Quatro pontos para quem opera onboarding remoto:
- O que cai é o upload da imagem do documento, não a verificação facial. A FSA manteve os métodos que capturam o rosto de quem solicita. Sai de cena a prática de aceitar a fotografia de uma carteira como prova de que o documento existe e é daquela pessoa.
- O prazo legal já existia e foi antecipado na prática. A troca estava marcada para 1º de abril de 2027, pela lei japonesa de prevenção à transferência de proventos de crime. O comunicado de 9 de outubro pede que ninguém espere a data.
- O problema é de estoque, não de fluxo. Documento vazado não se revoga. Uma habilitação exposta em 2026 segue servindo de insumo de impersonação por anos, porque os campos dela não mudam e a foto envelhece devagar.
- A terceirização entrou no texto. O comunicado pede revisão de como as instituições confirmam autenticidade de documento e rosto no atendimento remoto, e controle mais duro sobre fornecedor externo. A Times Car não é banco. O vazamento dela virou problema bancário, e a cadeia de verificação de identidade é compartilhada.
O que a FSA pediu, e o que não mudou
O comunicado tem três partes. A primeira é a que gerou manchete: bancos e corretoras de criptoativos devem deixar de pedir o envio de imagem fotografada de documento de identidade como etapa de verificação. A segunda é o substituto, e é aqui que a medida deixa de ser proibição e passa a ser especificação. O método indicado é a leitura do circuito integrado do documento por aplicativo no celular: o aparelho lê os dados gravados no chip, entre eles nome, endereço, data de nascimento e retrato, e confronta esse retrato com uma captura ao vivo do solicitante. A terceira parte é administrativa: as instituições devem reexaminar como confirmam a autenticidade do documento e o rosto do solicitante no atendimento fora da agência, e apertar a verificação sobre fornecedores terceirizados que executam essa etapa.
Vale sublinhar o que sobrevive. Nada do que captura o rosto foi derrubado. A FSA não está dizendo que verificação remota não funciona; está dizendo que a imagem de um documento não é mais evidência. A diferença é a raiz de confiança. Na foto, a raiz é a aparência do papel ou do cartão, que pode ser reproduzida, montada ou extraída de um vazamento. No chip, a raiz é uma assinatura criptográfica que o emissor colocou lá e que o solicitante não consegue fabricar em casa.
O prazo é o detalhe político. A substituição já estava prevista para 1º de abril de 2027, pela lei japonesa que trata da prevenção à transferência de proventos de crime. O comunicado não cria obrigação nova: pede antecipação voluntária. Em termos práticos, é o regulador dizendo que o intervalo até abril de 2027 deixou de ser aceitável. As corretoras de criptoativos recebem a mesma instrução porque a FSA as trata como instituições financeiras na sua diretriz de cibersegurança do setor.
Por que a imagem do documento virou insumo de atacante
A Times Car é o caso que explica a pressa. O serviço tem cerca de 5,4 milhões de membros e algo perto de 70% do mercado japonês de carro compartilhado, e foi invadido cerca de duas semanas antes do comunicado. O volume reportado é de aproximadamente 6,6 milhões de registros de usuário, dos quais em torno de 1,6 milhão são documentos de verificação de identidade: habilitações, na maior parte, com identidade estudantil aparecendo no meio.
Não é um vazamento de senha. Senha se troca em minutos. Documento não. Os campos de uma habilitação permanecem válidos até o vencimento, e o retrato continua parecido com a pessoa por anos. Quem recebe 1,6 milhão de imagens de documento recebe um estoque reutilizável de matéria-prima para abertura de conta em nome de terceiro, solicitação de crédito, portabilidade de linha telefônica e recuperação de acesso por atendimento humano. O custo marginal de usar cada um desses documentos é quase zero, e o prazo de validade do estoque é medido em anos.
Há também o lado jurídico, que já começou: advogados reunidos em torno de Yuki Makino, da Ordem dos Advogados de Tóquio, preparam ação coletiva, e mais de 15 mil pessoas já se inscreveram. Isso é relevante para quem compra segurança no Brasil por um motivo direto: no modelo em que a verificação de identidade é terceirizada, a empresa que vazou não é necessariamente a que responde ao cliente final.
Por que um regulador financeiro antecipa prazo por comunicado
O comunicado da FSA cita duas comunicações anteriores da própria agência: a diretriz de cibersegurança do setor financeiro e um pedido de maio de 2026, feito junto com o Banco do Japão, sobre medidas de curto prazo contra ameaças de IA de fronteira. A citação não é decorativa. Ela diz qual é a tese do regulador.
A tese é de economia de fraude. Imagem de documento vazada sempre foi um insumo, não um ataque. Para transformar o arquivo em conta aberta no nome de outra pessoa era preciso mão de obra: alguém montava o documento, alguém tirava a selfie, alguém conversava com o analista e sustentava a história. Essa etapa era o gargalo, e era ela que mantinha a taxa de conversão de um vazamento baixa o suficiente para o risco caber na provisão. Quando a montagem fica barata e escalável, 1,6 milhão de documentos deixam de ser um risco potencial e passam a ser capacidade instalada. A primeira semana de outubro trouxe um exemplo concreto disso no vizinho: sete instituições financeiras sul-coreanas foram atingidas por operação descrita como assistida por IA, assunto que esta publicação registrou em 9 de outubro.
É essa leitura que explica a forma escolhida. Antecipar por comunicado um prazo que a lei já fixou não cria obrigação nova e não passa pelo Legislativo: é o regulador dizendo que o intervalo até abril de 2027 deixou de ser defensável diante de um estoque de documento que já está circulando. Vale notar o que o regulador não fez: não proibiu abertura remota de conta, não exigiu presença física e não suspendeu ninguém. Trocou a evidência aceita, e deixou o canal funcionando.
O Brasil chegou ao mesmo lugar por outro caminho
A arquitetura que a FSA está pedindo no Japão é, em linhas gerais, a que o Brasil vem montando desde 2022, por motivo de fraude doméstica e não de vazamento estrangeiro. A Carteira de Identidade Nacional substitui o RG estadual e carrega biometria facial vinculada à base federal do gov.br. Em 2025 o setor privado passou a poder consultar essa base para verificação de cliente, inclusive em abertura de conta, crédito e onboarding bancário, por três caminhos: a API Datavalid do Serpro, o SDK do gov.br e o piloto da plataforma IPD/IC, montada em setembro de 2025 pelo Ministério da Gestão junto com Febraban, Zetta e Abrid, com fase de teste de doze meses e abertura geral prevista a partir de setembro de 2026.
Os números de fraude explicam a direção. As tentativas de fraude documental no país saíram de cerca de 19 mil em 2022 para mais de 66 mil em 2023, 37 mil em 2024 e mais de 51 mil em 2025. Em 2025, o RG respondeu por 84% dessas tentativas e a CNH subiu de 8% para 14% do total. As perdas do setor financeiro chegaram a R$ 10,1 bilhões em 2024, 17% acima de 2023. A Veriff reporta alta de 300% em mídia gerada ou alterada por IA dentro de fluxos de verificação em 2025, com 4,18% das tentativas globais classificadas como fraudulentas e alta de 48% nas tentativas do setor de pagamentos na América Latina. A Serasa Experian avalia a CIN como até dez vezes menos suscetível a fraude que o RG.
O ponto de atenção é o cronograma. O gov.br tem 173 milhões de cadastros, 80 milhões no nível ouro, mas só cerca de 45 milhões de CINs havia sido emitidas até fevereiro de 2026, e o RG segue com validade legal até 2032 pelo Decreto 10.977/2022. Ou seja: pelos próximos anos o país opera os dois modelos ao mesmo tempo, e o documento responsável por 84% da fraude documental continua aceito por lei. Quem decidir hoje que só aceita chip exclui cliente real; quem continuar aceitando foto segue comprando o risco que o Japão acabou de recusar.
O que dá para fazer antes de o regulador daqui pedir
Três movimentos não dependem de mudança regulatória no Brasil. O primeiro é separar, dentro do fluxo de onboarding, o que é verificação de documento do que é verificação de pessoa, e medir os dois isoladamente. Na maioria das implementações brasileiras isso está fundido em um único passo de selfie com documento, o que torna impossível saber qual metade falhou quando falha.
O segundo é tratar imagem de documento como dado sensível com prazo de retenção curto e justificado. A biometria já é dado pessoal sensível pelo artigo 5º, inciso II, da LGPD, com sanção de até 2% do faturamento limitada a R$ 50 milhões por infração. A imagem do documento não recebe o mesmo cuidado na prática, e é exatamente o que vazou na Times Car. Guardar o arquivo depois de concluída a verificação é armazenar passivo sem contrapartida operacional.
O terceiro é contratual, e é o mais ignorado. Quem terceiriza verificação de identidade deve exigir do fornecedor o que a FSA passou a exigir: descrição do método, prova de que a raiz de confiança não é a aparência da imagem, política de retenção e aviso de incidente em prazo útil. A Times Car não era instituição financeira. Virou problema de instituição financeira porque a cadeia de verificação de identidade é compartilhada, e o elo mais fraco dela define o custo de abrir conta no nome de outra pessoa.
Outros sinais do dia
- Litígio
Mais de 15 mil pessoas já se inscreveram na ação coletiva contra a Times Car
Advogados reunidos em torno de Yuki Makino, da Ordem dos Advogados de Tóquio, preparam ação coletiva pelo vazamento, e mais de 15 mil titulares já se inscreveram. O detalhe que interessa a quem opera verificação de identidade no Brasil é a posição de cada parte na cadeia: a empresa que vazou o documento é de locação de carro, e o prejuízo provável se materializa em conta bancária, crédito e linha telefônica abertos em nome de terceiro. Quem responde ao titular lesado não é necessariamente quem perdeu o arquivo, e o contrato entre os dois raramente trata disso.
- Japão
Quatro empresas, quase 36 milhões de registros, todos comunicados no mesmo dia
O despacho da Jiji Press de 9 de outubro reúne quatro comunicados simultâneos: JR East, com cerca de 6,09 milhões de contas; Bookoff Group Holdings, com até 6,43 milhões de clientes por acesso indevido a uma subsidiária que administra dados de associados; Daiichikosho, dona das casas de karaokê Big Echo, com cerca de 8,72 milhões de clientes por acesso indevido a sistema operado por prestador externo; e a Adventure, do site de viagens Skyticket, com cerca de 14,64 milhões de conjuntos de dados pessoais. Três dos quatro têm a mesma origem estrutural: o sistema invadido não era da empresa que comunicou.
- Emergência
O número que o governo japonês está usando internamente é 53 empresas com ransomware
O Partido Liberal Democrata convocou reunião de emergência do seu escritório nacional de cibersegurança, e a cobertura internacional registra a declaração de estado de emergência no ciberespaço. O dado da Agência Nacional de Polícia, divulgado pela Kyodo, é de pelo menos 53 empresas atingidas por ransomware, com vítimas em indústria, construção, hospitais e escolas, sem nomeação oficial. O diagnóstico que as autoridades e os analistas repetem é desconfortável por ser banal: sistemas antigos, digitalização atrasada e subinvestimento crônico em segurança, agora encontrados por um atacante que automatiza.
- Precedente
A FSA já havia pedido em agosto, e só a corretora ouviu
Em 6 de agosto, a FSA e a Agência Nacional de Polícia pediram às corretoras de criptoativos, por meio da associação do setor, reforço na verificação de autenticidade de documento e limites de saque mais apertados. O pedido valia para um segmento. O comunicado de 9 de outubro estende a mesma exigência ao sistema bancário e troca o verbo: não é mais reforçar a conferência da foto, é parar de usar a foto. Dois meses separam as duas versões, e no meio delas está um vazamento de 1,6 milhão de documentos.
Fontes e aprofundamento
- Cryptopolitan · Japan's FSA tells banks and exchanges to drop photo-ID checks early, com o conteúdo do comunicado de 9 de outubro, a leitura de chip e o prazo de abril de 2027.
- Nippon.com / Jiji Press · More Japanese Firms Hit by Large-Scale Data Breaches, com os números da JR East, Bookoff, Daiichikosho e Adventure.
- The Japan Times · Driver's license data breaches becoming major concern, sobre a dimensão do vazamento de habilitações no país.
- Gizmodo · We Have Entered a Cybersecurity Hellscape, Japan Warns, com o dado de 53 empresas da Agência Nacional de Polícia e a atribuição da CrowdStrike no caso sul-coreano.
- OODA Loop · Japan Declares Cyberspace Emergency Amid Massive Wave of Corporate and Government Hacks, sobre a declaração de emergência e a orientação do regulador financeiro.
- Computer Weekly Brasil · Da verificação manual à biometria federal: a nova arquitetura antifraude do mercado brasileiro, com a CIN, a plataforma IPD/IC e os números de fraude documental no Brasil.