Key takeaways (TL;DR)
Operar sem KYC em mercados regulados não é viável: idade e identidade devem ser verificadas antes de jogar ou depositar.
A fraude concentra-se após o KYC; monitoramento contínuo, EDD por evento e checagens AML diárias são críticos.
Um fluxo orientado a risco (age-first, sem documento quando a norma permite, documento + biometria, sinais de dispositivo/rede) reduz atrito sem baixar a barra.
A Didit comprova onboarding em 25 s, −60% de revisão manual e >70% de economia de custos em produção.
Vencer no iGaming hoje não é só sobre odds: é sobre verificação de identidade e detecção de fraude. Em 2025, os ataques ficaram mais sofisticados com IA generativa e deepfakes, enquanto a pressão regulatória acelera dos dois lados do Atlântico. Os dados são claros: a fraude em iGaming dobrou em dois anos, com picos entre 4h e 8h, quando a vigilância é menor; e o Brasil virou o ponto crítico dos deepfakes, com incidência cinco vezes maior que os EUA e dez vezes a Alemanha. Uma mudança de escala impossível de ignorar.
O avanço dos deepfakes não é trivial. Em 2025, eles respondem por 1 a cada 20 reprovações de verificação de identidade no mundo, forçando os operadores a reforçarem controles biométricos e provas de vida (liveness) no onboarding. Mas as plataformas de gambling devem encarar segurança como processo contínuo, não só filtro de entrada. Na prática, a maioria das tentativas de fraude ocorre depois de concluir o KYC, o que exige monitoramento contínuo e diligência permanente em depósitos, apostas e saques.
Para combater a fraude, reguladores tentam agir rápido. O Brasil ativou o novo marco de apostas em 1º de janeiro de 2025, com requisitos rigorosos e controles de identidade reforçados. Já a UK Gambling Commission exige verificar idade e identidade antes de jogar, depositar ou até acessar jogos free-to-play. A prioridade é clara: proteger menores.
Como isso afeta equipes de compliance e startups? Reduzir atrito é possível, mas só se o KYC for desenhado em etapas por risco, com verificação de idade confiável e controles pós-onboarding que antecipem padrões reais de ataque. Este guia mostra como estruturar a estratégia para proteger receita, reputação e conformidade em 2025.
O que é KYC no iGaming e por que é crítico agora
KYC (Know Your Customer) é o conjunto de controles que confirma a identidade, avalia risco e previne crimes financeiros (AML). No jogo e nas apostas online, funciona como filtro nas etapas centrais da jornada do cliente: cadastro, depósitos e saques.
Sua relevância cresceu por três motivos principais:
- Exposição a fraude e perdas diretas. Operadores reportam aumento de fraude e custos associados (revisões manuais, abuso de bônus, compra/venda ou roubo de contas).
- Compliance e reputação. Marcos normativos obrigam a checar a identidade de jogadores, cruzar com listas de sanções e PEPs, guardar evidências de diligência e reportar às autoridades. O não cumprimento gera multas, perda de licenças e dano reputacional.
- Experiência do jogador. O KYC não pode ser gargalo: casos vencedores combinam análise documental, biometria, sinais (dispositivo, análise de IP etc.) e decisões em tempo real.
“Cassino sem KYC” sob a lupa: conveniência vs. risco legal e de fraude
O interesse por cassinos sem KYC disparou nos últimos anos. De março de 2022 até hoje, muitos usuários procuram alternativas sem verificação para jogar, como mostra o gráfico abaixo.
Do ponto de vista do jogador, buscar um cassino sem KYC pode ter quatro motivações:
- Atrito excessivo. Usuários que querem entrar e jogar sem burocracia.
- Preocupação com privacidade. Risco percebido de mau uso de dados/documentos ou estigma social.
- Acesso ilegal. Menores de idade ou pessoas em localidades não habilitadas que não poderiam usar plataformas legítimas.
- Más intenções. Driblar controles de lavagem de dinheiro ou abusar de bônus de boas-vindas.
E, do lado do operador, é legal oferecer alternativa sem KYC? Em mercados regulados (UE/UK/EUA) não é legal operar sem KYC: é obrigatório verificar idade e identidade antes de jogar ou depositar e cumprir obrigações de AML (ex.: AMLR na UE, UKGC no Reino Unido e BSA nos EUA).
Fraudes comuns nas plataformas de gambling
Multi-contas
O que é: a mesma pessoa cria várias contas para espremer bônus ou burlar limites.
Como detectar: surgem “gêmeos” com o mesmo dispositivo, IP ou método de pagamento.
O que fazer: definir limites por dispositivo/residência, pedir verificação extra quando algo não bate e aplicar cool-off (pausa temporária) ou shadow ban (bloqueio silencioso) quando detectado.
Bonus abuse ou abuso de promoções
O que é: aproveitar promoções e free bets com várias contas ou de forma coordenada.
Como detectar: picos de cadastros durante campanhas, muitos usuários com o mesmo dispositivo ou método de pagamento e saques rápidos após liberar o bônus.
O que fazer: limitar bônus a identidade e método de pagamento verificados.
Contas “laranja” (money mules)
O que é: pessoas que emprestam/compram/vendem sua conta para movimentar dinheiro de terceiros.
Como detectar: depósitos de fontes que não combinam com o perfil, saques para contas novas.
O que fazer: checagens AML diárias, travar o saque até verificar origem dos fundos e relacionar contas por dispositivo e pagamentos.
Roubo de conta (Account Takeover)
O que é: alguém acessa uma conta legítima e a usa para apostar ou sacar.
Como detectar: logins a partir de países distantes (viagem impossível), troca repentina de dispositivo ou histórico de IP incomum.
O que fazer: solicitar autenticação biométrica quando as condições mudarem, ativar 2FA, avisar o titular e revisar métodos de pagamento antes de saques.
Marcos regulatórios por região: como atuar em um ambiente global
Num cenário global, operadores precisam de alternativas multijurisdicionais para atuar com segurança em diversos países e cumprir normativas variadas. Como?
- Parametrizando limiares por país.
- Mantendo registro rastreável de decisões (aprovados/recusados com motivos).
- Aplicando autenticações biométricas quando o risco muda (depósitos, saques altos, alertas de transação etc.).
Principais marcos normativos para operadores de gambling
- União Europeia
- AMLR 2024 (Regulamento 2024/1624): Harmoniza regras de KYC/CDD, titularidade real e limites a instrumentos anônimos.
- AMLA 2024 (Regulamento 2024/1620): Cria a Autoridade Europeia Antilavagem (sede em Frankfurt) para supervisão coordenada.
- AMLD6 e AMLD5: Marcos de referência até a plena aplicação do pacote 2024.
- Reino Unido (UK)
- UKGC – Verificação de idade e identidade: Exige verificar idade e identidade antes de jogar ou depositar.
- Financial Risk Checks (SR 3.4.4): Verificações de vulnerabilidade financeira com abordagem “frictionless”.
- Guia AML para cassinos: Guia AML aplicável a cassinos remotos e presenciais.
- Estados Unidos (EUA)
- BSA / FinCEN (31 CFR Parte 1021): Cassinos são “instituições financeiras” sob a BSA; exige programa AML, CTR (≥ US$ 10.000), SAR, manutenção de registros e capacitação.
- Marco estadual (ex.: New Jersey, Nevada): Regras rigorosas de identidade e geolocalização; requisitos adicionais por estado e vertical.
Retenção e rastreabilidade: Recomenda-se conservar evidências de CDD/EDD e os motivos de decisão por ≈5 anos (conforme marcos AML comuns), para auditorias e supervisão.
Como desenhar um fluxo de KYC para iGaming com baixo atrito (passo a passo)
Se a meta é maximizar onboarding e velocidade, minimizando falsos positivos e esforço manual, este “esqueleto” funciona:
- Controle de idade inteligente. Estimativa rápida de idade para filtrar menores óbvios, com respaldo documental se o sinal for incerto.
- ID Verification (documento). Validar autenticidade do documento e extrair dados via OCR.
- Biometria e liveness. Garantir que o documento pertence ao usuário (Face Match 1:1) e que ele está presente, evitando deepfakes, vídeos ou máscaras (detecção de liveness).
- Screening AML em tempo real. Conferências iniciais e diárias contra listas de vigilância, sanções e PEPs.
- Sinais de rede e dispositivo. Geolocalização por IP/GPS, detecção de VPN/proxy e análise da velocidade de eventos.
- Decisão e fallbacks. Aprovação instantânea quando tudo confere; step-up para EDD ou revisão manual se houver risco.
- Autenticação para ações de risco. Diante de saques volumosos ou outros sinais, solicitar biometria para garantir segurança.
Quais KPIs as equipes de plataformas iGaming devem monitorar?
- Pass rate (por país e método)
- Tempo total de verificação
- Abandono por etapa
- Percentual de revisões manuais
- Hit rate contra PEP/sanções
- Precisão de liveness
Monitoramento pós-onboarding e gatilhos: do depósito ao saque
A maior parte da fraude já não é barrada no cadastro: uma fatia relevante ocorre depois da verificação inicial. Por isso:
- Controle de eventos. Depósitos/acumulados acima de limiares, saques volumosos, velocidade atípica, mudanças de dispositivo/localização, picos de chargebacks.
- Reverificação seletiva. Selfie de controle, verificação de origem de fundos ou revisão documental mais profunda.
- Checagens diárias automáticas. Screening diário contra listas de vigilância e sanções para detectar mudanças sem atrito.
Didit para iGaming: uma plataforma de KYC que reduz fraude e acelera o onboarding
Equipes de compliance e founders encaram a mesma tempestade: picos de fraude, regras que mudam por país e atrito que derruba conversão. A Didit resolve esses pontos com uma plataforma de KYC para iGaming que permite criar fluxos personalizados: verificação de idade para filtrar menores em segundos, documento e liveness quando necessário, sinais de rede/dispositivo e screening AML com checagens diárias para manter o risco sob controle.
O resultado é um onboarding rápido e operacional. Em produção, um operador líder reduziu o tempo médio de cadastro para 25 s, cortou 60% das revisões manuais e, com as checagens diárias, elevou a qualidade do monitoramento contínuo. No total, isso representou >70% de economia versus o provedor anterior.
Para acelerar o go-live, a Didit oferece integração por API e no-code (links de verificação). Fluxos no-code se configuram em minutos; integrações por API geralmente se resolvem em horas. Além disso, a Didit é o único provedor com plano de KYC gratuito e ilimitado. O reconhecimento como High Performer no G2 reforça a confiança do mercado, com mais de 3.000 empresas já integradas.
Resultado: menos fraude, menos atrito e mais conversão, com conformidade sólida nas jurisdições-chave do jogo online.