Golpe do sósia: como criminosos tentam burlar a biometria facial

Atualizado em 6 de setembro de 2026 — Uma nova estratégia de fraude de identidade identificada no Brasil está chamando atenção por inverter a lógica tradicional dos golpes digitais. Em vez de começar pelos dados de uma vítima específica, o criminoso pode começar pelo próprio rosto e usar tecnologia de comparação facial para procurar pessoas fisicamente semelhantes.

Batizada de “golpe do sósia”, a tática foi identificada pela equipe de inteligência analítica da Serasa Experian e descrita no Mapa da Fraude referente ao primeiro semestre de 2026.

O que é o golpe do sósia?

Em uma fraude de identidade mais tradicional, o criminoso costuma obter dados de uma pessoa e depois procurar uma maneira de se passar por ela. No golpe do sósia, essa ordem pode ser invertida.

Segundo a Serasa Experian, fraudadores utilizam ferramentas capazes de comparar o próprio rosto com imagens existentes em diferentes bases — inclusive bases obtidas de forma ilícita — para encontrar identidades legítimas de pessoas fisicamente semelhantes. Depois, escolhem uma identidade que pareça mais propensa a passar por uma validação biométrica.

A empresa afirma ter identificado situações em que motores de comparação facial encontraram identidades com até 99% de similaridade.

Como a fraude funciona?

1. O fraudador parte do próprio rosto.
2. Uma ferramenta de comparação facial procura pessoas com características semelhantes.
3. Uma identidade legítima com alta similaridade é localizada.
4. O criminoso seleciona aquela identidade como possível alvo.
5. Os dados são usados em uma tentativa de cadastro, abertura de conta ou validação de identidade.
6. A semelhança física é explorada para tentar superar a verificação biométrica.

O ponto importante é que a técnica descrita não depende necessariamente de transformar artificialmente o rosto do criminoso no rosto da vítima. A estratégia procura uma pessoa que já seja fisicamente semelhante.

Por que isso preocupa?

A biometria facial tornou-se comum em bancos, fintechs, varejo digital e outros serviços. Selfies e provas de vida ajudam a confirmar quem está realizando uma operação. A nova tática mostra, porém, por que uma única camada de autenticação não deve carregar sozinha toda a decisão de confiança.

Para Leandro Bartolassi, diretor de Autenticação e Prevenção à Fraude da Serasa Experian, o cenário reforça a necessidade de combinar a análise facial com outros sinais. Entre eles estão validação documental, prova de vida, dados cadastrais, informações sobre o dispositivo, comportamento e outros indicadores de risco.

2,86 milhões de tentativas em seis meses: o que o número realmente significa

O Mapa da Fraude registrou 2.860.957 tentativas de fraude de identidade entre janeiro e junho de 2026. O volume representa aumento de 32,9% sobre o mesmo período de 2025 e equivale a aproximadamente uma ocorrência de alto risco a cada 5,5 segundos.

Segundo a Serasa Experian, as tentativas identificadas estavam associadas a um prejuízo potencial de R$ 3,77 bilhões.

Quais setores aparecem mais no levantamento?

Os meios de pagamento concentraram 42,6% das ocorrências do período, seguidos por telefonia, com 22,1%. O varejo apresentou alta de 120,7% no volume de tentativas em comparação com o primeiro semestre de 2025.

Regionalmente, o Sudeste concentrou 31,7% das tentativas. O Nordeste apareceu com 16,3% e foi a região com maior avanço percentual na comparação anual, de 14%.

Datas comemorativas também apresentaram maior risco

O Mapa da Fraude mostra ainda que o Dia dos Namorados teve taxa de risco 22,2% superior à média do semestre. Na sequência vieram Dia das Mães, 11,6% acima da média, e Ano Novo, 5,1% acima. Esse dado ajuda a mostrar que períodos de maior movimentação comercial podem exigir atenção adicional de consumidores e empresas.

Uma pessoa parecida comigo consegue abrir uma conta no meu nome?

Não automaticamente. Semelhança facial, por si só, não significa que alguém conseguirá assumir sua identidade. Sistemas antifraude modernos podem avaliar documentos, prova de vida, CPF e dados cadastrais, dispositivo utilizado, histórico, comportamento digital e outros sinais.

É justamente a combinação dessas camadas que pode revelar inconsistências mesmo quando duas faces apresentam alta similaridade.

Biometria facial deixou de ser segura?

Não. O alerta não significa que a biometria facial perdeu sua utilidade. A questão é evitar que uma única selfie seja considerada prova absoluta de identidade.

Em soluções modernas, a biometria pode ser acompanhada de liveness — mecanismo que verifica se existe uma pessoa real realizando a captura naquele momento — além de autenticação facial, inteligência do dispositivo e outras verificações. A própria Serasa Experian descreve uma arquitetura de biometria que combina essas camadas.

Golpe do sósia e deepfake são a mesma coisa?

Não. Deepfake envolve geração ou manipulação artificial de imagem, vídeo ou áudio para simular outra pessoa. No golpe do sósia descrito pela Serasa Experian, o ponto central é a semelhança física real: o criminoso procura uma identidade cujo rosto já se pareça com o dele.

As duas ameaças podem fazer parte do universo de fraude biométrica, mas tecnicamente não são a mesma estratégia.

Como se proteger

1. Não publique fotos de documentos

RG, CNH, passaporte e outros documentos carregam dados valiosos. Evite publicá-los em redes sociais, inclusive com algumas informações parcialmente cobertas.

2. Trate selfies com documentos como informação sensível

Não envie uma selfie segurando documento por WhatsApp, Telegram, e-mail ou rede social simplesmente porque alguém solicitou. Quando houver uma necessidade legítima, confirme se o procedimento acontece no site ou aplicativo oficial da instituição.

3. Desconfie de reconhecimento facial solicitado por mensagem

Links, QR Codes ou mensagens inesperadas pedindo uma selfie para “desbloquear”, “atualizar” ou “confirmar” uma conta merecem cautela. Abra diretamente o aplicativo oficial da instituição para verificar a solicitação.

4. Não permita fotografias de rosto e documento sem saber a finalidade

Antes de entregar dados biométricos ou pessoais, confirme quem está coletando as informações, por que precisa delas e por qual canal.

5. Use autenticação em dois fatores

Ative uma segunda camada de autenticação nas contas que oferecem o recurso. Isso dificulta acessos indevidos mesmo quando parte dos seus dados é comprometida.

6. Proteja e atualize seu celular

Use bloqueio de tela forte e mantenha sistema operacional e aplicativos atualizados. O smartphone concentra contas, e-mails, documentos, fotos e aplicativos financeiros.

7. Monitore seu CPF e movimentações desconhecidas

Fique atento a contas, empréstimos, compras ou serviços que você não reconheça. Se algo aparecer, procure diretamente os canais oficiais da instituição envolvida.

O que fazer se encontrar uma conta ou empréstimo que não reconhece?

Evite clicar em links recebidos na própria mensagem suspeita. Entre em contato pelos canais oficiais da empresa, informe que não reconhece a operação e peça investigação. Preserve protocolos, e-mails, mensagens, capturas de tela e demais evidências. Dependendo do caso, pode ser necessário registrar formalmente a ocorrência e contestar as operações.

O que muda para empresas?

A recomendação técnica é trabalhar com prevenção à fraude em camadas. Isso pode envolver biometria facial e prova de vida, validação e análise documental, cruzamento de dados cadastrais, análise do dispositivo e da jornada digital, monitoramento de tentativas repetidas e identificação de padrões suspeitos.

A vantagem dessa abordagem é simples: mesmo que o rosto pareça legítimo, outros elementos da operação podem revelar que algo não fecha.

O que sabemos até 6 de setembro de 2026

Até esta atualização, a tática foi identificada pela equipe de inteligência analítica da Serasa Experian e ganhou repercussão nacional neste domingo, 6 de setembro, após reportagem da Agência Brasil. A descoberta mostra como tecnologias de comparação facial podem ser exploradas de maneira inversa: em vez de partir de uma vítima já escolhida, o fraudador pode procurar qual identidade legítima mais se parece com ele.

Isso não é motivo para abandonar a biometria. É motivo para tratá-la como parte de um sistema maior de segurança — e para o consumidor compreender que rosto, documentos e dados pessoais fazem parte da mesma identidade digital.

Fontes e referências

• Serasa Experian — Golpe do sósia: fraudadores usam tecnologia para encontrar vítimas parecidas e tentar burlar biometria (2 set. 2026).
• Serasa Experian — Mapa da Fraude — Brasil registra quase 3 milhões de tentativas de fraude de identidade no 1º semestre (26 ago. 2026).
• Agência Brasil — Golpe do sósia usa tecnologia para tentar burlar biometria (6 set. 2026).

Nota editorial: este conteúdo tem finalidade informativa e foi atualizado com as informações disponíveis em 6 de setembro de 2026. Em caso de suspeita de fraude ou uso indevido da sua identidade, procure diretamente os canais oficiais das instituições envolvidas e as autoridades competentes.