KYC nos bancos do Brasil: requisitos do BCB e como reduzir a fraude em 2025

Key takeaways
 

O Brasil registrou 3,47 milhões de tentativas de fraude no 1º tri. de 2025 (≈ 1 a cada 2,2 s); o setor bancário/cartões concentrou 54%.

Após os ataques de julho de 2025, o BCB fixou limite de R$ 15.000 por operação para certos participantes e exige rejeitar pagamentos com suspeita fundada.

Defesa eficaz combina verificação documental, biometria com liveness, sinais de dispositivo (IN 491) e monitoramento contínuo.

A Didit reduz fraude com mais automação, fluxos no-code/APIs e um plano KYC gratuito e ilimitado com preços transparentes.

O Brasil enfrenta um quadro crítico de fraude: 3,47 milhões de tentativas só no 1º trimestre de 2025 — uma a cada 2,2 segundos. No mesmo período, bancos e cartões responderam por 54% das tentativas, confirmando as instituições financeiras como principal alvo. Em julho de 2025, o país ainda sofreu um ciberataque em larga escala a um provedor conectado ao ecossistema Pix, com ao menos R$ 400 milhões desviados e várias instituições afetadas, expondo fragilidades nas conexões críticas com o SPB.

A reação foi imediata: o Banco Central do Brasil (BCB) endureceu as regras com limite de R$ 15.000 por transação para determinados participantes e rejeição obrigatória de pagamentos a contas com “suspeita fundada de fraude”.

Se a fraude bancária no Brasil preocupa seu time, este artigo traz um panorama claro de processos KYC/AML, da evolução da normativa e de como fortalecer uma defesa antifraude sem sacrificar a experiência do cliente.

O que é KYC e como se diferencia do CIP no contexto brasileiro

Embora caminhem juntos, KYC (Know Your Customer) e CIP (Customer Identification Program) não são o mesmo. KYC é o arcabouço de identificação, verificação e perfil de risco ao longo de todo o ciclo de vida do cliente; CIP é o procedimento específico de identificação que verifica os dados fornecidos (nome, data de nascimento, etc.).

No setor bancário brasileiro, CIP equivale aos procedimentos de identificação do cliente exigidos pelo marco PLD/FT (AML/CFT) e fundamenta o KYC contínuo esperado pelos reguladores.

O arcabouço normativo brasileiro reforça a lógica baseada em risco. A Circular BCB 3.978/2020 e ajustes posteriores (como a Resolução BCB 119/2021) exigem manter políticas e controles PLD/FT que cubram identificação/verificação do cliente e monitoramento durante todo o ciclo de vida. Na prática: conhecer o cliente na abertura e continuar conhecendo depois (mudanças de comportamento, revalidações, evidências de auditoria).

Somam-se normas específicas que impactam a execução do KYC no Brasil. A Resolução Conjunta nº 6/2023 institucionaliza o compartilhamento de dados sobre indícios de fraude entre instituições, fechando brechas e acelerando bloqueios coordenados; o BCB mantém uma FAQ pública com orientações práticas.

No ecossistema Pix, a Instrução Normativa BCB nº 491/2024 adiciona uma camada operacional crítica: registro e gestão de dispositivos que iniciam transações e gerenciam chaves. Para reduzir fraude, dispositivos não registrados têm limite por transação (R$ 200) e limite diário (R$ 1.000).

Por fim, após os incidentes de 2025, o BCB aprovou a Resolução BCB nº 501/2025: obriga a rejeitar pagamentos destinados a contas com suspeita fundada de fraude e a comunicar a decisão ao cliente; veja também a Nota 20832 com escopo e prazos.

Raio X da fraude bancária no Brasil

O roubo de celulares segue como principal porta de entrada do crime financeiro. Por isso, conter a fraude no setor de telecom no Brasil é crucial. O modus operandi é claro: de posse do dispositivo, criminosos forçam acessos via engenharia social, credenciais vazadas ou extorsão do titular legítimo. Com o controle do aparelho, interceptam SMS, e-mails e outros OTP para acessar plataformas financeiras — e o pesadelo começa para usuários e bancos.

A magnitude é relevante: entre janeiro e março de 2025, o Brasil registrou 3.468.255 tentativas (≈ 1 a cada 2,2 s) e o segmento bancos/cartões somou 1.871.979 (54%). Em impacto humano e financeiro, mais de 24 milhões de brasileiros foram vítimas de golpes via Pix ou boletos falsos entre junho de 2024 e junho de 2025, com perda média de R$ 1.198 por pessoa e impacto agregado próximo de R$ 29 bilhões.

O que são “boletos falsos” e por que importam?

No Brasil, o boleto bancário é um título/cobrança com código de barras ou QR. No boleto falso, o código é manipulado para que o pagamento vá para a conta do fraudador, mesmo que o PDF/a diagramação pareçam legítimos. Para mitigar, os bancos devem validar beneficiário (nome e CNPJ), banco emissor e QR em canais autenticados, além de reforçar o KYC do recebedor (contas novas ou atípicas).

Deepfakes, SIM swap e spoofing: soluções pontuais não bastam

A biometria isolada (um selfie) não é suficiente contra falsificações e deepfakes. Ela funciona melhor integrada a uma defesa em profundidade: verificação documental, Face Match 1:1, liveness e sinais de dispositivo/comportamento para autorizar operações sensíveis.

Na prática, ainda há lacunas. Algumas plataformas populares no Brasil mostram limites: a IDWall depende demais de revisões manuais (mais lentas e caras), enquanto a Unico foca risco binário de foto/CPF e não oferece uma plataforma end-to-end com verificação documental, AML e fluxos flexíveis.

Num ambiente de fraude massiva, essas lacunas viram perdas e fricção.

Marco regulatório para bancos: as principais normas de 2025

• Resolução Conjunta nº 6/2023 (BCB/CMN). Exige compartilhar padronizadamente dados/indícios de fraude entre instituições, acelerando respostas coordenadas. O BCB mantém FAQ com orientações práticas.
• Instrução Normativa BCB nº 491/2024. Diretrizes para registrar e gerenciar dispositivos que iniciam transações Pix/gerenciam chaves. Dispositivos não registrados: R$ 200 por transação e R$ 1.000 diários.
• Pacote BCB — setembro de 2025 (Res. 496, 497, 498). Teto de R$ 15.000 por operação (Pix/TED) quando o provedor da conta do pagador for IP não autorizada ou quando o participante se conectar à RSFN via PSTI; o limite pode ser suspenso se houver controles comprovados. A Res. 498 define requisitos de credenciamento de PSTI (governança, segurança, monitoramento, auditoria).
• Res. BCB nº 501/2025 (11 set.). Obriga a rejeitar pagamentos destinados a contas com suspeita fundada; vigência imediata e prazos curtos para adequar sistemas. Veja a Nota 20832.

Como combater a fraude: defesa em profundidade aplicada ao KYC bancário

1. Verificação documental cruzada. OCR e análise por IA para detectar adulterações; validações em fontes oficiais e correlação IP/geo.
2. Biometria. Face Match 1:1, Liveness Detection e autenticação biométrica para reutilizar credenciais em operações de risco.
3. Monitoramento contínuo. Screening contra listas de sanções/PEP, mídia negativa, listas negativas compartilhadas (RC 6/2023) com alertas em tempo real.
4. Consentimento rastreável e auditável. Histórico verificável e revogável (troca de dispositivo, chaves Pix, limites).
5. Integração com o Celular Seguro. Botão de bloqueio imediato após roubo do celular e troca ágil de sinais com bancos/autoridades.

Boas práticas para o ecossistema Pix

O incidente de julho de 2025 contra um provedor de conectividade do Pix evidenciou fragilidades de terceiros críticos; relatos apontam ≥ R$ 400 milhões desviados e várias instituições afetadas. A resposta regulatória foi rápida: teto de R$ 15.000 para IPs não autorizadas ou conexões via PSTI (Provedor de Serviços de Tecnologia da Informação) e, dias depois, um mandato para rejeitar pagamentos a contas suspeitas, reforçando a responsabilidade dos bancos pela decisão e sua fundamentação.

Como a Didit ajuda bancos brasileiros a reduzir a fraude

Para times de compliance que precisam diminuir fraude sem travar o onboarding, a Didit entrega mais sinais, mais automação e menos revisão manual. A plataforma combina verificação documental, biometria com liveness e Face Match 1:1, validação em fontes oficiais e AML Screening para cortar spoofing, identidades sintéticas e deepfakes com profundidade que fluxos manuais não alcançam.

O núcleo da Didit se apoia em três camadas:

1. Documento + biometria (ID Verification, Face Match 1:1 e Liveness Detection) para garantir pessoa real presente no momento da verificação.
2. Validação em fontes oficiais/governamentais, quando disponíveis, para reforçar o que a câmera captura.
3. AML Screening e monitoramento contínuo, para checar usuários contra listas globais de sanções/PEP/mídia negativa e reavaliar o risco em tempo real.

Em conjunto, essas camadas reduzem fraude e falsos positivos, com rastreabilidade para auditoria. A orquestração também é diferencial: fluxos no-code para lançar em minutos e APIs/SDKs abertos para personalizar sob demanda. Nosso modelo de preços é transparente: oferecemos o primeiro e único plano de KYC gratuito e ilimitado, com recursos premium sem assinaturas nem mínimos e créditos pré-pagos que não expiram. Você paga apenas por verificações concluídas, mantendo controle fino do gasto.

Resultado para compliance: menos revisão manual, onboarding mais rápido, maior conversão e controle desde o primeiro segundo — sem prejudicar a UX e com sandbox imediato.