Ásia: O Custo da Verificação de Identidade Recai Sobre Bancos e Plataformas (PT-PT)

Nove mercados reescreveram as suas regras de identidade entre dezembro de 2024 e janeiro de 2026. Singapura e Tailândia agora obrigam as instituições a pagar por perdas de fraudes, o Vietname condiciona o acesso bancário a uma correspondência facial, e o Japão retira a verificação por upload de foto em abril de 2027.

A versão curta

01

O Gabinete das Nações Unidas sobre Drogas e Crime estima os lucros anuais dos complexos de fraude do Sudeste Asiático em pouco menos de 40 mil milhões de dólares, operados com mão de obra traficada de mais de 50 países.

02

Nove mercados asiáticos reescreveram as suas regras de verificação de identidade entre dezembro de 2024 e janeiro de 2026. A maioria dessas regras já está em vigor.

03

O Quadro de Responsabilidade Partilhada de Singapura, em vigor desde 16 de dezembro de 2024, obriga um banco a reembolsar uma vítima de phishing quando o banco ignorou um dever anti-fraude prescrito. A Tailândia foi mais longe com um decreto de emergência em abril de 2025, tornando bancos, empresas de telecomunicações e plataformas co-responsáveis.

04

O Vietname exige uma correspondência facial com a base de dados de identidade por chip nacional para acesso à banca online desde 1 de janeiro de 2025. A Tailândia exige reconhecimento facial acima de 50.000 baht.

05

O Japão anunciou que as verificações de identidade por upload de foto serão abolidas para a abertura remota de contas a partir de abril de 2027, deixando a leitura de chips como única via.

06

As Regras de Proteção de Dados Pessoais Digitais da Índia foram publicadas em 14 de novembro de 2025 e tornam-se totalmente vinculativas a partir de 14 de maio de 2027, com penalidades até 250 crore de rupias, cerca de 29 milhões de dólares.

Os complexos de fraude do Sudeste Asiático faturam cerca de 40 mil milhões de dólares por ano, e as regras seguiram o dinheiro

O Gabinete das Nações Unidas sobre Drogas e Crime estima que os centros de fraude que operam em complexos no Sudeste Asiático faturam pouco menos de 40 mil milhões de dólares por ano. A sua avaliação de 2025 descreve uma indústria com centenas de milhares de trabalhadores, muitos traficados, provenientes de mais de 50 países. Os mandatos de identidade que se seguiram são uma resposta a essa escala.

A palavra a reter é industrial. Não se trata de indivíduos a trabalhar sozinhos. O UNODC descreve complexos com cadeias de recrutamento, padrões de turnos e níveis de gestão, razão pela qual a resposta tem sido regulamentar e não apenas criminal: um complexo pode ser alvo de uma rusga, mas a conta bancária e o número de telefone que utilizou são o que lhe permitiu chegar a uma vítima.

A Avaliação Global de Ameaças de Fraude Financeira da INTERPOL, publicada em março de 2026, contabilizou um aumento de 47% nos alertas de fraude na Ásia-Pacífico num único ano, e descobriu que os esquemas que utilizam inteligência artificial eram aproximadamente 4,5 vezes mais lucrativos do que os que não a utilizavam. O seu Secretário-Geral explicou a mudança de forma clara.

Estamos a assistir à industrialização da fraude.

— Valdecy Urquiza, Secretário-Geral, INTERPOL. Avaliação Global de Ameaças de Fraude Financeira, março de 2026

Dois casos mostram o que essa industrialização parece no ponto de contacto. A polícia de Hong Kong relatou uma fraude por videoconferência em fevereiro de 2024, na qual todos os participantes, exceto a vítima, eram deepfakes, custando 200 milhões de HK$. A polícia de Singapura rastreou uma perda de 4,9 milhões de S$ a um deepfake do Primeiro-Ministro. Ambos foram publicamente divulgados pela polícia, e ambos se baseiam na mesma fraqueza: uma pessoa num ecrã foi aceite como identificação.

Essa é a questão da proporcionalidade subjacente a cada regra neste artigo. As verificações de identidade estão a ser anexadas a cada vez mais ações quotidianas, e de cada vez a questão em aberto é se o dano justifica o atrito. Na Ásia, o dano é invulgarmente bem medido, o que é parte da razão pela qual a resposta tem sido como tem sido.

Nove mercados reescreveram as suas regras de identidade em catorze meses

Entre 16 de dezembro de 2024 e 22 de janeiro de 2026, nove mercados asiáticos alteraram as regras que regem a forma como as empresas verificam a identidade: Singapura, Vietname, Índia, Tailândia, Malásia, Filipinas, Japão, Coreia do Sul e Indonésia. A maioria dessas alterações já está em vigor. Os restantes prazos vão até 14 de maio de 2027.

A sequência é mais importante do que a contagem. Singapura avançou primeiro na responsabilidade, o Vietname avançou primeiro no acesso, e o Japão está a avançar primeiro no método. Cada um é uma alavanca diferente visando a mesma falha, e os que se moveram mais tarde puderam observar os que se moveram mais cedo.

Os reguladores noutros locais estão a usar a mesma estratégia em cronogramas diferentes. O Regulamento Anti-Branqueamento de Capitais da União Europeia anexa deveres de monitorização contínua a clientes existentes em vez de apenas à integração, e a Austrália está a incluir profissões inteiras num regime de identidade pela primeira vez.

n

Data	O que mudou	Estado
16 Dez 2024	Singapura, Quadro de Responsabilidade Partilhada Bancos e empresas de telecomunicações reembolsam vítimas de phishing onde violaram um dever anti-fraude prescrito. Emitido pela Autoridade Monetária de Singapura e pela Autoridade de Desenvolvimento de Mídia e Informação.	Em vigor
1 Jan 2025	Vietname, biometria controla banca online Sem acesso à banca online sem uma correspondência facial com a base de dados de identidade por chip nacional.	Em vigor
21 Fev 2025	Filipinas saem da lista cinzenta do GAFI Todos os 18 itens de ação concluídos após quatro anos sob monitorização intensificada.	Concluído
13 Abr 2025	Tailândia, co-responsabilidade por decreto de emergência Bancos, empresas de telecomunicações, fornecedores de carteiras digitais e plataformas partilham perdas de fraude, a menos que mostrem que cumpriram os padrões prescritos.	Em vigor
1 Jun 2025	Malásia, encarregados de proteção de dados e aviso de violação de 72 horas Fase final da Lei de Proteção de Dados Pessoais (Alteração) de 2024, Lei A1727.	Em vigor
1 Jul 2025	Singapura, Lei de Proteção Contra Fraudes A polícia pode restringir as contas bancárias de pessoas que se considere estarem prestes a transferir dinheiro para um burlão.	Em vigor
14 Nov 2025	Índia, Regras de Proteção de Dados Pessoais Digitais publicadas Deveres faseados iniciam um período de 18 meses até à plena aplicação.	Em vigor
1 Jan 2026	Vietname, Lei de Proteção de Dados Pessoais 91/2025 Contas não verificadas são suspensas de transações online.	Em vigor
22 Jan 2026	Coreia do Sul, Lei Básica de IA Reportada como o primeiro estatuto abrangente de inteligência artificial da Ásia; deepfakes devem ter rótulos claramente reconhecíveis.	Em vigor
31 Dez 2026	Singapura, proibição de autenticação NRIC Organizações privadas devem deixar de usar números de registo nacional para autenticar clientes.	A caminho
1 Abr 2027	Japão, verificações de identidade remotas apenas por chip Upload de fotos e verificação por correio abolidos para abertura remota de contas. Anunciado; a alteração estava perante a Dieta no momento da escrita.	A caminho
14 Mai 2027	Índia, Lei DPDP em plena força Avisos de violação, verificações de idade de crianças e auditorias de Grandes Fiduciários de Dados vinculam. Penalidades até 250 crore de rupias.	A caminho

Singapura fez bancos e empresas de telecomunicações pagar quando ignoraram um controlo exigido

O Quadro de Responsabilidade Partilhada de Singapura está em vigor desde 16 de dezembro de 2024. Emitido pela Autoridade Monetária de Singapura, estabelece deveres anti-fraude específicos para bancos e operadores de telecomunicações, e atribui a perda à parte que falhou um deles. É um regime de partilha de perdas em vez de uma multa, e o banco é avaliado primeiro.

Os deveres são concretos e não baseados em princípios: um período de reflexão após uma alteração de alto risco, alertas em tempo real sobre transferências de saída, um “kill switch” que o cliente pode usar para congelar uma conta. Um banco que ignorou um destes reembolsa a vítima de phishing. Se o banco cumpriu os seus deveres, a empresa de telecomunicações é avaliada em relação à sua própria lista. A vítima suporta a perda apenas quando ambas as instituições cumpriram.

Essa ordem é o design completo. Avalia a verificação fraca em reembolsos em vez de penalidades, o que significa que o custo recai independentemente de um regulador abrir um caso.

A Tailândia foi mais longe. O seu decreto de emergência alterado de 13 de abril de 2025 torna bancos, empresas de telecomunicações, fornecedores de carteiras digitais e plataformas online co-responsáveis por perdas de fraude, a menos que possam provar que cumpriram os padrões prescritos. As Filipinas criminalizaram o branqueamento de capitais e deram ao seu banco central poderes de retenção sobre fundos contestados.

Os próprios números de Singapura para o primeiro ano completo sob o quadro, publicados pela Força Policial de Singapura, registam uma queda nas perdas por fraude de 1,11 mil milhões de S$ em 2024 para 913 milhões de S$ em 2025, e nos casos de cerca de 51.500 para 37.300. A Força Policial de Singapura relata isso como o primeiro declínio anual nos casos de fraude registado. Não atribui a queda a uma única medida, e este artigo também não: o quadro, a Lei de Proteção contra Fraudes e uma campanha de sensibilização pública decorreram todos no mesmo período.

Perdas de fraude reportadas, primeiro ano completo do quadro — Fonte: Força Policial de Singapura, Relatório Anual de Fraudes e Cibercrime 2025

Período	Valor reportado
2024	1.11 S$bn
2025	913 S$m

Os casos caíram de cerca de 51.500 para 37.300 no mesmo período, o que a Força Policial de Singapura relata como o primeiro declínio anual registado. A força não atribui a queda a nenhuma medida específica.

O Vietname tornou a correspondência facial a condição para usar uma conta bancária

O Vietname exige uma correspondência facial com a base de dados de identidade por chip nacional para acesso à banca online desde 1 de janeiro de 2025, seguindo uma regra de 1 de julho de 2024 que se aplicava a transferências acima de 10 milhões de dong, aproximadamente 400 dólares. A partir de 1 de janeiro de 2026, as contas sem biometria verificada são totalmente suspensas de transações online.

Esta é uma alavanca diferente da de Singapura. Singapura avalia a falha após o facto; o Vietname remove o acesso antes. Uma conta que nunca correspondeu a um perfil de identidade por chip ou VNeID não transaciona online, independentemente do seu saldo.

A imprensa estatal vietnamita noticiou que cerca de 86 milhões de contas foram desativadas até setembro de 2025 por falha na verificação biométrica, cobrindo contas inativas, duplicadas e suspeitas de serem “mule accounts”. Esse número é relatado e não publicado pelo Banco Estatal do Vietname num comunicado recuperado para este artigo, e deve ser tratado como uma ordem de grandeza e não como uma contagem auditada.

A própria medição do Banco Estatal do Vietname do primeiro mandato, conforme relatado na imprensa estatal vietnamita para agosto de 2024 em comparação com a média mensal de janeiro a julho, colocou as perdas por fraude em cerca de 50% e o número de contas que recebem fundos fraudulentos em cerca de 72%. É o número mais claro de antes e depois que qualquer regulador na região ofereceu, e baseia-se numa única fonte.

A Tailândia restringe transferências móveis acima de 50.000 baht ao reconhecimento facial. Em todas as leis de privacidade da região, no Vietname, Indonésia, Tailândia e Malásia, os dados biométricos são agora sensíveis por lei, o que significa que as mesmas regras que exigem uma correspondência facial também restringem a forma como são armazenados.

O Japão está a retirar um método de verificação inteiro em vez de o apertar

O Japão anunciou que, a partir de 1 de abril de 2027, as verificações de identidade por upload de foto e por correio deixarão de ser aceites para a abertura remota de contas. Apenas a leitura do chip de circuito integrado num cartão My Number ou credencial equivalente será qualificada. A alteração estava perante a Dieta no momento da escrita, pelo que a data está anunciada mas não definida.

A distinção merece ser explicitada, pois é a que mais provavelmente quebrará um fluxo de integração existente. Todas as outras regras neste artigo pedem uma verificação mais rigorosa. O Japão está a remover um método: o upload de selfie mais documento, no qual a maioria das integrações remotas na região se baseia, deixa de ser uma via legal, independentemente de quão bem implementado esteja.

A leitura de chips é um caminho técnico diferente. Exige que o dispositivo do cliente leia um chip sem contacto e valide a assinatura nos dados que este devolve, que é o passo que substitui o upload de fotos que o Japão está a retirar. A Agência Digital do Japão publica a taxa de posse do cartão My Number, que ronda os 80% da população, pelo que a base de credenciais existe.

Singapura está a fazer uma versão mais restrita do mesmo movimento. A partir de 31 de dezembro de 2026, as organizações privadas devem deixar de usar os números do cartão de identificação de registo nacional para autenticar clientes. O número continua a ser um identificador; deixa de ser uma palavra-passe. Qualquer pessoa que tenha usado os últimos quatro dígitos de um número de identificação como pergunta de segurança está dentro do âmbito dessa mudança.

As obrigações diferem por dimensão, não por país

Em nove mercados asiáticos que reescreveram as regras de identidade entre dezembro de 2024 e janeiro de 2026, nenhum país é o mais rigoroso em tudo. O Vietname é o mais rigoroso no acesso biométrico, Singapura no método de autenticação, a Índia na auditoria e penalidade, a Malásia e a Tailândia nos prazos de violação. Um programa construído com a restrição mais rigorosa em cada dimensão satisfaz os nove.

A tabela abaixo é o resultado prático disso. Confirme os detalhes com um advogado local antes de confiar em qualquer linha: vários destes instrumentos têm regulamentação de implementação ainda pendente.

Mercado	Instrumento principal	Autoridade	Data chave
Índia	Lei DPDP 2023 e Regras 2025	Conselho de Proteção de Dados da Índia	Plena força 14 Mai 2027
Singapura	PDPA 2012, Quadro de Responsabilidade Partilhada, Lei de Proteção Contra Fraudes	PDPC, MAS, IMDA	Proibição de autenticação NRIC 31 Dez 2026
Vietname	Lei de Proteção de Dados Pessoais 91/2025	Ministério da Segurança Pública	Em vigor 1 Jan 2026
Tailândia	PDPA 2019 e decreto de emergência de crime tecnológico	PDPC, Banco da Tailândia	Co-responsabilidade desde 13 Abr 2025
Malásia	PDPA conforme alterado pela Lei A1727	Comissário de Proteção de Dados Pessoais	Todas as fases em vigor 1 Jun 2025
Filipinas	Lei de Privacidade de Dados 2012, AFASA 2024	NPC, Bangko Sentral ng Pilipinas	Saída da lista cinzenta 21 Fev 2025
Japão	APPI, alteração perante a Dieta	PPC, Agência de Serviços Financeiros	Verificações apenas por chip anunciadas para 1 Abr 2027
Coreia do Sul	PIPA, Lei Básica de IA	PIPC, Comissão de Serviços Financeiros	Lei Básica de IA em vigor 22 Jan 2026
Indonésia	Lei PDP 27/2022	Autoridade pendente	Regulamentação de implementação esperada

Os sistemas de identidade estatais são a outra metade da imagem. O Aadhaar ultrapassou 150 mil milhões de autenticações cumulativas em abril de 2025 e realiza aproximadamente 2,3 mil milhões de verificações por mês. As Filipinas foram mais longe na aceitação: o banco central instruiu todas as instituições supervisionadas a aceitar o cartão de identidade nacional em qualquer formato, sem necessidade de documentos suplementares. Onde uma ferrovia estatal atinge a maioria da população, os reguladores começam a tratá-la como a credencial padrão em vez de uma opção entre várias.

Principais conclusões

• O motor é medido, não assumido. O UNODC estima a economia de fraude do Sudeste Asiático em pouco menos de 40 mil milhões de dólares por ano. A INTERPOL contabilizou um aumento de 47% nos alertas de fraude na Ásia-Pacífico num ano.
• A responsabilidade moveu-se antes da tecnologia. O quadro de partilha de perdas de Singapura e o decreto de co-responsabilidade da Tailândia avaliam a verificação fraca em reembolsos em vez de multas. O custo recai sem um caso de aplicação.
• O Vietname removeu o acesso em vez de avaliar a falha. Desde 1 de janeiro de 2025, uma conta sem uma correspondência facial verificada com a base de dados de identidade por chip não faz transações bancárias online. A partir de janeiro de 2026, as contas não verificadas são suspensas.
• O Japão está a eliminar um método, não a elevar um padrão. A partir de abril de 2027, conforme anunciado, a verificação por upload de foto deixa de ser uma via legal para a abertura remota de contas. A leitura de chips torna-se o único caminho.
• A restrição mais rigorosa em cada dimensão é o objetivo de construção. Nenhum mercado é o mais rigoroso em tudo. Um programa construído com a regra mais apertada por dimensão abrange os nove.

Usar o Didit para os mandatos de verificação da Ásia

Três das alterações neste artigo são verificações e não políticas, e são essas que um fornecedor de verificação pode realizar. A mudança do Japão para verificações de identidade remotas apenas por chip a partir de abril de 2027 é um problema de leitura: a Leitura NFC a 0,15 $ por verificação lê o chip num cartão My Number ou credencial equivalente e valida a assinatura do que este retorna, que é o passo que substitui o upload de fotos que o Japão está a retirar. A correspondência facial do Vietname com a base de dados de identidade por chip nacional e o reconhecimento facial da Tailândia acima de 50.000 baht têm a mesma forma: Verificação de ID a 0,15 $ por verificação, Correspondência Facial (1:1) a 0,05 $ por verificação e Vivacidade Passiva a 0,10 $ por verificação. O limiar da Regra de Viagem da Coreia do Sul está previsto para desaparecer em agosto de 2026, o que faria com que os dados de identidade viajassem com cada transferência de criptomoeda, independentemente do tamanho, e é isso que a Regra de Viagem a 0,02 $ por transação cobre. Os preços atuais dos módulos estão listados na página de preços.

O que isto não cobre é a parte que decide quem paga. O Quadro de Responsabilidade Partilhada de Singapura atribui a perda com base em se um banco aplicou um período de reflexão, enviou um alerta em tempo real e ofereceu um “kill switch”. Esses são controlos dentro do seu próprio produto e operações, e nenhum fornecedor de verificação os realiza por si. Nem o Didit designa o seu estatuto de Fiduciário de Dados Significativo ao abrigo da Lei DPDP da Índia, executa as suas avaliações de impacto na proteção de dados, notifica um regulador de uma violação, ou decide a base legal pela qual detém os dados biométricos de um cliente. A verificação ajuda-o a cumprir os requisitos de identidade aqui descritos; as obrigações permanecem com a sua instituição.

Perguntas comuns

Os bancos têm de reembolsar as vítimas de fraude em Singapura?

Ao abrigo do Quadro de Responsabilidade Partilhada, em vigor desde 16 de dezembro de 2024, um banco que violou um dever anti-fraude prescrito reembolsa a vítima de uma fraude de phishing definida. As empresas de telecomunicações são avaliadas a seguir. A vítima suporta a perda apenas quando o banco e a empresa de telecomunicações cumpriram os seus deveres.

Quando é que a Lei de Proteção de Dados Pessoais Digitais da Índia entra em pleno vigor?

14 de maio de 2027. As Regras de Proteção de Dados Pessoais Digitais foram publicadas em 14 de novembro de 2025 com deveres faseados: os gestores de consentimento registam-se a partir de novembro de 2026, e a notificação de violação, verificação de idade de crianças e auditorias de Fiduciários de Dados Significativos tornam-se vinculativas a partir de maio de 2027. As penalidades podem atingir 250 crore de rupias, cerca de 29 milhões de dólares americanos.

A verificação biométrica é obrigatória para a banca na Ásia?

Num número crescente de mercados. O Vietname exige uma correspondência facial com a base de dados de identidade por chip nacional para acesso à banca online desde 1 de janeiro de 2025. A Tailândia exige reconhecimento facial para transferências móveis acima de 50.000 baht. O Japão anunciou que apenas a identidade baseada em chip será aceite para a abertura remota de contas a partir de abril de 2027.

Quais os países asiáticos que estão na lista cinzenta do GAFI?

De acordo com a declaração da Força Tarefa de Ação Financeira de junho de 2026, Vietname, Laos, Nepal e Papua Nova Guiné estão sob monitorização intensificada. Myanmar está sujeito a um apelo à ação. As Filipinas saíram da lista cinzenta em 21 de fevereiro de 2025, após terem cumprido todos os 18 pontos de ação.

O que é um Fiduciário de Dados Significativo ao abrigo da Lei DPDP da Índia?

Uma classe de grandes processadores de dados designada pelo governo indiano ao abrigo da Lei de Proteção de Dados Pessoais Digitais. Um Fiduciário de Dados Significativo deve realizar avaliações de impacto na proteção de dados e auditorias anuais, realizar a devida diligência algorítmica e observar restrições de transferência transfronteiriça. Estes deveres tornam-se vinculativos a partir de 14 de maio de 2027.

Leitura relacionada

• A América Latina reescreveu as suas regras de identidade em 21 meses — O mesmo padrão num continente diferente, com os prazos a agrupar-se no final de 2026.
• Regulamento AML Artigo 26: com que frequência deve verificar novamente? — Deveres de monitorização contínua que se aplicam a clientes existentes, não apenas à integração.
• AUSTRAC Tranche 2 para negociantes de metais e pedras preciosas — Como são as verificações de identidade no ponto de venda quando um setor entra num regime pela primeira vez.
• Revisão de crimes financeiros da FCA: mercados privados — O que um supervisor descobriu quando pediu a 242 empresas para descrever os seus próprios controlos.

Fontes

1. Ponto de Inflexão: crime organizado transnacional e centros de fraude no Sudeste Asiático — Gabinete das Nações Unidas sobre Drogas e Crime · 2025
2. Avaliação Global de Ameaças de Fraude Financeira 2026 — INTERPOL · Março de 2026
3. Diretrizes sobre o Quadro de Responsabilidade Partilhada — Autoridade Monetária de Singapura · em vigor 16 de dezembro de 2024
4. Início da Lei de Proteção contra Fraudes — Ministério do Assuntos Internos, Singapura · 1 de julho de 2025
5. Relatório Anual de Fraudes e Cibercrime 2025 — Força Policial de Singapura · 2026
6. Regras de Proteção de Dados Pessoais Digitais, 2025 — Gabinete de Informação à Imprensa, Governo da Índia · publicadas em 14 de novembro de 2025
7. Aadhaar ultrapassa 150 mil milhões de autenticações cumulativas — Gabinete de Informação à Imprensa, Governo da Índia · Abril de 2025
8. Pagamento sem dinheiro exige atualização de dados biométricos a partir de 1 de janeiro de 2025 — Portal do Governo do Vietname · Dezembro de 2024
9. Tailândia: decreto de emergência alterado reforça medidas contra crimes tecnológicos — Biblioteca do Congresso, Monitor Legal Global · Setembro de 2025
10. Lei de Proteção de Dados Pessoais (Alteração) de 2024, Lei A1727 — Comissário de Proteção de Dados Pessoais, Malásia · 2024
11. Todos os formatos de identificação nacional aceites em transações financeiras — PhilSys e Bangko Sentral ng Pilipinas · 2025
12. Saída das Filipinas da lista cinzenta do GAFI — Gabinete de Comunicações Presidenciais, Filipinas · 21 de fevereiro de 2025
13. Painel de taxa de penetração do cartão My Number — Agência Digital, Japão · 2026
14. Estatísticas de crimes da polícia de Hong Kong 2025 — Governo da RAE de Hong Kong · Fevereiro de 2026
15. Jurisdições sob monitorização intensificada, junho de 2026 — Força Tarefa de Ação Financeira · Junho de 2026

Quem escreveu isto

Tuan Nguyen — Crescimento · Didit

Escreve sobre verificação de identidade, fraude e conformidade na Didit.

Última revisão em 29 de julho de 2026, com base nas fontes acima