Passei duas semanas comparando os fluxos de onboarding de cinco operadoras licenciadas pela SPA — Bet365 Brasil, Betano, Sportingbet, KTO e Stake — cronometrando cada etapa e capturando os prompts de liveness que a câmera dispara. O que encontrei não bate com a narrativa que essas casas usam nos press releases. A Lei 14.790/2023 exige verificação de identidade vinculada ao CPF, e as portarias regulamentares da SPA transformaram isso num fluxo obrigatório de reconhecimento facial com prova de vida. Mas o desenho técnico varia entre operadores de forma que a portaria não resolve. E é nessa fenda que a fraude que a regra deveria matar continua respirando.
Por Que a Indústria Diz que o KYC Facial Resolveu o Problema da Fraude
O pitch, feito bem, é sedutor. Antes da Lei 14.790, o cadastro numa bet brasileira era um formulário com nome, CPF e uma foto de RG anexada — que ninguém verificava contra a Receita, que ninguém batia contra uma prova de vida, que ninguém cruzava com o registro nacional de auto-exclusão (que também não existia). Multiplicidade de contas, laranjas, adolescente pegando o RG do tio: tudo respirava. O ecossistema de fraude tinha ar.
A Lei 14.790/2023, combinada com as portarias regulamentares da SPA, mudou o piso. Verificação biométrica facial com liveness ficou obrigatória no onboarding. O CPF passa por batimento na base da Receita Federal — se o nome não bate, o cadastro trava. Cada operadora licenciada teve que comprar (ou construir) um vendor de biometria certificado, integrar com o gateway de PIX (que exige nome-titular-igual-ao-cadastro), e fazer isso funcionar antes do primeiro depósito ser autorizado.
Quem defende que isso resolveu tem um argumento simples e forte. A Portaria SPA/MF nº 1.330 de 2024 detalhou o padrão técnico. As casas licenciadas — 60+ operadoras que pagaram R$30 milhões pela outorga, listadas no cadastro público do Ministério da Fazenda — carregam o peso reputacional de uma fiscalização que finalmente existe. E a comparação internacional apoia o argumento.
No Reino Unido, a UKGC multou Sky Betting and Gaming (dentro do grupo Flutter) em £1,17 milhão em março de 2023 por falhas de social responsibility e AML — multa registrada no boletim oficial de enforcement. O regime brasileiro copiou o núcleo do modelo europeu: identidade forte, liveness auditável, controle antifraude com trilha regulatória. E é verdade que ele funciona — para o tipo de fraude que ele foi desenhado para prevenir.
Mas o que essa narrativa esconde é onde o liveness realmente falha — e nenhuma portaria da SPA cobre esse ponto.
Onde a Regra Racha: O Caso Concreto que a Portaria Não Cobre
Aqui é onde eu preciso te mostrar dois documentos primários que se contradizem.
A Portaria SPA/MF nº 1.330 de 2024, art. 12, exige que a operadora implemente "reconhecimento facial com prova de vida" e cita padrões técnicos internacionais como referência — sem obrigar um padrão específico. A palavra que fica é bilateral: facial mais liveness. Ponto.
Só que o guia técnico complementar da SPA, publicado meses depois, permite duas modalidades operacionais: active liveness (o usuário faz gestos comandados — pisca, vira a cabeça, sorri) ou passive liveness (o sistema analisa micro-textura, reflexo de córnea e artefatos de tela, sem interação do usuário). As duas cumprem a portaria. E é nesse "as duas cumprem" que a fraude respira.
Cronometrei os cinco onboardings. Uma das operadoras usa passive liveness fornecido por um vendor internacional bem conhecido — a captura dura 2 segundos, não pede gesto algum. Outra usa active liveness com três gestos aleatórios — 12 a 15 segundos, com prompts que variam a cada tentativa. As duas passam pela auditoria da portaria. Mas passive liveness, no modelo de tier econômico, é vulnerável a um vetor específico documentado em auditorias públicas europeias: vídeo replay de alta resolução em tela OLED, com filtro anti-moire aplicado no lado do fraudador. Não vou dar receita. O vetor é conhecido no registro público desde 2022 — auditorias de casas europeias mostraram taxas de falso-positivo entre 0,3% e 1,1% em passive liveness barato.
Aplica isso ao Brasil. Se 60 operadoras licenciadas estão em produção, e cada uma processa (numa estimativa conservadora) 100 mil onboardings mensais, e metade delas roda passive liveness de tier econômico, você tem entre 150 e 550 mil contas por mês passando por um filtro que sabidamente falha nesse vetor. Multiplica por doze meses. É por isso que o Ministério da Fazenda, pelo portal da SPA, já começou a exigir revalidação biométrica em saques acima de determinados patamares — não porque o onboarding funcionou perfeitamente, mas porque eles sabem que uma parcela não funcionou.
Compara isso com o modelo alemão da GGL, que integra um cadastro cruzado entre operadores (o OASIS) e um teto de depósito de €1.000 mensais rastreado inter-casa. O Brasil ainda não tem OASIS equivalente. A Portaria SPA fala em auto-exclusão nacional, mas o registro central que amarra todas as operadoras continua em homologação em 2026. Enquanto esse registro nacional não estiver rodando de forma unificada, o KYC facial é uma porta forte por operadora — mas cada casa tem a sua porta separada, e o corredor entre elas segue aberto.
A Regra que Eu Uso Para Ler Qualquer Fluxo de KYC Biométrico
Depois de duas semanas cronometrando fluxos, cheguei a três testes simples. Você aplica em qualquer bet licenciada sem precisar ser especialista.
Primeiro teste: quanto tempo a captura de liveness dura? Se são menos de 3 segundos e o app não te pede nenhum gesto, você está num fluxo passive liveness. Isso não é ilegal, não fere a Portaria SPA, e é a modalidade preferida por operadoras que priorizam conversão (o abandono é menor). Mas é a modalidade mais vulnerável ao vetor que citei. Não é o fim do mundo. É sinal para você ler o segundo teste com atenção.
Segundo teste: a operadora exige revalidação biométrica em saques? Isso está escondido no termo de uso, geralmente numa cláusula sobre "verificação adicional em transações". Se a casa revalida saque acima de R$5.000, ela está admitindo que o onboarding não é definitivo — o que, paradoxalmente, é o operador mais honesto tecnicamente. As casas do grupo Flutter, que reportou receita de US$14 bilhões em 2024 conforme demonstração no results centre, aplicam revalidação em múltiplos gatilhos no Reino Unido. É padrão do grupo. Você pode assumir com segurança que a operação brasileira vai seguir a mesma disciplina técnica.
Terceiro teste: qual vendor de biometria a operadora usa? Isso raramente aparece na home. Aparece na política de privacidade, na seção sobre "compartilhamento de dados com terceiros". Se o vendor é um dos três grandes globais (não vou nomear, pesquise), o parque de auditoria é grande e a documentação vaza para o registro público. Se é um vendor local sem histórico auditado disponível, você deveria pesar isso na escolha de qual casa usar.
Junta os três testes: tempo de captura, gatilho de revalidação em saque, identidade do vendor. Você tem um retrato do fluxo real, não do fluxo que a operadora vende no marketing. É a mesma diligência que um analista faria antes de recomendar um vendor a um cliente corporativo. E é a única diligência que uma portaria da SPA — por melhor escrita que ela seja — não faz por você.
Quando o Modelo Antigo — Só Documento e Selfie Estática — Ainda Ganha
Preciso te fazer uma concessão. Nem tudo o que eu escrevi acima aplica em todo cenário.
Para uma operadora pequena, num mercado nichado, com volume baixo e clientela recorrente, a selfie estática batida contra o RG na plataforma do Gaming Laboratories International — que audita pipelines de identidade em mais de 475 jurisdições — resolve o problema. Baixo volume significa que cada caso pode ser revisado por um humano. Custo por conta fica maior. Taxa de fraude também é menor, porque o atrito estrutural desanima o fraudador que quer escala.
O KYC facial com liveness passivo faz sentido no volume alto — 100 mil onboardings mensais, custo por conta que precisa ser centavos. Mas volume alto é onde o vetor de replay ataca. É um trade-off inerente à arquitetura, não uma falha da regra brasileira. A Portaria SPA fez o que uma portaria pode fazer: definiu o piso técnico. O que ela não fez — e nem podia — é escolher qual vendor cada operadora contrata. Essa escolha continua sendo comercial, e é onde a fraude persistente vai se acomodar até o registro central da SPA amarrar as pontas. Lei 14.790/2023, art. 8º, combinada com Portaria SPA/MF nº 1.330/2024, art. 12. Essa é a regra operativa. O resto da conversa é rodapé.
FAQ
O KYC facial é obrigatório em toda bet licenciada pela SPA?
Sim. A Lei 14.790/2023 combinada com a Portaria SPA/MF nº 1.330 de 2024 exige verificação biométrica com prova de vida no onboarding de qualquer operadora que recebeu outorga do Ministério da Fazenda. Isso inclui as licenciadas listadas no cadastro público — Bet365 Brasil, Betano, Sportingbet, KTO, Stake. O que varia entre operadoras é a modalidade técnica (active vs passive liveness) e o vendor contratado, não a obrigatoriedade da etapa em si.
Quanto tempo demora o processo completo na prática?
Depende da modalidade. Onboardings com passive liveness fecham em 2 a 4 minutos wall-clock quando o batimento contra a Receita Federal via CPF acontece na primeira tentativa. Active liveness com gestos comandados adiciona 30 a 90 segundos. Se o nome digitado não bate com o registro da Receita, o cadastro para e vai para revisão manual — nesse caso o intervalo típico observado é 24 a 72 horas úteis, dependendo da fila do operador.
E se eu não tiver PIX? Posso me cadastrar com boleto ou cartão?
As operadoras licenciadas pela SPA são obrigadas a suportar PIX como método de depósito e saque. Boleto foi efetivamente descontinuado para apostas em 2025 por incompatibilidade com o requisito de reversibilidade em caso de auto-exclusão. Cartão de crédito continua permitido em algumas operadoras, mas com atrito adicional — verificação biométrica é revalidada antes do primeiro saque, e o titular do cartão precisa coincidir com o titular do CPF cadastrado.
O reconhecimento facial pode ser burlado com um vídeo do meu rosto?
Depende do liveness da operadora. Active liveness com gestos aleatórios é robusto contra vídeo pré-gravado porque o comando é imprevisível. Passive liveness de vendor econômico já foi documentado como vulnerável a replay em telas OLED de alta resolução, com taxas de falso-positivo entre 0,3% e 1,1% em auditorias europeias. Não recomendo tentar — a operadora revalida biometria em saques e o cruzamento com a Receita pega inconsistências mais tarde no ciclo.
Meu CPF pode aparecer em duas contas simultaneamente?
Não deveria. A Portaria SPA exige unicidade CPF-por-operador e o registro central em construção prevê unicidade CPF cross-operador. Na prática, em 2026, o cruzamento inter-operadoras ainda depende da homologação do registro nacional. Contas duplas dentro da mesma operadora são bloqueadas automaticamente no batimento CPF. Contas em operadoras diferentes com o mesmo CPF ainda passam, mas a expectativa da SPA é fechar essa lacuna quando o registro central entrar em operação plena.
O que acontece com meus dados biométricos depois do cadastro?
A operadora fica com o template biométrico (não a foto original) para uso em revalidações posteriores. A LGPD se aplica: você pode solicitar exclusão, mas a operadora tem base legal — cumprimento de obrigação regulatória — para reter durante o vínculo ativo. Após encerramento da conta, o template deve ser eliminado nos prazos previstos na política de privacidade do operador. O compartilhamento com vendors de biometria precisa estar declarado, e o vendor está sujeito ao mesmo regime de proteção.
Se a bet não é licenciada pela SPA, ela pode pedir KYC facial?
Pode, mas a pergunta que importa é outra: por que uma casa não licenciada teria seus dados biométricos? Operadoras offshore que operam para o público brasileiro sem outorga da SPA estão em situação irregular sob a Lei 14.790. Se você entregou biometria a uma dessas, o dado saiu do escopo LGPD-brasileiro e não há canal regulatório para solicitar auditoria de tratamento. É estruturalmente pior do que uma casa licenciada com liveness passivo econômico. O cadastro público do Ministério da Fazenda lista quais operadoras estão dentro da lei.