Modernização de IAM para Governos Estaduais e Municipais

Governos estaduais e municipais estão modernizando rapidamente os serviços digitais para atender melhor seus cidadãos, mas, à medida que os órgãos do setor público se digitalizam, as ameaças cibernéticas e a complexidade operacional crescem na mesma velocidade. Golpistas estão utilizando GenAI para tudo, desde deepfakes e clonagem de voz até phishing personalizado e falsas plataformas de IA que roubam credenciais de login. Como as perdas por fraude podem sair rapidamente do controle, a prevenção a fraudes é parte essencial da estratégia de qualquer organização. O resultado? Bilhões perdidos em fraudes, aumento da desconfiança dos cidadãos e experiências digitais cheias de atrito que comprometem as metas de prestação de serviços. Mas há um caminho melhor a seguir.

Este guia explora como soluções modernas de gerenciamento de identidade e acesso (IAM) ajudam órgãos públicos a unificar e proteger experiências digitais, reduzir fraudes e abusos, defender-se contra ameaças impulsionadas por IA e otimizar operações. Saiba como oferecer acesso seguro e contínuo a residentes, funcionários e parceiros, ao mesmo tempo em que constrói confiança, melhora a eficiência e protege recursos públicos.

Como Acertar na Prevenção a Fraudes?

• O cenário em evolução das fraudes e seu impacto na sua estratégia antifraude
• O processo de prevenção a fraudes em múltiplas etapas e as diversas ferramentas disponíveis para o seu arsenal antifraude
• A relação entre prevenção a fraudes e as experiências de cidadãos e terceiros
• O caminho para uma estratégia antifraude dinâmica

Como os Fraudadores Exploraram Órgãos Governamentais?

Os cibercriminosos não formam um grupo homogêneo. A palavra “fraudador” traz à mente a imagem de uma figura sombria de moletom curvada de forma ameaçadora sobre uma tela, mas isso nem sempre corresponde à realidade. Fraudadores variam amplamente em idade e vivem em todos os países. Muitos atuam sozinhos, mas muitos outros operam em “anéis de fraude” administrados por Estados-nação e/ou por grandes organizações criminosas bem financiadas. Alguns desses criminosos optam por atuar exclusivamente online, enquanto outros são golpistas carismáticos que convencem vítimas a fornecer informações ao se passarem por prestadores de serviços legítimos e, em seguida, utilizam esses dados para acessar contas. E, claro, muitos desses agentes mal-intencionados utilizam tecnologia digital para ampliar significativamente o alcance e o impacto de seus ataques.

As Ferramentas que Fraudadores Utilizam para Cometer Crimes

Como Governos Estaduais e Municipais Podem Prevenir Fraudes

Uma prevenção eficaz contra fraudes exige que as organizações coletem informações sobre atividades fraudulentas para aprimorar sua postura de defesa.

item-1-icon

item-1-icon-alt

Ícone decorativo

item-1-title

Detecção de Fraudes

item-1-description

A detecção de fraudes é a fase de sinalização em que interações digitais são avaliadas quanto ao risco de fraude. Métodos tradicionais de detecção concentram-se na transação, mas ferramentas modernas de detecção de fraudes podem começar a analisar as sessões muito antes. As informações coletadas na fase de detecção formam a base para uma resposta antifraude eficaz. Existem muitos tipos de sinais de fraude e risco que uma organização pode coletar, e a maioria opta por uma abordagem em camadas para garantir que menos sessões fraudulentas passem despercebidas. Isso significa implantar múltiplas ferramentas de detecção simultaneamente para medir diferentes aspectos em diferentes pontos ao longo da sessão.

item-2-icon

item-2-icon-alt

Ícone decorativo

item-2-title

Ferramentas de Decisão

item-2-description

Ferramentas de tomada de decisão são usadas para agregar os sinais da fase de detecção e consolidá-los em uma decisão com base no risco percebido da sessão e/ou da atividade. Essas decisões baseiam-se em limites de fraude e em lógicas definidas por equipes internas de fraude e aplicadas por ferramentas de autorização. Historicamente, muitas equipes de fraude desenvolveram e construíram ferramentas de decisão internamente com base em seus requisitos específicos, mas essas ferramentas próprias frequentemente são difíceis de manter atualizadas à medida que novos métodos de detecção de fraude surgem. A fase de decisão torna-se mais complexa à medida que as organizações precisam monitorar fraudes ao longo de toda a jornada do usuário e podem optar por iniciar mitigação em diferentes pontos da sessão, por exemplo, não apenas no momento da transação, mas também ao visualizar informações pessoais salvas, alterar informações de perfil e modificar configurações do usuário. Para estabelecer uma tomada de decisão automatizada e eficaz, as equipes de fraude devem definir a lógica que determina os níveis de risco que acionarão a mitigação. Essa lógica é incorporada à ferramenta de decisão, que deve ser configurada para coletar e analisar todas as fontes de sinais de risco.

item-3-icon

item-3-icon-alt

Ícone decorativo

item-3-title

Mitigação

item-3-description

A mitigação de fraudes pode assumir diversas formas. Em última análise, qualquer ação realizada para impedir um possível resultado fraudulento pode ser considerada mitigação. A mitigação pode incluir encerrar uma sessão, verificação de identidade ou simplesmente elevar o MFA para obter maior garantia sobre a identidade do usuário. Infelizmente, as medidas de mitigação podem impactar a experiência do usuário (UX). A implementação de muitas ferramentas antifraude pode fazer com que usuários legítimos se sintam tratados como criminosos. É por isso que diversos sinais (detecção), reunidos por uma lógica unificada de fraude (decisioning), que então levam a uma das várias ações para impedir a fraude (mitigação), criam o melhor equilíbrio entre prevenção de fraudes e experiência. Para reduzir o impacto da mitigação de fraudes na UX, as ferramentas de prevenção de fraudes precisam ser integradas a outras ferramentas que também moldam a jornada do usuário: ferramentas de autenticação e gerenciamento de acesso, bem como ferramentas de prova e confirmação de identidade.

Caso de Uso: Grande Operadora de Telecomunicações Sem Fio e Varejista em Larga Escala que Atende Agências do Governo dos EUA

Uma empresa que oferece serviços sem fio e internet para usuários, empresas e agências governamentais procurou a Ping Identity em busca de uma solução que aumentasse a segurança e facilitasse a condução de negócios por seus revendedores autorizados e funcionários.

Desafios do Cliente:

• Sem controle sobre os tipos de dispositivos e redes que os revendedores utilizam
• A fadiga de MFA estava começando a comprometer tanto a segurança quanto a experiência
• Perda de produtividade e vendas devido a solicitações repetidas de MFA
• Aumento da fraude em e-commerce, especialmente em períodos de maior movimento ao longo do ano

Solução da Ping — Detecção de Fraude (PingOne Protect):

• Implementação de uma solução de fraude para aprender padrões de tráfego e comportamentos e, em seguida, aplicação de autenticação baseada em risco para solicitar MFA apenas em situações de alto risco
• Ajuste fino das políticas de risco do PingOne Protect para configurar MFA em redes anônimas
• Expansão dos insights de ameaças por meio da integração de logs com ferramentas de segurança

Resultado Final:

• A implementação levou 3 meses e abrangeu 30 políticas do PingFederate e mais de 200 conexões; a taxa de sucesso foi alta, com apenas 2 aplicações apresentando falha
• Redução das solicitações de MFA de várias vezes por dia para uma vez por semana
• Redução da atividade fraudulenta sem criar fricção adicional para conexões confiáveis e funcionários internos
• Adoção de medidas de segurança adicionais para redes anônimas e suspeitas

Ferramentas Antifraude

À medida que os fraudadores aprimoram seus métodos e refinam suas abordagens, as equipes de fraude correm para acompanhar. A revisão manual já não é suficiente, e as ferramentas de gerenciamento de fraude digital se multiplicam. Essas ferramentas geralmente se enquadram em uma ou mais categorias, alinhando-se amplamente a uma ou mais das etapas do processo de prevenção de fraudes descrito acima.

Proteção contra Fraude de Pagamentos

As organizações perderão mais com fraudes à medida que mais serviços continuarem a migrar para o ambiente online. Ferramentas automatizadas de proteção contra fraude de pagamentos podem ajudar a melhorar a precisão da detecção de fraudes e reduzir a necessidade de intervenção manual por parte dos colaboradores. Essas ferramentas incorporam recursos como regras de risco, pontuação de risco, monitoramento em tempo real e verificação de velocidade para detectar e bloquear atividades de compra fraudulentas.

Detecção e Gerenciamento de Bots

Muitos bots são projetados para causar danos, mas nem todos são maliciosos. Por exemplo, o Google utiliza bots legítimos para indexar e classificar páginas da web nos resultados de pesquisa. As ferramentas de detecção e gerenciamento de bots têm como objetivo distinguir entre bots legítimos e maliciosos e determinar quais podem acessar um site. Essa capacidade é fundamental: tão importante quanto bloquear bots maliciosos é permitir bots legítimos para garantir a visibilidade e relevância de um site. As ferramentas de detecção e gerenciamento de bots diferenciam visitantes humanos, bots legítimos e bots maliciosos e utilizam machine learning e inteligência de ameaças para detectar atividades fraudulentas. Essas ferramentas são eficazes para impedir que bots maliciosos realizem atividades como fraude com cartão de crédito, retenção indevida de estoque e credential stuffing.

Biometria Comportamental

À medida que os fraudadores se tornam cada vez mais sofisticados, medidas de segurança tradicionais, como PINs, tornam-se menos eficazes. A biometria comportamental é uma ferramenta cada vez mais popular para diferenciar humanos de bots ou usuários humanos autorizados de não autorizados. Enquanto a biometria física captura características humanas imutáveis, como impressões digitais, a biometria comportamental mede gestos interativos. Por exemplo, a forma como seguramos nossos celulares, nossos padrões de rolagem e a pressão e velocidade de digitação são microgestos únicos para cada indivíduo. Ferramentas digitais estão começando a utilizar esses dados biométricos para sinalizar atividades fraudulentas quando o comportamento de um usuário específico não corresponde ao seu comportamento anterior em um site ou quando seu comportamento se assemelha ao de um bot.

Identificação de Dispositivo

A identificação de dispositivos concentra-se nos dispositivos, e não nos usuários. Informações como tipo de dispositivo, endereço IP, fuso horário local e idioma do navegador formam uma "impressão digital" do dispositivo e podem ajudar as empresas a detectar fraudes. Por exemplo, se um dispositivo específico estiver vinculado a cinco contas diferentes tentando realizar compras em um site, as ferramentas de identificação de dispositivo registram atividade potencialmente fraudulenta. Algumas vantagens do uso dessas ferramentas são que não exigem dados pessoais do usuário e podem bloquear fraudadores recorrentes com base em um dispositivo que tentaram usar anteriormente.

Ferramentas de Prova e Confirmação de Identidade

No passado, a identidade online era confirmada com nomes de usuário, endereços de e-mail e senhas. Agora, essas medidas são insuficientes. Dependendo da natureza de seus serviços, as organizações devem utilizar diferentes ferramentas de prova de identidade para garantir que a identidade declarada pelo usuário corresponda à sua identidade real. Um componente dessas ferramentas é a varredura rápida do histórico de transações do usuário, coletado de fontes públicas e privadas. Isso é conhecido como autenticação baseada em conhecimento (KBA) e frequentemente é visto como um método antiquado que adiciona fricção excessiva. Métodos mais modernos incluem a avaliação de características físicas do usuário. Algumas organizações realizam verificações manuais, como solicitar que o usuário apresente passaporte ou carteira de motorista pela câmera do computador. Outras utilizam ferramentas de biometria facial, capturando uma imagem do rosto do usuário pela câmera para verificar sua identidade.

Ferramentas de Orquestração de Pagamentos

As organizações utilizam ferramentas de orquestração de pagamentos ao coordenar um processo de transação complexo em um único hub. Essas ferramentas ajudam a impedir que ameaças digitais penetrem em diferentes partes do processo de pagamento. As plataformas de orquestração de pagamentos coletam e compartilham dados que ajudam as organizações a adicionar pontos de fricção para potenciais fraudadores, ao mesmo tempo em que oferecem um processo de transação fluido para usuários autorizados. Essas ferramentas são especialmente úteis para prevenir fraudes em transações.

Ferramentas de Autorização

Após autenticar os usuários, a organização pode conceder diferentes níveis de acesso dentro de seu site. As ferramentas de autorização concedem ou negam permissões aos usuários com base em configurações e parâmetros definidos pelas equipes de segurança e por meio de tokens de acesso. Algumas ferramentas focam apenas em autorização, enquanto outras combinam recursos de autenticação e autorização. Ao utilizar ferramentas de autorização, as organizações estabelecem uma infraestrutura que determina o acesso e as permissões tanto de usuários externos quanto de membros internos da empresa.

Ferramentas de autorização dinâmica — também conhecidas como controle de acesso baseado em atributos (ABAC) ou gerenciamento de autorização externalizado (EAM) — vão muito além das ferramentas de autorização tradicionais, ao oferecer às organizações a capacidade de avaliar qualquer conjunto de dados e aplicar decisões baseadas em políticas sobre quais ações são permitidas com base nesses dados.

Hubs de Fraude e Crimes Financeiros

Hubs de fraude e crimes financeiros — às vezes chamados de hubs de decisioning — são utilizados para simplificar e automatizar o processo de decisão. Frequentemente, são ferramentas de autorização com algumas capacidades de orquestração. O objetivo dessas ferramentas é simplificar o gerenciamento de fraudes ao centralizar a lógica de fraude e o decisioning. O maior benefício dessas ferramentas é a promessa de reduzir significativamente a necessidade de revisão manual.

O Papel das Equipes de Fraude e Risco

Com o aumento do e-commerce e o consequente crescimento da fraude online, tornou-se mais difícil para a maioria das empresas monitorar e prevenir fraudes manualmente sem o auxílio de ferramentas automatizadas. No entanto, algumas empresas dependem exclusivamente de equipes humanas para detecção e prevenção de fraudes. Essa decisão geralmente se baseia na ideia de que profissionais conseguem identificar fraudes com maior precisão e reduzir a taxa de falsos positivos ao analisar cada caso individualmente. Esses profissionais utilizam seu conhecimento específico da empresa para adaptar a abordagem de prevenção de fraudes ao contexto exclusivo da organização.

No entanto, há desvantagens em empregar uma equipe dedicada especificamente à prevenção de fraudes: é oneroso para as empresas; as demandas impostas a essas equipes podem variar significativamente entre períodos de pico e de baixa nas vendas; e os humanos podem levar mais tempo do que ferramentas automatizadas para detectar e prevenir fraudes, o que pode frustrar os usuários.

A maioria das organizações tende a adotar uma abordagem de automação parcial, com as equipes de fraude e risco realizando algumas revisões manuais, mas também focando em estratégias mais amplas de prevenção de fraudes com base em dados de ferramentas automatizadas.

A Natureza Aditiva da Prevenção de Fraudes

Como os métodos de fraude são altamente sofisticados e evoluem rapidamente, as medidas antifraude precisam se adaptar constantemente. Isso pode ser frustrante para empresas que dedicam esforços significativos para decidir, desenvolver e implementar uma estratégia antifraude. Em vez de enfatizar o uso de ferramentas e tecnologias específicas, uma estratégia antifraude deve se concentrar em princípios gerais para medidas de combate à fraude, como a definição dos recursos financeiros e humanos a serem destinados a essa área. Além disso, as empresas devem adotar novas tecnologias antifraude para aprimorar – e não substituir – as anteriores. Adotar uma abordagem aditiva ao combate à fraude pode tanto melhorar a eficácia dessas medidas quanto otimizar o investimento das empresas em recursos de cibersegurança.

Uma Observação sobre as Equipes de Identidade

Embora as equipes de fraude frequentemente operassem de forma isolada no passado, isso está começando a mudar. Com o surgimento de novas tecnologias em detecção de fraude, prova de identidade e gerenciamento de acesso, as equipes de identidade agora podem trabalhar em conjunto com as equipes de fraude em benefício de toda a organização. À medida que o foco da prevenção de fraudes muda da proteção da transação para a proteção da jornada completa do usuário, integrar ferramentas de identidade e fraude em fluxos de usuário contínuos e seguros pode ajudar ambas as equipes a atingir suas métricas.

Construindo um Caso para Integração: Prevenção de Fraudes e a Jornada Ampliada do Usuário

O Custo de uma UX Deficiente

Governos estaduais e municipais não competem por clientes no sentido tradicional, mas a experiência ainda importa. Quando os serviços digitais são difíceis de acessar, confusos ou excessivamente burocráticos, os cidadãos não apenas “convertem” menos — eles recorrem a centrais de atendimento, atendimentos presenciais ou simplesmente adiam o engajamento. Embora os cidadãos esperem um certo nível de segurança ao acessar serviços governamentais, o excesso de fricção cria barreiras à adoção e corrói a confiança. Experiências inconsistentes ou frustrantes acabam direcionando as pessoas para canais menos eficientes, aumentando os custos operacionais e limitando o impacto das iniciativas digitais.

Segurança vs. Fluidez: Encontrando o Equilíbrio

Cidadãos e terceiros valorizam segurança, conveniência e privacidade. Não existe uma fórmula perfeita que funcione para todas as organizações, mas adotar uma abordagem integrada para prevenção de fraudes e identidade do usuário pode ajudar a encontrar o equilíbrio ideal. O segredo é avaliar continuamente as sessões dos usuários quanto a fraudes e introduzir fricção iniciando medidas de mitigação apenas quando necessário.

Reunindo as Ferramentas Certas

A jornada do usuário está no centro de tudo o que sua organização faz, e a prevenção de fraudes desempenha um papel importante. Ferramentas isoladas de detecção de fraude não são eficazes se as informações que coletam não forem incorporadas à jornada mais ampla do usuário. As equipes de fraude e identidade podem e devem trabalhar juntas para orquestrar jornadas centradas na confiança.

A Evolução Constante da Estratégia Antifraude

Naturalmente, mesmo o modelo descrito acima não pode permanecer estático. Fraudadores são motivados, tecnicamente experientes e infinitamente inventivos. Novos tipos de ataque surgem constantemente, e as equipes de fraude geralmente ficam reagindo às mudanças no cenário de fraudes. Todo o panorama evolui tão rapidamente que, quando uma organização define, alinha e implementa sua estratégia, novas ameaças podem já ter surgido, tornando-a irrelevante.

Uma estratégia antifraude eficaz deve se concentrar em princípios de nível mais elevado, em vez de detalhes de implementação, ajudando a empresa a tomar decisões mais inteligentes sobre a melhor abordagem para detectar, prevenir e gerenciar fraudes. Em vez de se comprometer com um conjunto específico de ferramentas e técnicas, uma estratégia antifraude bem definida pode delinear princípios gerais para adotar, manter e reforçar medidas antifraude por meio da tecnologia. Um ponto-chave aqui é que isso é uma corrida armamentista; à medida que fraudadores desenvolvem novos exploits, pesquisadores e empresas de software criam novas contramedidas. Uma estratégia antifraude pragmática enfatizará a necessidade de se manter atualizada por meio de investimentos contínuos tanto em novas tecnologias quanto em pessoas com as habilidades para aplicá-las. Fraudadores não ficam parados, portanto as equipes de fraude também não podem se acomodar. Sua estratégia de prevenção de fraudes exigirá revisão constante e atualizações regulares para garantir que você e seus usuários permaneçam protegidos.

No entanto, com as ferramentas certas à sua disposição, você terá a agilidade necessária para acompanhar o dinâmico cenário de fraudes.

1. https://sift.com/index-reports-ai-fraud-q2-2025/
2. https://securitytoday.com/articles/2023/05/17/report-47-percent-of-internet-traffic-is-from-bots.aspx#:~:text=Imperva%20Inc.,increase%20ov