Fraudes em fintechs: proteja-se com ligações identificadas STIR/SHAKEN

O que são fraudes em fintechs e como o STIR/SHAKEN ajuda?

Fraudes em fintechs são esquemas criminosos que exploram a infraestrutura digital e a relação de confiança entre a instituição financeira e o cliente.

Diferentemente de bancos tradicionais, as fintechs operam com processos enxutos e canais predominantemente remotos, o que cria brechas para ataques como phishing telefônico, engenharia social e spoofing de chamadas. O spoofing ocorre quando um fraudador falsifica o número de telefone da fintech, fazendo com que a vítima atenda acreditando ser uma ligação legítima de cobrança, suporte ou oferta de crédito. O STIR/SHAKEN (Secure Telephone Identity Revisited / Signature-based Handling of Asserted information using toKENs) é um conjunto de protocolos que autentica a identidade do chamador no nível da operadora. Ele funciona como um certificado digital para chamadas telefônicas: cada ligação recebe uma assinatura criptográfica que atesta que o número exibido realmente pertence à entidade que está realizando a chamada. Quando a operadora de destino verifica essa assinatura, ela pode exibir ao usuário um indicador visual de chamada verificada ou bloquear ligações não autenticadas. Para a fintech, isso significa que um cliente que recebe uma ligação com o selo STIR/SHAKEN sabe que aquela comunicação é genuína, reduzindo a eficácia de ataques de impersonificação. O protocolo não impede que o fraudador tente enganar por outros meios, mas fecha uma das portas mais exploradas: a falsificação de número. A implementação exige que a fintech contrate uma operadora que suporte o padrão e configure seus sistemas de telefonia para assinar digitalmente as chamadas de saída. O resultado é uma camada de segurança que protege tanto a reputação da empresa quanto o bolso do consumidor.

Quando o STIR/SHAKEN faz sentido e quando não faz?

O STIR/SHAKEN faz sentido para fintechs que realizam chamadas telefônicas frequentes para clientes, como cobranças, ofertas ou suporte. Ele é ideal quando há risco de spoofing – criminosos falsificam o número da empresa para enganar clientes. A tecnologia também é recomendada para fintechs que buscam aumentar a confiança do consumidor e se adequar a regulamentações de segurança. Por outro lado, não faz sentido para fintechs que não fazem chamadas telefônicas ou que operam exclusivamente por canais digitais, como aplicativos e chat. Além disso, o STIR/SHAKEN não protege contra fraudes originadas por e-mail, SMS ou redes sociais. Ele também depende da adesão de operadoras e da correta configuração pela fintech. Se a operadora não suporta o protocolo, a implementação pode ser inviável. A escolha pelo STIR/SHAKEN deve considerar o volume de chamadas e o perfil de risco da fintech. Para entender melhor, imagine uma fintech de crédito consignado que faz centenas de ligações por dia para oferecer portabilidade. Se um fraudador clonar o número dessa fintech, os clientes podem cair em um golpe e contratar empréstimos falsos. Nesse caso, o STIR/SHAKEN é um escudo direto. Já uma fintech de pagamentos que só se comunica por push notification no aplicativo não precisa do protocolo, pois seu canal de risco é outro. O trade-off está no custo de implementação versus o benefício de redução de fraudes. Para fintechs com baixo volume de chamadas, o investimento em certificação e integração pode não se justificar, sendo mais eficiente investir em autenticação multifator (MFA) ou notificações no app. Outro ponto crítico é a dependência da cadeia de operadoras: se a operadora de destino não valida a assinatura, a chamada autenticada pode ser tratada como comum, anulando o benefício. Portanto, a decisão deve ser baseada em uma análise concreta do fluxo de comunicação e do histórico de incidentes.

Quais critérios avaliar antes de escolher o STIR/SHAKEN?

Quais erros evitar ao implementar STIR/SHAKEN?

A implementação do STIR/SHAKEN, embora técnica, está sujeita a erros comuns que podem comprometer sua eficácia. O primeiro erro é tratar o protocolo como uma solução isolada. Fintechs que implementam STIR/SHAKEN sem reforçar outras camadas de segurança, como autenticação multifator e monitoramento de transações, criam uma falsa sensação de proteção. O fraudador pode simplesmente migrar para outro vetor, como SMS phishing ou ligações de voz sintetizada sem spoofing. O segundo erro é negligenciar o treinamento da equipe de atendimento. Se os agentes da fintech não sabem explicar ao cliente que a chamada está autenticada pelo STIR/SHAKEN, o benefício de confiança se perde. O cliente pode continuar desconfiado e recusar ligações legítimas, prejudicando a taxa de conversão. O terceiro erro é não testar a implementação em ambiente controlado antes de ir para produção. Muitas fintechs configuram o protocolo e assumem que tudo funciona, mas descobrem tardiamente que a assinatura digital não está sendo gerada corretamente, ou que a operadora de destino está rejeitando as chamadas por incompatibilidade de versão. O quarto erro é ignorar a manutenção contínua. O STIR/SHAKEN não é um sistema "liga e esquece". As operadoras atualizam seus certificados e algoritmos de criptografia periodicamente. Se a fintech não mantiver seus sistemas atualizados, as chamadas podem deixar de ser autenticadas sem aviso prévio. O quinto erro é não comunicar a mudança aos clientes. Uma campanha de conscientização explicando que a fintech agora utiliza STIR/SHAKEN e que os clientes podem verificar o selo de autenticação aumenta a adesão e reduz a desconfiança. Sem essa comunicação, o cliente pode continuar ignorando ligações legítimas, achando que são golpes. O sexto erro é subestimar o tempo de integração. Dependendo da complexidade do sistema de telefonia da fintech, a integração pode levar semanas ou meses. Planejar um cronograma realista evita retrabalho e frustração. Por fim, o erro mais grave é não medir os resultados. A fintech deve estabelecer indicadores como taxa de chamadas autenticadas, redução de reclamações por spoofing e aumento na taxa de atendimento. Sem métricas, não é possível saber se o investimento valeu a pena.

Como implementar STIR/SHAKEN na prática: passo a passo

1. Realize uma análise de risco detalhada para identificar vulnerabilidades nas comunicações telefônicas. Levante o volume de chamadas, os tipos de interação e o histórico de incidentes de spoofing. Documente o custo médio de cada fraude para justificar o investimento.
2. Entre em contato com a operadora de telefonia para verificar suporte ao STIR/SHAKEN e obter requisitos técnicos. Solicite a documentação de API e os certificados necessários para assinar as chamadas. Se a operadora atual não suporta, avalie a migração para uma que ofereça o serviço.
3. Integre o protocolo aos sistemas de telefonia da fintech, configurando a assinatura digital das chamadas. Isso geralmente envolve a instalação de um módulo de segurança no PBX ou na central de discagem, que adiciona o cabeçalho SIP com a assinatura criptográfica.
4. Teste a autenticação em ambiente controlado, garantindo que chamadas legítimas sejam validadas e spoofing seja bloqueado. Use números de teste e simule ataques de falsificação para verificar se o sistema rejeita chamadas não assinadas.
5. Treine a equipe de atendimento para reconhecer chamadas autenticadas e comunicar a segurança aos clientes. Os agentes devem saber explicar que a ligação possui o selo STIR/SHAKEN e que o cliente pode confiar na origem.
6. Monitore continuamente o sistema e atualize conforme novas versões do protocolo ou regulamentações. Estabeleça um cronograma de revisão trimestral para verificar se os certificados estão válidos e se a operadora fez alterações na rede.
7. Comunique a implementação aos clientes por meio de e-mail, SMS e notificações no aplicativo. Explique que, a partir de agora, todas as chamadas oficiais da fintech serão autenticadas e que o cliente pode verificar o selo de segurança.
8. Estabeleça métricas de sucesso, como redução de reclamações por spoofing, aumento na taxa de atendimento de chamadas e diminuição de fraudes reportadas. Acompanhe esses indicadores mensalmente para ajustar a estratégia.

Tabela decisória: quando usar STIR/SHAKEN?

Como o Discador com IA de Voz se conecta ao resultado esperado?

O Discador com IA de Voz permite que a fintech realize chamadas automatizadas com autenticação STIR/SHAKEN integrada, garantindo que cada ligação seja identificada como legítima. A IA pode negociar e vender produtos financeiros, enquanto o protocolo assegura ao cliente que a chamada é verdadeira. Isso aumenta a taxa de conversão e reduz o risco de fraudes. A Omnismart oferece soluções que combinam discagem inteligente com STIR/SHAKEN, otimizando a segurança e a eficiência operacional. O Discador com IA de Voz potencializa a segurança das chamadas ao integrar STIR/SHAKEN. Na prática, a fintech configura o discador para que, antes de cada chamada ser completada, o sistema adicione a assinatura digital STIR/SHAKEN ao cabeçalho SIP. Quando o cliente atende, a operadora de destino verifica a assinatura e exibe um indicador visual de chamada verificada. O cliente, ao ver o selo, sente-se seguro para interagir com o assistente de IA, que pode oferecer produtos como portabilidade de crédito, refinanciamento ou abertura de conta. O resultado é uma experiência fluida e confiável, onde a tecnologia de voz e a segurança trabalham em conjunto. O trade-off está na complexidade de integração: o discador precisa ser compatível com o protocolo STIR/SHAKEN, o que pode exigir atualizações no software de telefonia. Além disso, a IA deve ser treinada para lidar com objeções de segurança, como clientes que perguntam "como sei que essa ligação é verdadeira?". Nesse caso, o assistente pode responder que a chamada possui certificação STIR/SHAKEN, explicando brevemente o que isso significa. Para fintechs que já utilizam discadores preditivos ou progressivos, a migração para um sistema com STIR/SHAKEN integrado é um passo natural na jornada de maturidade de segurança.

Riscos e limitações do STIR/SHAKEN

O STIR/SHAKEN, embora eficaz contra spoofing de chamadas, não é uma bala de prata contra fraudes em fintechs. O primeiro risco é a dependência da cadeia de operadoras. Se a operadora de destino não implementou o protocolo ou não atualizou seus certificados, a chamada autenticada pode ser tratada como comum, e o cliente não verá o indicador de segurança. Isso significa que o benefício só é pleno quando toda a cadeia telefônica adota o padrão, o que ainda não é realidade em muitos países. O segundo risco é a falsa sensação de segurança. Fintechs que implementam STIR/SHAKEN podem relaxar em outras áreas, como monitoramento de transações ou autenticação de usuários, acreditando que o problema de fraudes está resolvido. Na verdade, o fraudador pode simplesmente mudar de tática, usando engenharia social por e-mail ou SMS para obter dados do cliente e depois realizar transações fraudulentas. O terceiro risco é o custo de manutenção. Os certificados digitais usados no STIR/SHAKEN têm validade limitada e precisam ser renovados periodicamente. Se a fintech não mantiver um processo de renovação automatizado, as chamadas podem perder a autenticação sem aviso, gerando inconsistência na experiência do cliente. O quarto risco é a limitação geográfica. O STIR/SHAKEN foi desenvolvido nos Estados Unidos e é amplamente adotado na América do Norte, mas em outras regiões, como América Latina e Ásia, a adoção é fragmentada. Uma fintech que opera em múltiplos países pode ter dificuldade em implementar o protocolo de forma uniforme. O quinto risco é a vulnerabilidade a ataques internos. Se um funcionário mal-intencionado tiver acesso aos certificados de assinatura, ele pode gerar chamadas autenticadas falsas, usando a própria infraestrutura da fintech para aplicar golpes. Por isso, a gestão de chaves criptográficas deve ser rigorosa, com acesso restrito e auditoria constante. O sexto risco é a falta de educação do consumidor. Mesmo com o selo STIR/SHAKEN, muitos clientes não sabem o que ele significa ou não confiam nele. Sem uma campanha de conscientização, o protocolo pode ser ignorado, e o cliente continua vulnerável a golpes que não envolvem spoofing. Por fim, o STIR/SHAKEN não protege contra fraudes originadas por robocalls gravadas que não tentam falsificar o número, mas sim usam números legítimos de telemarketing. Nesse caso, a chamada pode ser autenticada, mas ainda assim ser um incômodo ou uma tentativa de venda enganosa. A fintech deve, portanto, combinar o STIR/SHAKEN com outras medidas, como listas de bloqueio, análise de comportamento de chamadas e educação contínua do cliente.

Atualizado em 26 de julho de 2026.