Contas compartilhadas: o ponto cego que passa despercebido pelo compliance no iGaming

Um processo de KYC bem-feito confirma quem abriu uma conta. O que ele raramente confirma é quem está jogando nela agora.

Essa diferença descreve um dos pontos cegos menos discutidos do compliance em iGaming: a conta compartilhada, quando as credenciais de um usuário real e verificado passam a ser usadas por outra pessoa, com ou sem o conhecimento do titular original.

Por que isso não é roubo de identidade nem identidade sintética

Conta compartilhada ocupa uma categoria própria, diferente das fraudes mais discutidas no setor. No roubo de identidade, alguém usa os dados de uma vítima sem consentimento dela.

Na identidade sintética, o “cliente” nem existe, é uma combinação de dado real com dado fabricado. Na conta compartilhada, a identidade é real, o dono existe, e em muitos casos o próprio titular cede o acesso, seja emprestando a senha para um familiar, seja alugando a conta verificada para terceiros em troca de pagamento.

Como o dado de origem é legítimo e já passou pela verificação inicial, o sistema de compliance trata a conta como confiável indefinidamente. Não existe, na maioria dos fluxos, um mecanismo que verifique se quem está jogando continua sendo a mesma pessoa que abriu o cadastro.

Os riscos específicos para o iGaming

O risco mais sensível é o acesso de menores de idade através da conta verificada de um adulto, geralmente um responsável ou parente. Isso contorna diretamente a verificação de idade feita no cadastro, porque o sistema nunca chega a checar quem está efetivamente jogando naquela sessão.

Usuários autoexcluídos, que pediram para ser bloqueados da própria operadora ou de operadoras concorrentes por questões de saúde ou controle financeiro, também usam esse caminho para contornar o próprio bloqueio, acessando através da conta de outra pessoa.

Há ainda o uso comercial dessa brecha: contas verificadas alugadas ou revendidas, funcionando como as chamadas contas laranja do setor financeiro, usadas para lavagem de dinheiro, multicontas para abuso de bônus, ou distribuição de risco entre operações que uma única identidade não conseguiria sustentar sozinha.

Onde o compliance tradicional para de proteger

A maioria dos sistemas de verificação trata a aprovação do cadastro como um evento único, não como um estado que precisa ser reconfirmado. Depois que a identidade é validada uma vez, o sistema assume que toda sessão seguinte pertence à mesma pessoa, mesmo quando sinais de comportamento, como login simultâneo de dispositivos diferentes, mudança abrupta de geolocalização ou padrão de jogo incompatível com o histórico, indicam o contrário.

O que fecha essa lacuna

Fechar esse ponto cego exige tratar a identidade como algo que precisa ser reconfirmado ao longo da jornada, não apenas na entrada. Isso envolve verificação de vivacidade biométrica aplicada em momentos estratégicos da sessão, não só no cadastro, cruzamento contínuo entre o rosto capturado e a identidade original do titular, e inteligência de dispositivo capaz de sinalizar quando o mesmo login aparece em contextos de uso incompatíveis entre si.

A obrigação de verificar identidade e idade de forma continuada, e não apenas na porta de entrada, também aparece no arcabouço regulatório brasileiro mais recente, incluindo as discussões em torno do ECA Digital, que tratam a proteção de menores como um dever contínuo da plataforma, não como uma checagem que se esgota no primeiro acesso.

Sobre a Legitimuz

A Legitimuz é uma regtech brasileira especializada em verificação de identidade, biometria e prevenção a fraude, com atuação relevante no setor de iGaming, fintechs e outras indústrias reguladas. A empresa mantém certificações ISO/IEC 27001, iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3.