As contas do Mule passam na verificação KYC. Esse é exatamente o problema.
Uma conta de “mula financeira” é aberta com um nome verdadeiro, um documento verdadeiro e um rosto verdadeiro. Todas as verificações que o fluxo de cadastro foi projetado para realizar dão resultado negativo, porque nada na identidade é falso. A fraude não está na identidade. Está na relação entre as contas, e essa é uma camada que a maioria das estruturas de cadastro nunca analisa.
Este artigo aborda o que é necessário para a detecção de contas “mula”, por que os dois mecanismos de controle mais utilizados pelos bancos não conseguem identificar o padrão e como a identificação biométrica muda o panorama. Ele conclui com o mercado mexicano, onde uma recente mudança regulatória torna isso uma realidade.
Os deepfakes estão se tornando cada vez mais sofisticados, aumentando o risco de fraudes e manipulação de identidade em ambientes digitais. Baixe nosso guia de 10 etapas para aprender como detectar ameaças antecipadamente e proteger sua organização com práticas recomendadas comprovadas.
O que é uma conta “mula” e os três tipos relevantes para a detecção
Uma conta “mula” recebe recursos provenientes de atividades ilícitas e os repassa, ocultando a ligação entre o crime e o dinheiro. Os rendimentos de fraudes, pagamentos fraudulentos e dinheiro lavado passam por essas contas.
A magnitude do fenômeno não é insignificante. Na nona edição da Operação Europeia contra os “Money Mules”, realizada em 2023, as agências de segurança pública coordenadas pela Europol identificaram 10.759 “money mules” e 474 recrutadores em um único ciclo operacional, o que resultou em 1.013 prisões. Um total de 2.822 bancos e instituições financeiras participaram da operação. Esses são apenas os casos que foram descobertos.
As contas “mule” têm três origens diferentes e não são todas igualmente difíceis de detectar.
Os “mulas” recrutados são pessoas reais que concordam em emprestar sua identidade, geralmente em troca de uma pequena remuneração. Os materiais de conscientização da Europol apontam os recém-chegados a um país e as pessoas em dificuldades financeiras como alvos frequentes, muitas vezes abordados por meio de anúncios falsos de emprego na internet. A conta é realmente deles.
Os “mulas” coagidos ou inconscientes são pessoas cuja identidade é utilizada sem consentimento informado, muitas vezes por meio de falsas ofertas de emprego ou golpes românticos. A Europol descreve o recrutamento por meio de vagas anunciadas, como agente de transferência de dinheiro, por meio de publicidade online e de aplicativos de mensagens. A documentação é legítima e a pessoa está presente no momento da integração.
As identidades sintéticas combinam dados reais com dados falsos para criar uma pessoa que não existe, mas que passa nas verificações de documentos. Essas são as mais difíceis de detectar e são as que se disseminam mais facilmente, pois o mesmo perfil falso pode ser reproduzido com variações, em vez de ser criado do zero a cada vez.
O que une os três é o volume. As redes de “mulas” não abrem apenas uma conta. Elas abrem dezenas ou centenas, muitas vezes na mesma instituição, frequentemente em questão de semanas. Essa repetição é o sinal detectável.
Por que o monitoramento de transações detecta contas de “mulas” tardiamente
O monitoramento de transações foi concebido para sinalizar movimentos anômalos de fundos. Ele funciona e é imprescindível. Mas, por sua própria natureza, é um controle reativo.
A conta precisa existir, ter saldo e realizar transações antes que uma regra seja acionada. Quando o alerta chega ao analista, muitas vezes os fundos já foram transferidos; é por isso que recuperá-los é difícil depois que o processo já está em andamento.
Os operadores de “mule” também ajustam seu comportamento para permanecerem abaixo dos limites. Os valores ficam abaixo dos limites de notificação, as transferências são distribuídas entre as contas e são inseridos períodos de inatividade antes que a conta seja utilizada. Uma rede de quarenta contas, cada uma movimentando quantias modestas, é muito menos visível para um mecanismo de regras do que uma única conta movimentando o mesmo valor total.
O monitoramento de transações é o controle adequado para o dinheiro. É o controle inadequado para o conjunto de contas.
Por que a verificação 1:1 não consegue detectar redes de contas-mula
A maior parte da verificação de identidade durante o cadastro é feita em uma relação de 1:1. O sistema compara a selfie com a foto do documento e responde a uma única pergunta: essa pessoa é a mesma que aparece neste documento?
Essa é uma pergunta pertinente. Isso impede a falsificação de documentos e a usurpação de identidade. Por outro lado, não é possível detectar redes de “mulas”, e o motivo é estrutural, e não uma questão de precisão.
Uma verificação 1:1 avalia um único pedido isoladamente. Ela não tem registro das outras solicitações. Se a mesma pessoa abrir seis contas usando seis identidades reais que lhe foram cedidas mediante pagamento, cada verificação retornará um resultado positivo correto. Se um operador de identidades sintéticas usar o mesmo rosto em doze perfis falsos, todas as verificações serão aprovadas, pois, em cada caso, a selfie realmente corresponde ao documento apresentado.
O sistema está respondendo à pergunta que lhe foi feita. A pergunta está incompleta.
Como a identificação biométrica 1:N muda a detecção de contas de “mulas”
A pergunta que falta é outra: já vimos esse rosto antes, com um nome diferente?
Para responder a essa pergunta, é necessária uma identificação 1:N, na qual uma nova amostra biométrica é comparada com toda a população cadastrada, em vez de ser comparada a um único documento. É para isso que um ABIS, ou Sistema Automatizado de Identificação Biométrica, foi desenvolvido.
Na fase de cadastro, o efeito é imediato. Os dados biométricos do candidato são comparados com os de clientes existentes e com os de solicitações anteriores. Se a mesma pessoa aparecer sob uma segunda identidade, o sistema identifica essa situação antes da abertura da conta, e não depois que o dinheiro já tiver sido transferido.
Isso é a deduplicação, e ela altera a forma como cada um dos três tipos de “mule” se apresenta. Vale a pena ser preciso ao identificar quais deles, pois a deduplicação não afeta todos da mesma forma.
Detecção de fraudes de identidade sintética
É nesse ponto que o 1:N se destaca. Os perfis criados precisam reutilizar alguma informação. Gerar um único perfil convincente já não é algo dispendioso, mas manter a consistência de um perfil, de um documento e de um histórico de dados em dezenas de perfis e ao longo do tempo é um problema diferente, e a reutilização entre perfis é exatamente o que a pesquisa 1:N detecta.
Fazendas de contas e inscrições repetidas
Quando um mesmo indivíduo se cadastra usando mais de uma identidade — o que constitui o padrão característico de uma “fazenda de contas” —, a deduplicação identifica essa situação na segunda tentativa, e não na quadragésima. Isso se aplica independentemente de as identidades serem sintéticas, emprestadas ou roubadas.
Corredores recrutados e coagidos: o que a deduplicação não alcança
Se um “mula” recrutado abrir uma conta em seu próprio nome, utilizando um documento autêntico, nada no processo de cadastro irá sinalizar qualquer irregularidade. A pessoa é real, o documento é real, o rosto corresponde e o cadastro é legítimo no momento em que ocorre. A deduplicação não altera isso, e um fornecedor que afirme o contrário está exagerando a função desse controle.
O que se aplica, na verdade, é uma forma diferente de utilizar a mesma tecnologia. A verificação biométrica no momento da transação exige que o titular da conta esteja fisicamente presente quando os fundos são movimentados, o que inviabiliza o esquema em que uma pessoa abre a conta e outra a opera remotamente. Isso não detecta o recrutamento. Simplesmente elimina a utilidade da conta.
Reutilização entre canais
A mesma pessoa que se apresenta em uma agência, em um aplicativo e por meio de um canal parceiro com identificadores diferentes fica invisível para qualquer sistema de controle que trate esses canais separadamente. Uma galeria biométrica compartilhada permite que isso seja feito em uma única consulta, desde que a instituição tenha base legal e estrutura de governança para manter e pesquisar essa galeria.
Uma observação sobre o escopo. As operações da Europol alcançam redes de transportadores de drogas por meio da integração de informações de inteligência entre instituições e além das fronteiras. Nem todas as jurisdições permitem isso, e algumas o proíbem deliberadamente. Nos casos em que o compartilhamento é restrito, a deduplicação ocorre dentro do próprio banco de dados de uma instituição: o alcance é mais limitado, mas a informação fica disponível em tempo real no momento do registro, em vez de posteriormente.
Obtenha uma demonstração personalizada da nossa plataforma biométrica sem contato e veja como ela se adapta ao seu caso de uso específico.
Implementação da deduplicação biométrica no processo de integração
A inclusão de uma relação 1:N em um fluxo de integração levanta questões relacionadas à engenharia e à governança que devem ser consideradas no planejamento.
A qualidade da captura determina a qualidade da busca. Uma busca 1:N em uma grande galeria é muito mais sensível à qualidade da amostra do que uma comparação 1:1. Iluminação inadequada, desfoque de movimento e baixa resolução fazem com que correspondências sejam perdidas. A captura deve ser controlada no momento da coleta, no próprio dispositivo, em vez de ser corrigida posteriormente.
A verificação de autenticidade deve ser a base do sistema. Uma pesquisa 1:N em uma amostra que foi injetada ou apresentada a partir de uma tela gera uma resposta confiável sobre o que está errado. A detecção de ataques de apresentação, testada de acordo com a norma ISO/IEC 30107-3, e a detecção de ataques de injeção são pré-requisitos, e não apenas complementos opcionais. Quando um fornecedor citar resultados de avaliação, pergunte em quais condições a avaliação foi realizada.
O processamento no próprio dispositivo traz benefícios em três frentes. Manter a captura e o processamento inicial no celular reduz o volume de dados biométricos em trânsito, mantém a latência baixa o suficiente para que a verificação ocorra dentro do fluxo de cadastro e permite que o processo seja concluído mesmo em locais onde a conectividade é instável. Para instituições que atuam em áreas rurais ou em mercados com cobertura de rede irregular, isso é um requisito de cobertura, e não apenas uma otimização.
A governança deve ser definida antes da implantação. Os períodos de retenção, a redação do termo de consentimento, a finalidade declarada do banco de dados, a base jurídica para a realização de buscas em uma população cadastrada e o fluxo de revisão humana para uma correspondência precisam ser acordados com as equipes jurídicas e de privacidade desde o início. Não se trata de uma burocracia que vem depois da implantação. Em várias jurisdições, os dados biométricos são classificados como dados pessoais sensíveis, e a realização de buscas em uma população cadastrada para prevenção de fraudes tem uma finalidade diferente da autenticação de um cliente. Finalidade diferente, base jurídica diferente, divulgação diferente. Uma correspondência é um indício para investigação, não um veredicto, e o processo em torno dela deve refletir isso.
A identificação multimodal amplia as possibilidades. O reconhecimento facial por si só já é viável. O reconhecimento facial combinado com a impressão digital proporciona um resultado de deduplicação significativamente mais preciso, especialmente em escala nacional, além de servir como alternativa quando uma das modalidades não puder ser utilizada.
Detecção de contas “mule” sob as novas regras biométricas da CNBV do México
O México oferece um exemplo concreto dessa mudança, pois o marco regulatório foi o primeiro a se adaptar.
Em 1º de julho de 2026, a Comissão Nacional Bancária e de Valores publicou no Diário Oficial da Federação uma resolução que altera as disposições gerais aplicáveis às instituições de crédito, no que diz respeito à verificação de identidade em transações bancárias presenciais. Até então, essas disposições reconheciam apenas a impressão digital como método de verificação biométrica para essas transações. A resolução acrescenta a biometria facial, exige a verificação em relação aos registros do instituto eleitoral, do Ministério das Relações Exteriores ou de outra autoridade tributária ou federal mexicana que preste serviço semelhante, com uma correspondência mínima de 90%, e substitui o anexo técnico que rege a captura biométrica. Ela entrou em vigor em 2 de julho de 2026, e as instituições tiveram um prazo máximo de 90 dias úteis para se adequarem.
A resolução também permite que as instituições criem seus próprios bancos de dados biométricos de clientes, desde que contem com infraestrutura específica, criptografia e controles de acesso. As instituições devem notificar o órgão supervisor quando iniciarem ou encerrarem o uso desse banco de dados. É proibida a venda, a transferência, o compartilhamento ou a troca desses bancos de dados entre instituições ou com terceiros, e as consultas devem ser realizadas exclusivamente no banco de dados de cada instituição. Por enquanto, o banco de dados se limita a dados de impressões digitais e faciais, até que a Comissão emita especificações técnicas para outros tipos de dados biométricos.
A interpretação imediata é a conformidade. As instituições precisam da captura facial nos fluxos presenciais que, anteriormente, dependiam de documentos, impressões digitais e análise manual.
A segunda interpretação é de natureza arquitetônica e requer que uma ressalva seja claramente estabelecida. A resolução enquadra essas bases de dados no contexto da autenticação de usuários. Ela não exige, nem por si só autoriza, a pesquisa 1:N para prevenção de fraudes ou a reutilização de uma credencial para outros fins. Esses são fins distintos e, de acordo com a lei mexicana de proteção de dados, os dados biométricos são dados pessoais sensíveis; portanto, um fim adicional requer sua própria base jurídica, sua própria divulgação na declaração de privacidade e seu próprio consentimento expresso. A conformidade com a resolução não implica, por si só, esses fins.
O que a resolução deixa para trás é um registro biométrico consistente da base de clientes, mantido pela própria instituição e elaborado de acordo com um padrão técnico definido. Esse registro é a pré-condição para a deduplicação. Se ele se tornará tal, é uma decisão à parte, tomada de forma deliberada e documentada com assessoria jurídica antes do primeiro cadastro, e não depois.
Uma instituição que trate essa exigência como um mero item a ser marcado em uma lista de verificação implementará o sistema de captura facial, satisfará o supervisor e ainda assim não será capaz de responder se a mesma pessoa possui contas em três nomes diferentes. Uma instituição que defina adequadamente a finalidade já na fase de projeto terá essa resposta à sua disposição.
O prazo é o mesmo para ambos. A flexibilidade posterior, porém, não é.
Por onde começar na detecção de contas “mule”
A detecção de contas “Mule” é mais um problema de sequenciamento do que um problema tecnológico. O monitoramento de transações continuará fazendo o que faz bem. O que está à frente dele determina o quanto chega até ele.
Três perguntas para fazer à sua equipe:
- Se a mesma pessoa abrisse contas usando três identidades diferentes hoje, em que momento descobriríamos isso?
- Temos um registro biométrico suficientemente consistente entre os diferentes canais para que possamos realizar buscas nele, e uma finalidade declarada que abranja essa pesquisa?
- Nossa etapa de captura é suficientemente robusta a ponto de um resultado 1:N ser confiável?
Se a resposta à primeira pergunta for “quando o dinheiro é movimentado”, a lacuna está na integração inicial, e trata-se de uma questão relacionada à camada de identidade.
Converse com nossa equipe sobre a avaliação de uma plataforma de identidade digital e sobre como o ABIS se encaixa na sua arquitetura de integração de novos usuários.
Obtenha uma demonstração personalizada da nossa plataforma biométrica sem contato e veja como ela se adapta ao seu caso de uso específico.
Referências
Europol: Rastreamento de documentos leva à prisão de 1.013 “mulas de dinheiro”; resultados da Operação Europeia contra “Mulas de Dinheiro” (EMMA 9), 2023. https://www.europol.europa.eu/media-press/newsroom/news/paper-trail-ends-in-jail-time-for-1-013-money-mules
Federação Bancária Europeia: Rastreamento de transações leva à prisão de 1.013 “mulas”. https://www.ebf.eu/ebf-media-centre/paper-trail-ends-in-jail-time-for-1-013-money-mules-2-822-banks-and-financial-institutions-join-forces-with-law-enforcement-agencies-in-global-effort-against-money-laundering/
Comissão Nacional Bancária e de Valores, Resolução que altera as Disposições de caráter geral aplicáveis às instituições de crédito, Diário Oficial da Federação, 1º de julho de 2026. https://dof.gob.mx/nota_detalle.php?codigo=5792307&fecha=01%2F07%2F2026
Basham, Ringe e Correa, Resolução que altera as disposições gerais aplicáveis às instituições de crédito, julho de 2026. https://basham.com.mx/en/resolution-amending-the-general-provisions-applicable-to-credit-institutions/
Infobae, “Os bancos mexicanos já podem identificar os clientes por meio do reconhecimento facial”, 8 de julho de 2026. https://www.infobae.com/mexico/2026/07/08/los-bancos-mexicanos-ya-pueden-identificar-con-el-rostro-para-quien/
ISO/IEC 30107-3:2023, Tecnologia da informação. Detecção de ataques de apresentação biométrica. Parte 3: Testes e relatórios. https://www.iso.org/standard/79520.html
