Motor de crédito para fraude: guia para camada antifraude

Principais lições deste artigo

• Separar fraud_score e credit_score: a camada antifraude deve bloquear identidades fraudulentas antes de qualquer análise de crédito.

• Operar em pipelines independentes: regras determinísticas e scoring de ML funcionam com latência abaixo de 300 ms e audit trail separado para atender Bacen e ANPD.

• Usar fontes brasileiras especializadas: Rufra, Open Finance, birôs e base CNPJ da Receita Federal são essenciais para detectar fraudes de identidade sintética e engenharia social.

• Evitar erros recorrentes: misturar scores, usar apenas regras estáticas ou ignorar logs por camada reduz precisão e aumenta risco de sanções regulatórias.

• Acelerar a implementação: com a solução full-stack da Celcoin, fintechs, bancos digitais, varejistas e ERPs implementam essa arquitetura em poucos dias, veja como acelerar sua implementação.

Definição de motor de crédito com camada antifraude

Um motor de crédito é o conjunto de regras, modelos estatísticos e fontes de dados que automatiza decisões de concessão, precificação e limite de crédito. Dentro dessa arquitetura, dois scores precisam existir de forma estritamente separada.

• fraud_score: probabilidade de que a identidade ou o comportamento associado à solicitação seja fraudulento. O cálculo usa sinais cadastrais, velocidade de transações, consistência geográfica e análise de grafos de relacionamento.

• credit_score: probabilidade de inadimplência de um tomador legítimo. O cálculo usa histórico de pagamentos, renda, endividamento e dados do Cadastro Positivo.

A camada antifraude independente aplica regras de bloqueio em tempo real com base no fraud_score antes de qualquer consulta ao credit_score. Essa ordem impede que dados de identidades fraudulentas contaminem o modelo de crédito. Essa separação também garante que o audit trail, exigido pelo Banco Central e pela ANPD, registre cada etapa de forma independente e rastreável.

Como funciona na prática?

Um motor de crédito com camada antifraude independente segue um fluxo em que a análise de fraude sempre ocorre antes da análise de crédito. Somente solicitações aprovadas pela camada antifraude chegam ao modelo de credit_score.

1. Ingestão via API gateway: a solicitação de crédito entra pelo gateway, que publica o evento em uma fila de mensagens, como Kafka. Esse desenho desacopla a ingestão do scoring e garante durabilidade e replay independente de qualquer sistema de crédito downstream. Essa separação é o primeiro requisito arquitetural de uma camada antifraude independente.

2. Consulta a fontes brasileiras de identidade: o sistema consulta em paralelo birôs de crédito, como Serasa Experian, Quod, Equifax/Boa Vista e TransUnion, além de SPC, base CNPJ da Receita Federal e APIs de KYC/KYB para validação cadastral de CPF e CNPJ.

3. Enriquecimento com Open Finance: com consentimento do usuário, dados transacionais do Open Finance, que superou 42 milhões de consentimentos ativos no início de 2024, alimentam verificações de fluxo de caixa, recorrência e sazonalidade para detecção de anomalias comportamentais.

4. Regras determinísticas de bloqueio, em 1 a 5 ms: um motor de regras avalia sinais como blocklists, inconsistências geográficas e limiares de velocidade. Essa etapa ocorre antes de qualquer scoring por ML e pode bloquear uma parcela relevante das fraudes antes de o modelo ser invocado.

5. Scoring de ML e cálculo do fraud_score: somente transações não bloqueadas pelas regras chegam ao modelo de ML, que gera um fraud_score entre 0 e 1. Sistemas de produção bem configurados completam essa etapa com baixa latência.

6. Verificações de velocidade e análise de grafos: checagens de frequência de solicitações por CPF, dispositivo e IP, combinadas com análise de grafos de relacionamento, identificam redes de fraude coordenada que regras simples não capturam.

7. Decisão de bloqueio independente: uma camada de orquestração traduz o fraud_score em ações, como aprovar, acionar autenticação adicional ou bloquear, usando limiares dinâmicos ajustáveis independentemente dos modelos de crédito.

8. Encaminhamento ao motor de crédito: após a aprovação pela camada antifraude, a solicitação segue para o cálculo do credit_score. Essa etapa mantém os dois pipelines estritamente separados.

9. Geração automática de audit trail: cada etapa gera um registro com timestamp em sub-segundo, base legal do processamento, inputs utilizados e decisão tomada, em linha com as exigências do Bacen e da ANPD.

Implemente esse fluxo com a infraestrutura da Celcoin, incluindo APIs modulares, antifraude e relatórios regulatórios integrados.

Panorama regulatório atual

Dois marcos regulatórios definem as obrigações de sistemas automatizados de decisão de crédito no Brasil.

• LGPD, artigo 20: quando um sistema automatizado produz decisão com efeitos legais ou impacto significativo sobre o titular, incluindo scoring de crédito, aprovação de transação ou sinalização de fraude, o titular tem direito à revisão humana, e o controlador deve fornecer informações claras sobre critérios e procedimentos utilizados.

• Resolução CMN 4.893, do Bacen: qualquer agente autônomo que opere em fluxos críticos como decisão de crédito deve ser integrado ao framework de risco tecnológico da instituição supervisionada, mantendo a responsabilidade regulatória na entidade supervisionada.

O audit trail mínimo exigido para sistemas de decisão automatizada em serviços financeiros brasileiros deve incluir eventos de decisão com timestamp em sub-segundo vinculados a inputs específicos, base legal registrada no momento do processamento, transferências internacionais de dados com o mecanismo utilizado e cadeia de autorização navegável do consentimento do titular até a autoridade operacional do agente.

Boas práticas de arquitetura

Operações de crédito que buscam robustez antifraude e conformidade regulatória se beneficiam de algumas práticas técnicas específicas, que organizam o fluxo de decisão e reduzem riscos.

• Separação estrita de fraud_score e credit_score: os dois pipelines devem ter bases de dados, modelos e logs independentes. Scores de fraude são projetados para reduzir inadimplência no primeiro pagamento e detectar identidades sintéticas, funções diferentes do credit_score.

• Regras de bloqueio autônomas e versionadas: o modelo recomenda, e as regras decidem. Regras determinísticas, versionadas e auditáveis tomam a decisão de ação com base no sinal de probabilidade do modelo de fraude.

• Geração automática de logs em cada checkpoint: checkpoints determinísticos geram uma cadeia de rastreamento da decisão, do alerta à revisão e à ação, fornecendo registro completo e auditável para qualquer transação.

• Fallback para modo apenas regras: a camada de orquestração deve lidar com timeouts e acionar fallback para o motor de regras quando o modelo de ML não responder dentro do SLA.

• Monitoramento de drift: monitorar a distribuição de resultados dos checkpoints ao longo do tempo, como a razão entre alertas suprimidos e escalados, permite detectar drift do modelo antes que o desvio chegue aos clientes.

• Integração com Rufra e Open Finance: a Resolução 501 do Banco Central expandiu o compartilhamento de informações via Rufra, o que torna a integração com esse registro colaborativo uma prática essencial para detecção de fraudes entre instituições.

Implemente essas práticas com o banking da Celcoin, que reúne APIs, compliance integrado e suporte especializado.

Erros comuns e riscos

Alguns erros de arquitetura e de operação comprometem a eficácia do motor de crédito e aumentam o risco regulatório.

• Misturar fraud_score e credit_score em um único modelo: quando os dois scores são calculados conjuntamente, uma identidade fraudulenta com bom histórico de crédito pode ser aprovada, e um tomador legítimo com comportamento atípico pode ser bloqueado indevidamente. Essa mistura contamina os dados de treinamento e degrada ambos os modelos ao longo do tempo.

• Depender apenas de regras estáticas: mesmo quando os scores são separados, regras fixas sem atualização dinâmica não acompanham a evolução dos vetores de ataque. Limiares dinâmicos que se ajustam ao risco do canal, ao horário e ao perfil do solicitante mantêm a precisão em cenários de fraude mutáveis.

• Ausência de audit trail separado por camada: mesmo com regras mais modernas, a falta de logs independentes para a camada antifraude e para o motor de crédito impede que a instituição demonstre ao Bacen ou à ANPD qual critério gerou cada decisão. Esse cenário aumenta o risco de sanções regulatórias e dificulta o atendimento ao direito de revisão humana previsto na LGPD.

• Não integrar fontes brasileiras específicas: ignorar o Rufra, o Cadastro Positivo ou dados de Open Finance reduz a cobertura de sinais antifraude para perfis sem histórico bancário extenso. Esse grupo costuma ser mais vulnerável a fraudes de identidade sintética.

• Processar decisões fora do SLA de latência: o caminho síncrono completo de decisão deve ser concluído em menos de 300 ms. Arquiteturas que não atingem esse SLA introduzem timeouts e degradam a experiência do usuário legítimo.

Evite esses erros desde o início com o banking da Celcoin, que oferece camada antifraude independente, audit trail automatizado e conformidade regulatória em uma única plataforma.

Aplicações em diferentes perfis

A mesma arquitetura de camada antifraude independente se adapta a perfis de empresas com necessidades distintas.

• Fintechs em lançamento: precisam de uma camada antifraude operacional desde o primeiro dia, sem capacidade de construir infraestrutura própria. APIs modulares de prevenção de fraude, KYC e Open Finance permitem lançar com conformidade regulatória sem desenvolvimento interno extenso.

• Bancos digitais em escala: lidam com volumes crescentes de solicitações e precisam de motor de regras com limiares dinâmicos, integração com Rufra e audit trail automatizado para atender às obrigações de reporte ao Bacen, como SCR e CADOCs, sem multiplicar fornecedores.

• Varejistas com crédito próprio: atuam fora do núcleo financeiro e muitas vezes não possuem infraestrutura regulatória. O modelo BaaS permite que o varejista ofereça crédito com marca própria utilizando a licença e a camada antifraude de um parceiro tecnológico, sem obter licença própria imediatamente.

• ERPs: integram crédito diretamente no fluxo de gestão dos clientes empresariais. A camada antifraude embarcada no ERP reduz inadimplência e fraude na concessão de crédito B2B sem exigir que o cliente final interaja com sistemas externos.

Solução full-stack da Celcoin

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária. A empresa oferece APIs modulares para prevenção de fraude, Open Finance, KYC, Core Banking e relatórios regulatórios automatizados, como SCR, CADOCs, COSIF e DIMP, em uma única plataforma. Fintechs, bancos digitais, varejistas e ERPs podem iniciar utilizando as licenças da Celcoin no modelo BaaS e, depois, migrar para licenças próprias mantendo a mesma base tecnológica. A Celcoin media mais de R$ 30 bilhões em transações por mês e atende mais de 6 mil clientes.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A tabela a seguir resume funcionalidades do banking da Celcoin e os benefícios diretos para a operação de crédito e antifraude da sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando em altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta de pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Perguntas frequentes

Como separar fraud_score de credit_score?

A separação exige que os dois scores sejam calculados por pipelines tecnicamente independentes, com bases de dados, modelos e logs distintos. O fraud_score deve ser calculado e aplicado em uma camada anterior ao motor de crédito. Somente solicitações que passam pelo bloqueio antifraude chegam ao cálculo do credit_score.

Na prática, o motor de regras e o modelo de ML antifraude operam sobre sinais de identidade, comportamento e velocidade. O modelo de crédito opera exclusivamente sobre dados de capacidade de pagamento de um solicitante já validado como legítimo. Misturar os dois scores em um único modelo compromete a precisão de ambos e impede a geração de audit trails separados exigidos pelo Bacen e pela ANPD.

Quais fontes de dados brasileiras são usadas na camada antifraude?

A camada antifraude de um motor de crédito brasileiro normalmente combina várias fontes especializadas.

• Birôs de crédito: Serasa Experian, Quod, Equifax/Boa Vista e TransUnion fornecem sinais de fraude, histórico de pagamentos e dados do Cadastro Positivo.

• SPC e Serasa: registros de inadimplência e alertas de uso indevido de CPF e CNPJ.

• Base CNPJ da Receita Federal: registro cadastral público de empresas, sócios e estabelecimentos, usado para validação de identidade jurídica e KYB.

• Rufra, Registro Unificado de Fraudes: base colaborativa do Banco Central que consolida registros de fraude compartilhados pelas instituições financeiras, expandida pela Resolução 501.

• Open Finance: dados transacionais consentidos pelo usuário, com fluxo de caixa, recorrência e padrões de movimentação, usados para verificações de velocidade e detecção de anomalias comportamentais, em linha com os mais de 42 milhões de consentimentos ativos já mencionados.

• APIs de KYC e KYB: plataformas de enriquecimento cadastral e verificação de identidade que combinam fontes públicas e privadas para validação em tempo real durante o onboarding.

Quais requisitos de auditoria o Bacen e a ANPD exigem?

O Bacen, por meio da Resolução CMN 4.893, exige que sistemas autônomos de decisão em fluxos críticos como crédito sejam integrados ao framework de risco tecnológico da instituição supervisionada, mantendo a responsabilidade regulatória na entidade supervisionada. A ANPD, com base no artigo 20 da LGPD, determina que decisões automatizadas com efeitos legais ou impacto significativo sobre o titular sejam acompanhadas do direito à revisão humana e de informações claras sobre critérios e procedimentos utilizados.

Conforme detalhado no panorama regulatório, o audit trail deve registrar cada evento de decisão com timestamp preciso, base legal e cadeia de autorização completa. Esses registros precisam ser gerados automaticamente e de forma separada para a camada antifraude e para o motor de crédito, o que permite rastreabilidade individual de cada decisão.

Tire dúvidas com especialistas da Celcoin e veja como implementar essa arquitetura em poucos dias.

Conclusão

Uma arquitetura antifraude independente, com fraud_score calculado e aplicado antes de qualquer avaliação de credit_score, regras de bloqueio autônomas em tempo real e audit trail automatizado por camada, é o requisito central para operações de crédito seguras e escaláveis no Brasil. O crescimento das fraudes digitais, somado às exigências do Bacen e da ANPD, torna essa separação uma obrigação regulatória e não apenas uma boa prática de engenharia.

Empresas que constroem ou adquirem essa infraestrutura desde o início reduzem perdas operacionais, protegem seus modelos de crédito contra contaminação por dados fraudulentos e ganham agilidade para responder a mudanças regulatórias. O banking da Celcoin oferece a base tecnológica e regulatória para implementar essa arquitetura com rapidez, mantendo foco no crescimento do negócio.