Prevenção a fraude em iGaming: o problema é o onboarding, não o backoffice

Existem diversos casos de operadores do setor de iGaming que perdem sua licença e demoram muito tempo para entender o porquê. E demoram para perceber que, muitas vezes, o motivo não está no relatório de operação suspeita ou porque faltou tecnologia…ou porque o modelo de verificação estava resolvendo o problema errado, no momento errado.

Na verdade, a verdadeira razão está no cadastro, cujas falhas em sua execução ocorreram meses antes. Fraude estrutural não começa na transação suspeita que vai parar no COAF. Começa no cadastro, quando uma identidade fria passa pelo onboarding sem fricção. Tudo que vem depois é consequência.

O que o onboarding precisa fazer de fato

A Portaria SPA/MF 722 já exige reconhecimento facial antes de qualquer conta ser criada. Não é sugestão: é requisito técnico do Anexo IV, com certificação obrigatória. O que ela não resolve, sozinha, é o comportamento pós-cadastro: múltiplas contas vinculadas ao mesmo dispositivo, padrão de apostas que sugere lavagem cruzada, uso de bônus por conta que nunca deveria ter sido aprovada.

Device fingerprint, cruzamento de titularidade e comportamento financeiro via Open Finance fecham a janela que o KYC documental deixa aberta. CPF válido, rosto que confere, mas comportamento que não faz sentido: sem monitoramento pós-onboarding, esse perfil vai gerar um relatório de operação suspeita meses depois, às pressas, fora do prazo.

O ECA Digital fechou uma janela que ainda estava aberta

A Lei 15.211/2025 entrou em vigor em março de 2026. Plataformas de apostas estão no escopo. A lei proíbe a autodeclaração de idade como único mecanismo de verificação e atribui à Agência Nacional de Proteção de Dados (ANPD) a fiscalização do cumprimento.

Operadores que já trabalham com biometria e liveness não precisam ajustar nada no processo. O problema está nos que ainda aceitam data de nascimento autodeclarada como verificação de idade: com o ECA Digital em vigor, a exposição deixou de ser só perante a SPA/MF e passou a ser perante a ANPD também. Um menor que usa o CPF do pai não é KYC falho isolado. São dois reguladores com competência para fazer a autuação sobre o mesmo fato, mas em procedimentos separados.

A biometria com prova de vida não é detalhe técnico opcional nesse contexto. Ela é o que distingue verificação de identidade, de verificação de documento; e essa distinção tem consequência jurídica direta quando o regulador questionar o onboarding.

O custo real de uma conta fraudulenta

Depósito feito via conta laranja, saque imediato para terceiro, chargeback posterior, comunicação ao COAF atrasada porque ninguém monitorava o perfil. Esse é o roteiro de uma conta que nunca deveria ter sido aprovada.

O que operadores menores tendem a subestimar: cada conta fraudulenta aprovada no onboarding distorce dados de LTV e contamina o modelo de risco. Em volume, vira padrão. Padrão chama fiscalização. A Secretaria de Prêmios e Apostas (SPA) pode suspender a licença. E o Conselho de Controle de Atividades Financeiras (COAF) pode iniciar procedimento autônomo por omissão sistemática. Os dois podem acontecer ao mesmo tempo, sobre os mesmos fatos.

O cálculo mudou

A discussão sobre fricção no onboarding acabou quando a norma passou a exigir biometria e o ECA Digital proibiu a autodeclaração. Quem não implementou não está atrasado na decisão estratégica, está atrasado na adequação. A conta que vai aparecer vai chegar durante uma fiscalização.

E aí o prazo já passou.