Criminosos usam Telegram para burlar verificações de identidade em bancos

O Telegram deixou de ser apenas um canal de comunicação para se tornar uma infraestrutura criminosa completa: grupos fechados vendem câmeras virtuais, deepfakes em tempo real e kits de hooking capazes de injetar código malicioso diretamente nos aplicativos bancários durante a verificação KYC. Essas ferramentas não são amadoras, elas enganam sistemas que usam detecção de vivacidade baseada em movimento ocular, piscar e iluminação, e já foram usadas para fraudar fintechs brasileiras que adotaram onboarding 100% digital. Um relatório da Sumsub mostra que tentativas de fraude multi-etapa com câmera virtual quase triplicaram entre 2025 e 2026, e a iProov registrou aumento de 25x no uso global dessas técnicas em 2024 frente a 2023.

Essa escalada tem custo real: o Pix registrou R$ 2,5 bilhões em tentativas de fraude em 2025, e o custo médio de resposta a um incidente com deepfake supera US$ 4 milhões em grandes bancos. O que diferencia esse ciclo é a industrialização, o Kali365, por exemplo, é um serviço de phishing-as-a-service operado via Telegram que já foi rastreado atacando contas Microsoft 365 com iscas como 'SharePoint, Documento Compartilhado', mostrando que o mesmo ecossistema criminoso que explora e-mails corporativos também alimenta golpes contra KYC bancário.

Bancos e fintechs estão sob pressão dupla: enquanto o Banco Central endurece regras de due diligence digital, os ataques evoluem mais rápido do que as atualizações de segurança. Uma fraude bem-sucedida não só causa perda financeira direta, mas também compromete a confiança no Pix e em serviços digitais regulados pela Resolução 117/2023 do BCB. O custo operacional de uma fraude é 4,59 vezes o valor nominal perdido, isso inclui investigação, notificações legais, multas regulatórias e impacto na reputação. Empresas que ainda dependem de captura de selfie estática ou de validação de documento sem análise comportamental estão expostas a riscos crescentes, especialmente com a proliferação de identidades sintéticas, cujo ciclo médio de detecção ultrapassa 18 meses nos EUA e já começa a aparecer em cadastros de crédito brasileiros.