Durante muito tempo, proteger uma conta digital significava adicionar mais etapas ao login. Senha, código por SMS, biometria, token e novas confirmações. O problema é que aplicar o mesmo nível de exigência a todas as pessoas e situações aumenta a fricção — mas não necessariamente impede uma fraude.
No setor financeiro, esse modelo é especialmente limitado. Um acesso pode começar com uma credencial válida, partir de um dispositivo conhecido e, ainda assim, apresentar sinais suspeitos durante uma alteração cadastral, inclusão de favorecido ou transferência de alto valor.
É nesse ponto que a autenticação adaptativa no setor financeiro muda a lógica de proteção. Em vez de desafiar todos os clientes o tempo inteiro, ela analisa o contexto da jornada e intensifica a autenticação somente quando o risco exige.
Isso garante menos obstáculos para clientes legítimos e respostas mais rápidas contra tentativas de Account Takeover.
O que é Account Takeover?
Account Takeover, ou ATO, acontece quando um fraudador assume o controle de uma conta legítima para consultar dados, alterar informações cadastrais, contratar produtos ou realizar transações. O ataque pode começar de diferentes formas:
- Phishing;
- Reutilização de senhas vazadas;
- Credential stuffing;
- Engenharia social;
- Roubo de dispositivos;
- Interceptação de códigos de autenticação;
- Sequestro de sessões;
- Alteração indevida de telefone ou e-mail.
No credential stuffing, por exemplo, criminosos automatizam o teste de combinações de usuário e senha obtidas em vazamentos anteriores. Como muitas pessoas reutilizam credenciais, uma senha exposta em outro serviço pode abrir o acesso a uma conta financeira.
O desafio é que, depois da autenticação, as ações do invasor podem parecer legítimas para os sistemas. A credencial está correta. A sessão foi criada. A solicitação parte de uma conta real. Sem uma avaliação contextual, o sistema pode não perceber que a identidade digital está sendo utilizada fora de seu padrão esperado.
Por que o setor financeiro exige uma resposta diferente?
Bancos, fintechs, instituições de pagamento, seguradoras e plataformas de investimento operam jornadas digitais de alta frequência e alto impacto.
Uma pequena mudança no contexto pode representar uma ameaça relevante:
- Um cliente acessa a conta em um novo dispositivo;
- O telefone cadastrado é alterado;
- Um favorecido é incluído;
- Uma transferência atípica é solicitada;
- Várias tentativas acontecem em poucos minutos;
- O acesso ocorre de uma localização incompatível com o histórico;
- Uma conta recém-recuperada inicia uma operação sensível.
Ao mesmo tempo, essas instituições precisam oferecer uma experiência rápida e sustentável. Exigir biometria, token ou código adicional em todas as interações não só aumenta o abandono e os chamados de suporte, como também eleva o custo da operação com consultas biométricas, envio de SMS, uso de provedores de autenticação e processamento de verificações desnecessárias.
No Brasil, instituições financeiras e de pagamento também respondem a um ambiente regulatório mais rigoroso. A Resolução CMN nº 5.274 e a Resolução BCB nº 538, publicadas em dezembro de 2025, reforçaram os requisitos de segurança cibernética aplicáveis às instituições reguladas pelo Banco Central, incluindo controles de acesso, autenticação multifator e proteção das infraestruturas conectadas ao Sistema Financeiro Nacional e ao Sistema de Pagamentos Brasileiro.
Nesse contexto, avaliar continuamente o risco e aplicar controles proporcionais a cada interação ajuda a fortalecer a proteção das jornadas financeiras e a evolução da conformidade — sem impor fricção indiscriminada aos clientes.
O que é autenticação adaptativa?
A autenticação adaptativa é uma abordagem que ajusta o nível de autenticação de acordo com o risco identificado em cada interação.
Em uma jornada de baixo risco, o cliente pode prosseguir sem uma verificação adicional. Quando surgem sinais suspeitos, a instituição pode solicitar um novo fator de autenticação. Em situações críticas, o acesso ou a transação pode ser bloqueado.
Na prática, o processo trabalha com três respostas principais:
| Classificação | Resposta da jornada | Exemplo |
| Baixo risco | Liberar | Login em dispositivo conhecido e comportamento habitual |
| Risco intermediário | Intensificar a autenticação | Novo dispositivo ou operação fora do padrão |
| Alto risco | Bloquear ou encaminhar para análise | Dispositivo comprometido, velocidade anormal ou múltiplos sinais críticos |
Essa lógica permite que o MFA deixe de ser uma barreira fixa e passe a funcionar como uma resposta contextual.
Como a autenticação adaptativa identifica uma tentativa de ATO?
Um único sinal raramente conta toda a história. Um cliente pode trocar de celular, viajar ou realizar uma transferência maior do que o habitual sem que isso represente fraude. Por isso, a autenticação baseada em risco funciona melhor quando correlaciona diferentes informações.
Dispositivo
O sistema verifica se o dispositivo já está associado à identidade digital, se apresenta sinais de comprometimento ou se está sendo utilizado por um número incomum de contas. Alguns indicadores incluem:
- Dispositivo desconhecido;
- Emulador;
- Root ou jailbreak;
- Mudança repentina de hardware;
- Muitas identidades associadas ao mesmo dispositivo;
- Acesso de uma identidade em vários dispositivos em pouco tempo.
Rede e localização
O endereço IP, o país, a região e a rede ajudam a identificar inconsistências. Um acesso pode receber maior nível de risco quando ocorre em uma localização inesperada, parte de uma rede classificada como suspeita ou representa uma viagem impossível em relação à interação anterior.
Frequência e velocidade
A análise de velocidade observa quantas ações são executadas dentro de determinado período. Tentativas repetidas de login, inclusão de vários favorecidos, mudanças cadastrais sucessivas ou transações realizadas em intervalos incompatíveis com o comportamento humano podem indicar automação ou tomada de conta.
Comportamento
O modo como a pessoa utiliza o canal também ajuda a construir confiança. Horário, sequência de navegação, histórico de operações, valores movimentados e padrões de uso podem revelar que uma credencial legítima está sendo utilizada por outra pessoa.
Sensibilidade da ação
O risco não depende apenas de quem está acessando, mas também do que está sendo solicitado. Consultar um saldo e alterar o telefone usado para recuperação de conta representam exposições diferentes. A autenticação adaptativa permite aplicar políticas mais rigorosas a ações capazes de ampliar o controle sobre a conta ou gerar perdas financeiras.
Por que MFA em todas as etapas não resolve o problema?
O MFA é uma camada importante contra reutilização de credenciais e ataques automatizados. A própria OWASP recomenda sua adoção para reduzir credential stuffing, força bruta e uso de credenciais roubadas.
Mas o MFA estático tem limitações. Quando a mesma validação é exigida em todas as situações, o cliente passa por fricção mesmo quando não existe risco relevante. Além disso, fatores mais frágeis podem ser comprometidos junto com a senha ou manipulados por engenharia social.
A autenticação adaptativa não substitui o MFA. Ela define quando acioná-lo, qual fator utilizar e qual nível de confiança exigir.
Onde aplicar autenticação adaptativa nas jornadas financeiras?
Limitar a análise ao momento do login deixa partes importantes da jornada desprotegidas. O risco deve ser observado continuamente, principalmente antes de ações capazes de aumentar o controle sobre a conta ou movimentar recursos.
Login e recuperação de acesso
Um login em dispositivo conhecido pode seguir com pouca ou nenhuma fricção. Já uma recuperação de senha iniciada em um dispositivo desconhecido deve exigir uma validação mais forte.
A recuperação merece atenção especial porque pode permitir que o fraudador substitua os fatores legítimos do cliente pelos próprios meios de autenticação.
Troca de dispositivo
A ativação de um novo celular pode exigir comprovação adicional da identidade digital, principalmente quando ocorre perto de alterações cadastrais ou transações financeiras.
Alteração de telefone, e-mail ou senha
Mudanças nos canais usados para autenticação e recuperação podem representar uma etapa preparatória do Account Takeover.
A instituição pode aplicar step-up de autenticação, estabelecer um período de segurança ou restringir temporariamente determinadas operações.
Inclusão de favorecidos
A inclusão de uma nova conta destinatária pode ser avaliada em conjunto com dispositivo, localização, histórico e valor pretendido.
Um novo favorecido seguido imediatamente por uma transferência elevada representa um contexto diferente de uma operação recorrente para um destinatário conhecido.
Transações sensíveis
Valor, frequência, horário, perfil da conta e histórico devem participar da decisão. O objetivo não é impedir operações fora do padrão, mas aumentar a confiança antes de autorizá-las.
Manutenção da sessão
A autenticação inicial não deve garantir confiança ilimitada. Uma sessão longa, uma alteração repentina de rede ou uma sequência incomum de ações pode exigir nova autenticação, revogação de tokens ou encerramento preventivo da sessão.
Como reduzir a fricção sem flexibilizar a segurança?
A melhor experiência não é aquela que elimina todos os controles. É aquela que apresenta o controle certo no momento certo. Para isso, a estratégia deve seguir alguns princípios.
Reconhecer contextos confiáveis
Dispositivos previamente associados, padrões recorrentes e operações habituais podem ajudar a reduzir desafios desnecessários.
Essa confiança não deve ser permanente. Ela precisa ser reavaliada sempre que o contexto mudar.
Aplicar step-up somente quando necessário
Uma validação adicional deve responder a um risco identificado, e não funcionar como obstáculo padrão.
O cliente legítimo percebe menos interrupções. Já o fraudador encontra barreiras justamente nos momentos de maior impacto.
Escolher o fator de acordo com o risco
Nem toda situação exige o mesmo método. A instituição pode orquestrar passkeys, biometria, TOTP, push, e-mail, SMS ou outros provedores de acordo com o canal, o contexto e a criticidade da ação.
Explicar o motivo do desafio
Mensagens claras reduzem a sensação de erro ou bloqueio injustificado. Em vez de uma comunicação genérica, a jornada pode informar que uma confirmação adicional é necessária porque um novo dispositivo foi identificado ou porque a operação exige maior proteção.
Avaliar também o resultado da ação
A análise não termina quando a transação é autorizada. Registrar o resultado, atualizar associações entre identidade e dispositivo e incorporar novos sinais ao histórico melhora as próximas decisões.
O papel da orquestração na prevenção de Account Takeover
Nas instituições financeiras, a prevenção a fraudes costuma depender de várias tecnologias que atuam em pontos diferentes da jornada: biometria, motores antifraude, autenticação, device intelligence, bureaus e sistemas internos.
O desafio aparece quando cada solução analisa apenas uma parte do contexto e as respostas não estão conectadas.
A orquestração reduz essa fragmentação ao reunir os sinais de risco e transformá-los em uma decisão coordenada para a jornada. Assim, a empresa pode criar regras como:
“Quando uma identidade digital acessar por um novo dispositivo, alterar seu telefone e tentar realizar uma transferência fora do padrão, solicitar uma autenticação resistente a phishing antes de concluir a operação.”
Sem essa camada, cada aplicação precisa implementar integrações, regras e exceções individualmente. Isso aumenta a dependência de desenvolvimento, fragmenta políticas e dificulta mudanças rápidas.
Como implementar autenticação adaptativa no setor financeiro
Uma implementação eficiente pode começar pelas jornadas de maior impacto, sem tentar transformar toda a arquitetura de uma vez.
O primeiro passo é mapear as ações que realmente ampliam o risco, como recuperação de conta, troca de dispositivo, alterações cadastrais e transferências.
Depois, a instituição precisa identificar quais sinais já estão disponíveis e quais ainda precisam ser integrados. Dispositivo, IP, localização, histórico e dados da transação geralmente oferecem uma boa base inicial.
Em seguida, é necessário definir as respostas para cada nível de risco. Não basta calcular um score: a jornada precisa saber quando liberar, intensificar a autenticação, limitar funcionalidades, bloquear ou encaminhar para análise.
Por fim, as regras devem ser acompanhadas continuamente. Taxa de desafios, falsos positivos, abandono, fraude evitada e tempo de autenticação ajudam a ajustar o equilíbrio entre proteção e experiência.
Segurança sem fricção não significa segurança invisível o tempo todo
Nem toda autenticação precisa desaparecer. Em alguns momentos, pedir uma confirmação adicional é exatamente o que protege o cliente.
A diferença está em não transformar exceções em regra. A autenticação adaptativa no setor financeiro permite tratar cada interação de acordo com seu contexto. Clientes legítimos realizam ações habituais com fluidez. Situações suspeitas recebem uma camada adicional. Tentativas críticas são interrompidas antes de se transformarem em fraude.
Account Takeover não é contido apenas com mais autenticação. É contido com decisões melhores ao longo de toda a jornada.
E essa discussão vai além da prevenção a fraudes. Com a Resolução CMN nº 5.274 e a Resolução BCB nº 538, identidade digital, autenticação, rastreabilidade e controles de acesso ganham ainda mais relevância para as instituições financeiras.
Sua estratégia de identidade digital está preparada para esse novo cenário?
Conheça os principais impactos das novas regras e veja como fortalecer os controles de identidade digital da sua instituição.
