Esquemas de fraude bank drop e como preveni-los

Os serviços bancários digitais e os pagamentos instantâneos tornaram as transações mais rápidas e convenientes. Também reduziram o tempo de que os fraudadores precisam para movimentar o dinheiro roubado.

Os esquemas de bank drop estão no centro desse problema: seja qual for a fraude original – phishing, tomada de conta, uma fatura falsa ou um empréstimo contratado com uma identidade roubada –, o dinheiro precisa cair em uma conta antes de ser sacado ou transferido para outras contas.

Neste artigo, explicamos como funciona a fraude bank drop, de onde vêm as contas drop e quais controles ajudam bancos e instituições de crédito a detectá-las.

O que é um bank drop?

O termo bank drop se refere a um tipo de golpe que usa contas bancárias comprometidas, conhecidas como contas “drop”, para viabilizar transações fraudulentas.

Uma conta drop pode ser a conta de um cliente real que teve o controle tomado por fraudadores, uma conta aberta com uma identidade roubada ou sintética, ou uma conta alugada ou vendida pelo próprio titular. Quando os fraudadores tomam o controle de uma conta existente, normalmente obtêm o acesso por meio de ataques de phishing ou infecções por malware.

Depois de assumir o controle de uma conta drop, os fraudadores a utilizam para receber recursos ilícitos de vítimas desavisadas. Esses recursos costumam vir de outras atividades fraudulentas, como compras on-line feitas com dados de cartões de crédito roubados ou transferências bancárias não autorizadas.

Os titulares que alugam ou vendem o acesso às próprias contas costumam ser chamados de laranjas (em inglês, money mules). Alguns são recrutados por meio de falsas ofertas de emprego e podem não saber para que a conta está sendo usada.

Como funcionam os bank drops?

No universo do cibercrime, as criptomoedas se tornaram o meio preferido para atividades fraudulentas. No entanto, como ainda não alcançaram ampla aceitação no mundo empresarial tradicional, os hackers enfrentam um obstáculo importante na hora de converter seus ativos digitais em moeda fiduciária.

Para contornar esse obstáculo, eles costumam recorrer à fraude de identidade: usam as contas bancárias de vítimas que não suspeitam de nada, passando a controlar suas credenciais e seus recursos.

Uma vez sob o controle dos fraudadores, as contas das vítimas servem para receber os depósitos resultantes da conversão das criptomoedas dos hackers em moeda fiduciária. Em seguida, esses recursos são transferidos rapidamente para as contas bancárias dos fraudadores ou, com mais frequência, direcionados à compra de outras criptomoedas, bens físicos ou serviços fraudulentos. Tudo isso faz parte de um meticuloso processo de lavagem de dinheiro.

Como alternativa, os fraudadores podem recorrer a um esquema mais elaborado, conhecido como fraude de identidade sintética. Ao combinar dados de identidade reais e inventados, eles criam uma fachada de legitimidade para abrir contas bancárias falsas que funcionam como “bank drops”.

Exemplos de esquemas bank drop

Estes são alguns exemplos de esquemas bank drop comuns hoje em dia. A maioria começa com engenharia social:

• Fraude do CEO: um e-mail chega à caixa de entrada de um funcionário desavisado, supostamente enviado pelo CEO. A mensagem transmite urgência em cada linha e exige a transferência imediata de recursos para uma conta bancária específica. Convencido pela aparente legitimidade da figura de autoridade, o funcionário segue as instruções do falso CEO.
• Golpes em marketplaces: os marketplaces on-line atraem golpistas que se passam por vendedores legítimos. Com contas drop à disposição, eles enganam os compradores com ofertas tentadoras. Depois que o pagamento por produtos fictícios é feito, o golpista saca rapidamente o dinheiro e o comprador fica de mãos vazias.
• Desvio de pagamento de faturas: os fraudadores usam contas drop para montar esquemas elaborados, passando-se por fornecedores de confiança. Por meio de e-mails enganosos e faturas ou boletos falsificados, levam empresas desavisadas a transferir recursos para o destino errado – a conta drop – e depois desaparecem.
• Fraude na liberação de empréstimos: um fraudador solicita um empréstimo on-line com uma identidade roubada ou sintética e informa uma conta drop para o crédito do valor. Depois que o empréstimo é liberado, o dinheiro é transferido para outras contas e o credor fica com uma dívida que provavelmente não será paga.

Em todos esses cenários, a conta drop é o ponto em que o dinheiro roubado se torna utilizável. Ao entender as táticas dos fraudadores e ficar alerta, as empresas podem reforçar suas defesas contra quem tenta se aproveitar da sua confiança e da sua segurança financeira.

Tipos comuns de fraude para roubar informações bancárias

Phishing

Os golpes de phishing usam e-mails, mensagens de texto (smishing), ligações telefônicas (vishing) ou sites fraudulentos que imitam instituições financeiras ou empresas legítimas. As vítimas são induzidas a fornecer informações confidenciais, como nomes de usuário, senhas e dados bancários, ao clicar em links maliciosos ou responder a solicitações falsas.

Depois de obter essas informações, os fraudadores as usam para acessar contas bancárias, fazer transações não autorizadas ou até cometer roubo de identidade.

Fraude com cheques não solicitados

A fraude com cheques não solicitados ocorre quando uma pessoa recebe cheques inesperados pelo correio, muitas vezes acompanhados de instruções para depositá-los e devolver parte do valor ao remetente por transferência.

Em geral, esses cheques são falsificados ou roubados. Ao depositá-los e repassar o dinheiro, as vítimas permitem, sem saber, que a própria conta funcione como intermediária para o golpista – na prática, como uma conta drop.

Depois que a vítima transfere o dinheiro ao golpista, o cheque fraudulento acaba sendo devolvido. A vítima fica responsável pelo prejuízo e pode enfrentar consequências legais.

Golpe do débito automático

No golpe do débito automático, os fraudadores obtêm acesso não autorizado às contas bancárias das vítimas – uma forma de tomada de conta – e configuram pagamentos ou débitos automáticos sem o conhecimento ou o consentimento delas.

Isso pode ser feito de várias formas, como ataques de phishing, infecções por malware ou exploração de vulnerabilidades nos sistemas de internet banking.

O open banking é bom ou ruim para os bank drops?

O open banking (no Brasil, Open Finance) permite que os clientes compartilhem dados de suas contas com terceiros autorizados e iniciem pagamentos por meio deles via APIs. Para os bank drops, isso tem dois efeitos. Por um lado, os dados compartilhados podem ajudar uma instituição de crédito ou um provedor de pagamentos a confirmar que uma conta pertence ao solicitante e a ver como ela tem sido usada. Isso pode facilitar a detecção de uma conta drop recém-aberta.

Por outro lado, a iniciação de pagamentos e as transferências de conta para conta permitem tirar o dinheiro de uma conta drop com mais rapidez assim que ele chega. Sistemas de pagamento em tempo real, como o Pix e o UPI indiano, liquidam transferências em segundos, o que deixa pouca margem para bloquear os recursos depois que eles caem na conta. Com isso, a detecção tende a acontecer mais cedo – na abertura da conta, no login e nas primeiras transações de uma conta nova. Nosso artigo sobre prevenção de fraude no Pix mostra como isso se aplica ao Pix.

O valor do open banking contra as contas drop depende dos controles que o acompanham – tanto dentro das instituições que o utilizam quanto na forma como é regulado.

Os neobancos correm mais risco?

Os neobancos são a versão totalmente digital dos bancos tradicionais. Eles se destacam por interfaces atraentes e por uma abordagem mobile-first. No entanto, essa mesma conveniência e agilidade também os tornam alvos potenciais de atividades ilícitas como os bank drops. Diferentemente dos bancos tradicionais, os neobancos costumam operar com uma infraestrutura mais enxuta e sem agências físicas, dependendo fortemente da tecnologia para o relacionamento com os clientes e o monitoramento de transações.

Esse modelo baseado em infraestrutura digital é muito eficiente. No entanto, pode representar um desafio em termos de segurança. O onboarding totalmente remoto elimina as verificações presenciais com que os bancos com agências podem contar, de modo que os neobancos dependem de sinais digitais para distinguir um cliente novo genuíno de alguém que está abrindo uma conta drop.

A abertura rápida de contas, com o mínimo de atrito, é parte do que torna os neobancos atraentes para os clientes. Mas também pode atrair pessoas que abrem contas para usá-las como contas drop.

Embora os neobancos tragam inovação e acessibilidade ao setor bancário, eles também precisam considerar os riscos associados às finanças digitais e, em particular, à fraude com contas drop. Para se proteger de atividades ilegais como os bank drops, os neobancos precisam de controles que funcionem na abertura da conta e nas primeiras semanas de movimentação, quando as contas drop costumam começar a ser usadas – sem prejudicar a experiência do usuário.

Como os bancos podem proteger seus clientes da fraude bank drop

Ao adotar uma abordagem de segurança em várias camadas, que inclua protocolos de KYC, autenticação de dois fatores e soluções de device intelligence, bancos e instituições de crédito podem reduzir o risco de fraude bank drop e proteger seus clientes de prejuízos financeiros.

Conheça seu cliente (KYC)

A abordagem de KYC envolve:

• implementar procedimentos rigorosos de KYC para verificar a identidade dos clientes que abrem novas contas ou realizam transações de alto risco;
• fazer verificações completas de antecedentes para garantir a legitimidade dos clientes e detectar qualquer atividade suspeita;
• atualizar periodicamente as informações dos clientes, monitorar a movimentação das contas para detectar desvios dos padrões de comportamento habituais e sinalizar possíveis alertas para uma investigação mais detalhada.

Autenticação de dois fatores

Essa abordagem antifraude exige que as instituições financeiras:

• tornem obrigatória a autenticação de dois fatores (2FA) ou a autenticação multifator (MFA) em todas as transações de internet e mobile banking, como uma camada extra de segurança além das senhas tradicionais;
• utilizem diferentes métodos de autenticação, como códigos por SMS, verificação biométrica ou tokens físicos, para garantir um acesso seguro às contas;
• orientem os clientes sobre a importância de ativar e usar a 2FA em todas as operações bancárias, destacando seu papel na proteção contra acessos não autorizados e transações fraudulentas.

Device intelligence

Detectar transações suspeitas é fundamental para descobrir bank drops. Ao combinar análise comportamental baseada em algoritmos, alertas de desvio e scores de risco, um sistema de monitoramento de transações pode ser um aliado útil contra os bank drops.

Essas ferramentas permitem:

• usar soluções de device intelligence para analisar e rastrear os dispositivos usados para acessar as contas bancárias, detectando anomalias ou comportamentos suspeitos;
• utilizar a tecnologia de device fingerprinting para criar identificadores únicos para cada dispositivo, permitindo que os bancos detectem e bloqueiem tentativas fraudulentas de acesso a partir de dispositivos desconhecidos ou comprometidos;
• integrar os dados de device intelligence a outros sistemas de detecção de fraude para aprimorar o scoring de risco e a tomada de decisão, de modo que os bancos possam detectar e mitigar ameaças potenciais antes que elas se agravem.

Conclusão

Prevenir a fraude bank drop é fundamental para que bancos e instituições de crédito protejam a saúde financeira de seus clientes e mantenham a confiança no sistema financeiro. Ao combinar verificações no onboarding, autenticação e sinais no nível do dispositivo, eles podem detectar mais contas drop antes que o dinheiro passe por elas e proteger seus negócios contra prejuízos financeiros.

Priorizar a prevenção de fraude não só preserva a integridade do setor bancário como também cria um ambiente mais seguro para que os clientes realizem suas transações financeiras com confiança.

Nota do editor: este artigo foi atualizado em outubro de 2026 com as análises mais recentes.

Veja como a device intelligence se encaixa nos seus controles antifraude

A JuicyScore coleta mais de 65.000 parâmetros de cada dispositivo e utiliza mais de 250 parâmetros para o scoring de dispositivos. Os sinais resultantes podem ser usados como insumos para seus modelos atuais de fraude e risco de crédito, junto com os dados de KYC e do bureau de crédito, e não em substituição a eles. Agende uma demo para ver como eles podem apoiar seus controles de onboarding, login e concessão de crédito.

Receba análises sobre fraude e risco no seu e-mail

Assine a newsletter da JuicyScore para receber análises sobre padrões de fraude, device intelligence e práticas de gestão de risco em crédito digital e no setor bancário.

Perguntas frequentes

Como os cibercriminosos executam as operações de bank drop?

Os fraudadores executam operações de bank drop explorando vulnerabilidades nos sistemas de internet banking e nos processos de onboarding. Eles usam diferentes táticas, como phishing, malware, roubo de identidade e recrutamento de laranjas, para obter acesso a contas bancárias e viabilizar a transferência de recursos ilícitos.

Qual é a diferença entre um bank drop e um laranja?

Um bank drop é a conta; o laranja (money mule) é a pessoa cuja conta é usada ou que movimenta recursos em nome de um fraudador. Na prática, os termos se sobrepõem. Uma conta drop pode estar em nome de um laranja, de uma vítima de tomada de conta ou de uma identidade sintética que não pertence a nenhuma pessoa real.

Os bank drops são sempre ilegais?

A conta em si é uma conta bancária comum. Usá-la para receber e movimentar o produto de uma fraude geralmente é considerado parte da lavagem de dinheiro em muitas jurisdições. A situação jurídica do titular da conta pode depender do que ele sabia, varia de país para país e é uma questão a ser avaliada por assessoria jurídica.

Qual é o papel das autoridades no combate aos bank drops?

A principal missão das autoridades é investigar e responsabilizar as pessoas e as redes de fraudadores que organizam esquemas de bank drop. Além disso, elas utilizam diversas técnicas, como vigilância, análise forense e colaboração com instituições financeiras, para detectar e prevenir operações ilícitas.

As pessoas podem se proteger para não se tornarem vítimas de bank drops?

Para se proteger da fraude bank drop, as pessoas devem ficar alerta: proteger suas informações pessoais e financeiras, desconfiar de pedidos inesperados de dados confidenciais, acompanhar regularmente suas contas bancárias para identificar transações não autorizadas e nunca permitir que outra pessoa use sua conta ou receba dinheiro por meio dela, seja qual for a oferta.