Detecção de fraude em apostas: 10 sinais que já estão nos seus dados

Em resumo: operar apostas no Brasil hoje é operar sob os olhos do regulador, da imprensa e da sociedade. O melhor que um operador pode fazer não é se defender — é mostrar uma operação limpa, que separa o jogador legítimo de quem usa a plataforma para fraudar ou lavar dinheiro. E o mais prático: os sinais que apontam esse uso indevido já estão nos dados que você coleta todo dia (depósito, saque, aposta, sessão, IP, dispositivo e afiliado). Abaixo, dez desses sinais explicados em linguagem clara — cinco fortes o bastante para virar um "score de risco" e cinco de apoio — e por que combiná-los é o que evita acusar um cliente inocente.

Por que isto virou prioridade (e por que é do lado certo)

O setor de apostas no Brasil passou a ser regulado e, junto, entrou no centro do debate público. Não cabe aqui entrar nesse debate. Cabe um ponto prático e incontestável: quem opera precisa provar que opera com integridade — protegendo o jogador, barrando a fraude e impedindo a lavagem de dinheiro. Isso não é contra o setor; é o que dá legitimidade a ele.

Os números ajudam a dimensionar o risco. A tentativa de fraude em apostas no Brasil subiu de 1,01% (2025) para 2,2% no primeiro trimestre de 2026 — o terceiro maior índice da América Latina, atrás de Equador e Chile —, e os métodos mais comuns passam pela identidade: deepfakes em selfies (33,3% dos casos) e documentos falsificados (31,1%) (Sumsub, via BP Money). No mundo, o volume de transações suspeitas em iGaming cresceu 4,5 vezes em um ano (Sumsub iGaming Fraud Report 2026).

Do lado da norma, a direção é a mesma: a Portaria SPA/MF nº 722/2024 exige antifraude, verificação de identidade (KYC) e trilha auditável (Diário Oficial da União), e as regras de PLD/FT — Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo — obrigam monitorar e comunicar movimentação atípica ao COAF (Portaria SPA/MF nº 1.143/2024). Detectar fraude e lavagem deixou de ser diferencial: é condição para manter a licença. A boa notícia é que a matéria-prima dessa detecção você já tem — são os seus próprios dados.

A ideia central: os sinais já estão nos seus dados

Fraude, lavagem e abuso deixam rastro no comportamento. Um jogador que deposita, quase não aposta e saca. Uma conta acessada de vinte endereços de internet diferentes. Um "primeiro depósito" que o parceiro cobra, mas que nunca aconteceu. Cada um desses padrões vira uma regra escrita sobre dados que você já guarda. Não é uma caixa-preta de inteligência artificial que ninguém explica — é lógica clara, que você audita linha a linha e mostra ao regulador.

Montei esse catálogo de sinais num projeto real de pipeline antifraude para apostas: dez regras, cada uma com um critério explícito e um "valor em risco" (quanto dinheiro saiu por aquelas contas). Um aviso de honestidade que mantenho: os números abaixo vêm de um conjunto de demonstração com dados sintéticos — ali, cada alerta é coincidência. O que se transporta para a sua operação não são os números; é a lógica pronta e a forma correta de usá-la: um sinal é uma pista para investigar, nunca uma condenação.

Os 5 sinais fortes (os que entram no score)

Cada um destes é específico o suficiente para valer ponto no score de risco. Sozinho, qualquer um gera alarme falso; juntos, ficam confiáveis.

1. Comissão por um primeiro depósito que não existiu — o "FTD fantasma". FTD é o first-time deposit, o primeiro depósito do jogador; costuma ser o evento que dispara a comissão do afiliado (o CPA). O sinal acende quando o parceiro registra esse primeiro depósito para alguém que nunca depositou de verdade ou nunca apostou o mínimo do contrato. Em bom português: você paga comissão por um cliente que não existiu. (Demonstração: 355 contas sinalizadas.)

2. Deposita, quase não aposta e saca — o padrão clássico de lavagem (low-play). Na linguagem de compliance, é um sinal de PLD/FT. O dinheiro entra, vira aposta muito pouco (menos de 20% do depósito) e sai. Não é comportamento de apostador — é usar a casa como "lavanderia". É o coração do que o COAF espera que você monitore. (Demonstração: 105 contas.)

3. Uma conta acessada de IPs demais — o que a área chama de IP velocity. IP é o endereço que identifica cada acesso à internet. Uma conta usada a partir de mais de dez IPs diferentes sugere VPN, robô ou conta compartilhada/vendida — justamente as formas de burlar a geolocalização que a Portaria 722 manda combater. (Demonstração: 42 contas.)

4. Saída de dinheiro antes de qualquer entrada — a "anomalia de saldo". Dinheiro que sai da conta antes do primeiro depósito. Numa operação saudável isso não existe: é erro de lançamento, bônus explorado ou furo de controle. É o sinal mais inequívoco, porque não depende de nenhuma suposição — a ordem dos fatos é impossível. (Demonstração: 372 contas.)

5. Sacou mais do que depositou — o net-negative. No acumulado, a conta tirou mais do que colocou. Parte são jogadores de sorte; em volume, é abuso de bônus (bonus abuse), arbitragem ou conta criada só para extrair valor da casa. (Demonstração: 278 contas.)

Por que combinar os sinais (o "score de risco")

Aqui está o que separa um monitoramento sério de uma máquina de alarme falso: não aja por um sinal isolado. Conte quantos sinais cada conta aciona. Uma conta que dispara um só pode ter explicação inocente — e tratá-la como culpada seria injusto com um cliente legítimo. Uma conta que dispara dois ou mais é de alta confiança, e é onde sua equipe deve olhar primeiro.

Essa é a prática de mercado: combinar sinais num único score reduz o falso positivo e é a tendência técnica do setor, que caminhou das regras isoladas para a análise em rede (European Gaming). No conjunto de demonstração, o grupo de alta confiança (dois ou mais sinais) fechou em 362 contas, com R$ 826 mil de valor em risco — um número acionável, priorizado por quanto dinheiro está exposto, e não uma lista de mil suspeitos que ninguém consegue revisar de forma justa.

Os 5 sinais de apoio (para investigar mais a fundo)

Estes cinco não entram no score — são frágeis ou ruidosos demais para pontuar sozinhos — mas servem como camada extra de investigação quando uma conta já acendeu:

6. Fracionamento — structuring (ou smurfing). Vários depósitos "redondos" para ficar abaixo dos limites que obrigam comunicação ao COAF. (Demonstração: nenhuma conta — e registrar um zero honesto faz parte do método.)
7. Conflito de país. A mesma conta atribuída a mais de um país de origem. (Demonstração: 479.)
8. Muitos dispositivos. Três ou mais aparelhos distintos na mesma conta: possível conta compartilhada ou sequestrada (account takeover). (Demonstração: 413.)
9. Cadastro em lote — registration velocity. Conta criada num dia de pico anormal de cadastros: o rastro típico de fábrica de contas laranja. (Demonstração: 287.)
10. Reativação de conta dormente. Conta parada por muito tempo que volta ativa de repente — pode ser conta sequestrada. (Demonstração: 114.)

Uma ressalva honesta sobre esses cinco: os limiares (o "menos de 20%", os "dez IPs", os "três dispositivos") são premissas ajustáveis, não verdades universais. Você calibra cada uma com o seu histórico e o seu apetite de risco. O valor está em ter a régua explícita e auditável — o oposto de um modelo fechado que ninguém consegue justificar numa fiscalização.

Como isso conversa com a Portaria 722 e o COAF

Monitorar "deposita-quase-não-aposta-saca" e fracionamento é exatamente o tipo de vigilância que a regra de PLD/FT espera, e a régua explícita de cada sinal é a trilha auditável que a Portaria 722 pede. Não substitui o processo formal de compliance nem o oficial responsável — mas o alimenta com evidência organizada, do jeito que uma fiscalização quer ver. Um operador que faz isso bem não está na defensiva: está do lado da norma, do jogador legítimo e da própria reputação.

Perguntas frequentes

Preciso comprar uma ferramenta de antifraude para começar? Não para começar. Os dez sinais se calculam sobre dados que você já coleta — depósito, saque, aposta, sessão, IP, dispositivo e afiliado. Uma ferramenta de mercado agrega valor depois; o primeiro passo é ler bem o que você já tem, com regras claras e auditáveis.

Um sinal aceso prova que a conta é fraude? Não, e essa distinção protege tanto a casa quanto o cliente. Um sinal é uma pista para investigar, não uma sentença. Por isso o score combina vários: só a conta que acende dois ou mais merece revisão prioritária. Agir por sinal isolado é a receita do falso positivo — e da injustiça com um jogador legítimo.

Isso atende à Portaria 722 e às regras de PLD/FT? É a base delas. O monitoramento desses padrões e a régua explícita de cada sinal são o tipo de evidência que o regulador e o COAF esperam. Não dispensa o processo formal de compliance, mas o sustenta com dados.

Se você opera apostas e quer sair do alarme falso para um monitoramento justo, auditável e alinhado à Portaria 722 — construído sobre os dados que você já tem —, dá para estruturar isso de forma séria. Em geral, já na primeira análise, aponto quais sinais a sua operação consegue calcular hoje e onde está o maior valor exposto.