estimadas em cerca de US$ 1,6 trilhão.
A Group-IB descobriu um servidor público mal configurado contendo um arquivo com mais de 20 mil selfies de documentos de identidade de cidadãos brasileiros, além de scripts de coleta de dados e ferramentas de tunelamento. O material ficou exposto por cerca de dois meses, e o servidor foi derrubado poucas horas depois da notificação às autoridades brasileiras.