Toda Contratação Concede Acesso. O RH Precisa dos Pontos de Checagem que a TI Já Tem.

Sessenta e oito identidades roubadas. Mais de 300 empresas americanas. A Deel cita esse caso, atribuído ao Departamento de Justiça dos EUA, no lançamento de um produto contra fraude de identidade em outubro de 2026: profissionais remotos de TI usaram essas identidades roubadas para serem contratados, “em um único esquema”.

A frase sobre a qual a Deel constrói o produto é mais direta: “Cada vez mais, agentes mal-intencionados não precisam invadir uma empresa, porque podem ser contratados.”

Times de segurança dedicam anos à tela de login. A carta de oferta termina com um notebook, uma conta corporativa, um perfil de VPN e um lugar no canal de engenharia. A maioria dos processos de contratação não registra isso como pedido de acesso. Mas é exatamente isso.

O candidato falso ficou barato

O post de lançamento da Deel afirma que “a IA agora consegue falsificar um currículo, um rosto, uma voz e um documento oficial em minutos”. Cada um desses quatro artefatos tinha algum custo para ser forjado. O currículo exigia esforço para parecer plausível. O rosto precisava aparecer na câmera. A voz precisava sustentar uma conversa. O documento precisava passar por uma checagem.

Quando os quatro caem para minutos, o funil de contratação perde o atrito implícito. O processo fazia alguma verificação de identidade por acidente, e por isso o recrutamento raramente precisou tratá-la como tarefa. Quem passava por várias chamadas de vídeo e devolvia um contrato assinado provavelmente era a pessoa da documentação.

Já escrevemos sobre o que acontece com o portfólio quando a IA o torna barato. Este texto desce uma camada. A pergunta aqui é quem é a pessoa, antes de alguém perguntar se ela fez o trabalho.

A Deel também menciona um alerta conjunto de julho de 2026, do FBI e de parceiros internacionais, sobre profissionais remotos de TI patrocinados por Estados. Dependemos do resumo da Deel tanto para o caso do DOJ quanto para o alerta do FBI. O padrão é claro o bastante para agir sem os detalhes.

Uma contratação é um evento de provisionamento

Pense no que o time de identidade faz quando uma conta de serviço é criada. Existe um pedido. Alguém aprova. As credenciais saem com um escopo. A atividade fica registrada sob aquela identidade. Quando algo estranho acontece, um alerta dispara e uma pessoa olha. Quando a conta é desativada, o acesso vai junto.

Agora pense em um funcionário novo. O pedido é a candidatura. A aprovação é a oferta. As credenciais chegam no primeiro dia. A partir daí, a pilha de identidade trata a pessoa como verificada, porque o RH disse que ela é quem diz ser.

O RH disse isso com base em um currículo, algumas chamadas de vídeo e o envio de um documento. Se essas entradas podem ser fabricadas, a decisão de identidade mais privilegiada da empresa se apoia na evidência mais fraca da pilha.

O argumento que fizemos sobre a identidade virar o perímetro no tráfego de agentes vale para pessoas também. Quando o canal não consegue dizer quem está do outro lado, a identidade precisa ser checada nos pontos em que o acesso muda de mãos.

Pontos de checagem ao longo do ciclo

A resposta da Deel nomeia os momentos em que coloca checagens de identidade:

a candidatura
a entrevista ao vivo
a oferta, com verificação de documento e de prova de vida
uma redefinição de senha
um dispositivo novo
acesso de alto risco

A lista importa mais que o fornecedor. Leia como um engenheiro de acesso leria. Os três primeiros pontos ficam no recrutamento. Os três últimos ficam com a TI e a segurança. Lida assim, um fraudador que passa pela entrevista enfrentaria outra checagem na oferta, e de novo numa redefinição de senha, num dispositivo novo ou num pedido de acesso de alto risco.

Em muitas empresas esses momentos rodam em ferramentas separadas, com donos separados. A Deel fala em cinco sistemas. O recrutamento cuida do sistema de candidatos. O RH cuida da oferta e da checagem de antecedentes. A TI cuida da redefinição de senha e do cadastro de dispositivos. A segurança cuida do acesso privilegiado. Cada time checa a própria etapa. Nesse arranjo, nenhum time é dono da checagem de que a pessoa da etapa seis é a mesma da etapa um.

A escolha de desenho no lançamento da Deel é um único registro de risco do candidato, que acompanha a pessoa da candidatura até o emprego. Se o registro funcionar como descrito, um sinal levantado na entrevista continuaria visível quando a mesma identidade, depois, pedisse acesso elevado.

A pergunta do comitê de auditoria

A frase do post da Deel que deveria preocupar um CFO é esta: “Quando o comitê de auditoria pergunta o que aconteceu, a evidência está espalhada por cinco sistemas.”

O número cinco é enquadramento da Deel, e a sua empresa pode ter mais ou menos. O problema estrutural se mantém de qualquer forma. Depois de um incidente, alguém precisa reconstruir quem era essa pessoa, o que foi checado, por quem e quando. Se a resposta mora no sistema de candidatos, no fornecedor de checagem de antecedentes, no HRIS, no provedor de identidade e no console de gestão de dispositivos, a reconstrução vira um projeto forense. Alguns desses sistemas podem ter apagado os registros por suas próprias regras de retenção antes que alguém pergunte.

Um auditor quer ver a checagem feita em cada etapa, e a palavra do time não basta. Uma trilha única, que liga cada ponto de checagem à mesma identidade, com a decisão e o revisor registrados, é o que torna a resposta demonstrável.

Pessoas revisam os alertas de alto risco

A Deel diz que seus “especialistas em fraude revisam todo alerta de alto risco e explicam por que ele foi sinalizado”. Esse detalhe separa um controle de uma pontuação.

Um sinal automático sobre um candidato é uma acusação. Rejeitar alguém com base em uma saída de modelo sem explicação pode criar a própria exposição jurídica e de reputação, e recrutadores aprendem a ignorar um alerta que não conseguem explicar. Um alerta que chega com o motivo, revisado por uma pessoa identificada, que é o padrão que nós exigiríamos, é algo sobre o qual um gestor consegue agir e que um auditor consegue rastrear.

Cabe uma ressalva. A fonte é um post de lançamento de fornecedor. Ele não publica números de acurácia, taxa de falso positivo ou taxa de detecção. Não sabemos dizer quão bem as checagens da Deel funcionam, e o post também não diz. Avalie qualquer produto dessa categoria pelas taxas de erro na sua própria população de candidatos, e peça esses números ao fornecedor por escrito.

Quem é dono da contratação como decisão de acesso

O recrutamento costuma ser medido por tempo de preenchimento da vaga. A segurança costuma ser medida por incidentes. Nenhum dos dois é medido por a pessoa contratada ser a mesma que se candidatou. Essa pergunta cai entre recrutamento e segurança, e muitas vezes fica sem resposta.

Tratar a contratação como concessão de acesso coloca a pergunta na mesa de alguém. O time de identidade já sabe definir pontos de checagem, registrar decisões e revisar exceções. O RH já conhece o candidato. O trabalho é ligar as duas áreas, para que uma contratação herde a mesma disciplina de qualquer outra conta privilegiada.

Faça isso agora

Pegue as suas dez últimas contratações remotas e tente responder quatro perguntas para cada uma, só com registros:

Que evidência de identidade coletamos antes da oferta, e onde ela está guardada?
Houve checagem de documento ou de prova de vida na oferta, e quem revisou o resultado?
Quando essa pessoa redefiniu a senha ou cadastrou um dispositivo novo pela primeira vez, alguma checagem comparou o evento com a identidade verificada na contratação?
Se essa pessoa fosse outra, quantos sistemas precisaríamos abrir para reconstruir a linha do tempo?

Se a resposta da quarta pergunta for maior que um, você encontrou o trabalho. Nomeie um dono para a contratação como caminho de acesso, compare seus pontos de checagem com os seis acima e decida onde o registro único vai morar. Depois coloque uma pessoa em cada alerta de alto risco, com o motivo por escrito.

Fontes

Deel. “Introducing Deel Security: A New Way to Detect and Prevent Identity Fraud.” Outubro de 2026.

A Victorino ajuda empresas a tratar a contratação como caminho de acesso, com pontos de checagem de identidade e uma trilha de auditoria única da candidatura ao acesso à produção: contato@victorino.com.br | www.victorino.com.br