Um CPF vazado, uma senha obtida por engenharia social e um e-mail comprometido já bastam para que um fraudador se passe por outra pessoa em um checkout ou em um app financeiro. O que ele dificilmente consegue copiar é o aparelho da vítima e o jeito como ela usa esse aparelho. É nessa lacuna que atua a análise de fingerprint, ou impressão digital do dispositivo: um conjunto de atributos técnicos que, combinados, permite reconhecer se a transação vem do equipamento habitual do cliente ou de um ambiente nunca visto antes.
O tema deixou de ser nicho de times de segurança. Desde 1º de novembro de 2024, o Banco Central exige que celulares, computadores e tablets ainda não usados para Pix sejam cadastrados na instituição do cliente, com autenticação em dois fatores. Sem esse cadastro, cada transação fica limitada a R$ 200, até R$ 1.000 por dia. Segundo o próprio BC, o objetivo é impedir que golpistas façam Pix de alto valor mesmo quando já têm a senha do usuário, cenário típico do golpe da falsa central. Na prática, o regulador passou a tratar o dispositivo como um fator de confiança tão relevante quanto a credencial.
O movimento acompanha o tamanho do investimento do setor. A Pesquisa Febraban de Tecnologia Bancária 2026 estima o orçamento de tecnologia dos bancos em R$ 50,4 bilhões neste ano, crescimento de 58% em cinco anos, e aponta a cibersegurança como prioridade de alta ou média relevância para 100% das instituições participantes. Para varejistas, financeiras e fintechs fora do sistema bancário, a consequência é direta: o fraudador que encontra mais barreiras nos bancos migra para onde a verificação é mais fraca.
O que é o fingerprint de dispositivo
O fingerprint é um identificador construído a partir de características que o próprio aparelho e o navegador expõem durante a navegação ou o uso de um aplicativo. Nenhum desses dados identifica alguém isoladamente, mas a combinação deles forma um perfil com alta capacidade de distinção. Entre os atributos mais usados estão:
- sistema operacional, versão e idioma configurado;
- modelo do aparelho, resolução de tela e capacidade de hardware;
- navegador, plugins, fontes instaladas e forma como o dispositivo renderiza gráficos;
- fuso horário, endereço IP, tipo de conexão e sinais de uso de VPN, proxy ou rede de anonimização;
- indícios de ambiente manipulado, como emuladores, aparelhos com root ou jailbreak e navegadores antidetecção.
Diferentemente do que acontecia nos primeiros sistemas, a coleta hoje não depende de o cliente instalar nada. Ela é feita por um script no site ou por um SDK integrado ao aplicativo, de forma transparente, no momento do cadastro, do login ou do pagamento.
Como a análise funciona na prática
A cada interação, o sistema antifraude gera o fingerprint do dispositivo e o compara com o histórico associado àquele CPF, conta ou cartão. Três perguntas orientam a decisão:
Este dispositivo já foi visto com este cliente? Um aparelho recorrente, usado há meses nas mesmas condições, reduz o risco e permite aprovar com menos fricção.
Este dispositivo já foi visto com outros clientes? Quando o mesmo aparelho aparece vinculado a dezenas de CPFs ou cartões diferentes em poucos dias, o padrão é típico de fábricas de contas, teste de cartões e fraude de cadastro em escala.
O ambiente é coerente com o restante da transação? Um pedido com endereço de entrega em Porto Alegre, IP de outro país, fuso horário inconsistente e navegador em modo emulado acumula sinais que, juntos, indicam alta probabilidade de fraude.
O resultado não é um “sim” ou “não” isolado, e sim um componente do score de risco. Por isso, a mesma informação pode gerar desfechos diferentes: aprovação direta, pedido de autenticação adicional ou bloqueio.
Por que o fingerprint não funciona sozinho
O fingerprint é um sinal probabilístico, não uma prova de identidade. Três fatores limitam o uso isolado:
- Proteções de privacidade dos navegadores. Navegadores e sistemas operacionais vêm reduzindo os dados expostos a sites justamente para dificultar o rastreamento, o que diminui a precisão de identificadores baseados apenas em atributos do navegador.
- Ferramentas de falsificação. Navegadores antidetecção e emuladores permitem que um mesmo fraudador simule centenas de “dispositivos novos”. Detectar a manipulação em si passou a ser tão importante quanto ler os atributos.
- Clientes legítimos também trocam de aparelho. Celular novo, atualização de sistema ou uso de um computador compartilhado geram um fingerprint desconhecido para um cliente verdadeiro. Bloquear automaticamente nesses casos produz falsos positivos e venda perdida.
A resposta do mercado tem sido tratar o dispositivo como uma camada dentro de uma orquestração de sinais. Na prática, isso significa cruzar o fingerprint com:
- biometria facial com prova de vida, para confirmar que há uma pessoa real diante da câmera e que ela corresponde ao titular;
- validação de dados cadastrais em bases de informação, para verificar consistência entre CPF, nome, endereço, telefone e e-mail;
- análise comportamental, que observa velocidade de digitação, navegação e horários habituais;
- autenticação adicional por token via SMS ou e-mail, acionada só quando o risco justifica;
- regras por fluxo de negócio e score por segmento, porque o padrão de fraude em uma venda de eletrônicos é diferente do de uma concessão de crédito.
Essa combinação tem um efeito que vai além de barrar fraudes: ela permite aprovar com menos atrito o cliente cujo dispositivo e comportamento já são conhecidos e reservar a fricção para os casos realmente suspeitos.
Fingerprint e LGPD
Como o fingerprint pode ser associado a uma pessoa, ele deve ser tratado como dado pessoal sob a Lei Geral de Proteção de Dados. A própria LGPD prevê a prevenção à fraude e a segurança do titular nos processos de identificação e autenticação de cadastro como hipótese para o tratamento de dados, inclusive dados sensíveis como a biometria (art. 11, II, “g”). Isso não dispensa as boas práticas: informar a finalidade na política de privacidade, coletar apenas o necessário para a análise de risco, definir prazos de retenção e não reutilizar os dados para outras finalidades, como publicidade.
O que avaliar em uma solução com análise de dispositivo
Para quem está comparando ferramentas, alguns critérios separam uma análise de dispositivo útil de um identificador que apenas gera alertas:
- capacidade de detectar emuladores, root, jailbreak e navegadores antidetecção, e não apenas de ler atributos;
- integração do sinal de dispositivo ao score de risco e ao motor de regras, em vez de um relatório separado;
- possibilidade de acionar autenticação adicional de forma seletiva, sem penalizar todos os clientes;
- funcionamento em web e aplicativo, com a mesma visão do cliente nos dois canais;
- tempo de resposta compatível com o checkout e com a decisão em tempo real;
- aderência à LGPD, com documentação clara sobre coleta, finalidade e retenção.
Perguntas frequentes
É a identificação do dispositivo usado em uma transação a partir da combinação de atributos técnicos, como sistema operacional, navegador, configurações de tela, rede e sinais de manipulação. O sistema compara esse perfil com o histórico do cliente para estimar o risco.
Não. A biometria por impressão digital lê o dedo da pessoa. O fingerprint de dispositivo identifica o aparelho e o ambiente de navegação, sem coletar dados biométricos.
Não com segurança. Ele é um sinal de risco que precisa ser combinado com validação cadastral, biometria facial com prova de vida, análise comportamental e regras de negócio para reduzir fraudes sem aumentar os falsos positivos.
Sim, no princípio. Desde novembro de 2024, o Banco Central limita transações Pix feitas em dispositivos não cadastrados a R$ 200 por operação e R$ 1.000 por dia, reconhecendo o dispositivo como um fator de segurança relevante contra golpes com senha roubada.
Sim, desde que haja finalidade clara de prevenção à fraude e segurança, transparência com o titular, coleta mínima e prazos de retenção definidos. A LGPD prevê expressamente a prevenção à fraude em processos de identificação e autenticação.
Prevenção à fraude com a B2e
A B2e atua há 13 anos em prevenção à fraude e decisão de crédito e combina análise de dispositivo, biometria facial com prova de vida, validação cadastral e regras por fluxo de negócio em uma única decisão de risco. No varejo, a operação mantém índice médio de 0,02% de chargeback.
Converse com um especialista da B2e e veja como a análise de dispositivo se encaixa na sua operação.
