Estudo de Caso · Marketplace × Identidade
Como o MiAuto.ec barra anúncios falsos verificando os dois lados
Anunciar um carro, ou obter o número de um vendedor, custa algo que um golpista não pode pagar: uma identidade comprovada.
É assim que o MiAuto.ec e o ID Protekt se encaixam.
O problema: anúncios falsos e vendedores anônimos
Um marketplace de veículos vive ou morre pela confiança.
Um marketplace de veículos vive ou morre pela confiança. Se anunciar é grátis e anônimo, o custo marginal de um anúncio falso também é zero, e o mercado se enche deles mais rápido do que a moderação humana consegue esvaziá-lo. No Equador, isso não é hipótese: uma única quadrilha enganou cerca de oitenta pessoas com vendas falsas de carros de luxo, até que onze de seus integrantes foram presos em Guayaquil e Quito.
E o problema corta para os dois lados. O número de telefone de um vendedor impresso numa página pública pode ser coletado por qualquer um, e um comprador anônimo é tão difícil de responsabilizar quanto um vendedor anônimo.
A resposta habitual do setor é pedir uma foto do documento. Por acaso, tínhamos ao mesmo tempo uma equipe construindo verificação de identidade por chip — e a evidência de que uma foto já não prova nada, porque 14,8 milhões de registros de identidade equatorianos, mais de 10 milhões de imagens de documentos em alta resolução e até impressões digitais apareceram em fóruns da dark web em maio de 2026.
Por isso não contratamos um fornecedor. Usamos o nosso e nos obrigamos a conviver com o resultado.
A solução: identidade verificada dos dois lados
Toda a arquitetura se apoia numa regra: sem identidade comprovada, não há anúncio nem contato. O vendedor se verifica antes de o anúncio chegar à revisão, muito antes de existir qualquer cobrança; o comprador se verifica antes de receber o número de qualquer vendedor.
A ordem importa por um motivo muito concreto, e não filosófico. Quando alguém paga por um anúncio, é emitida uma fatura eletrônica autorizada pelo SRI (a autoridade tributária do Equador). Uma nota autorizada não pode ser apagada: se o anúncio tivesse de ser recusado depois por fraude, removê-lo não bastaria — seria preciso um reembolso e um cancelamento formal, que é um processo legal e não um botão.
Por isso cada barreira vive num único ponto do backend, e não na interface. Uma regra espalhada por várias telas quebra na primeira vez que alguém adiciona uma tela nova; uma regra que vive num único ponto do servidor só quebra se alguém a apagar de propósito.
O lado do comprador segue a mesma regra. Navegar continua aberto a todos, mas o número de telefone de um vendedor não aparece em nenhuma página web nem em nenhuma resposta pública da API. Para falar com um vendedor pelo WhatsApp ou por telefone, uma pessoa com login se verifica uma vez com o ID Protekt — sem formulário para preencher, porque o chip diz quem ela é — e então recebe o número, para no máximo 30 vendedores por dia. Cada pedido fica registrado no anúncio, e o vendedor vê quantas pessoas verificadas entraram em contato. Coletar números em massa não serve para nada.
A verificação, passo a passo
Os mesmos passos para vendedor e comprador, no próprio celular, sem enviar foto de nada.
Abrir o ID Protekt
O MiAuto entrega a pessoa — vendedor ou comprador — ao app ID Protekt, no iOS ou no Android, e a recebe de volta quando termina. É código nativo, não uma página web, porque precisa do rádio NFC e da câmera.
Encostar o documento no celular
Ler o código impresso e depois apoiar o documento na parte de trás do aparelho. O chip se abre com chaves derivadas do próprio documento.
A assinatura do Estado é conferida
Passive Authentication contra a âncora de confiança do Estado emissor, no próprio celular. Se o documento foi alterado, a verificação falha e nada passa.
Prova de vida e comparação 1:1
Uma selfie ao vivo é comparada com o retrato que o Estado gravou no chip. A comparação acontece no celular.
Nada é enviado
O retrato e a selfie produzem um veredito e são descartados. O MiAuto nunca recebe o rosto de ninguém — apenas se houve correspondência.
O que fica é uma identidade, não um arquivo
O MiAuto recebe o veredito e o nome e o número que o chip comprovou — nunca uma imagem do documento nem um rosto. O comprador não digita nada, e os dados da fatura do vendedor vêm da mesma prova.
Dois lados, uma regra
O que muda quando o comprador também é verificado.
O número nunca é público
Nenhuma página web e nenhuma resposta pública da API traz o telefone de um vendedor. Quem o recebe é uma pessoa com login e verificada — no máximo 30 vendedores por dia — e cada pedido fica registrado no anúncio.
Uma pessoa, uma conta
Para isso, o documento é guardado apenas como um hash irreversível: o suficiente para recusar uma segunda conta com o mesmo documento depois que o chip comprova quem o porta. O mesmo hash limita o primeiro anúncio grátis a um por pessoa.
Documentos estrangeiros, a mesma cadeia
Passaportes ICAO e documentos de identidade com chip de outros Estados passam pela mesma Passive Authentication, de modo que equatorianos no exterior e estrangeiros que vivem no Equador se verificam da mesma forma.
Na dúvida, fecha
Sem verificação, não há anúncio nem contato. Um chip que não se verifica nunca vira uma aprovação de menor confiança.
Qualquer pessoa pode denunciar
Qualquer pessoa pode denunciar um anúncio pelo site ou pelos apps. Os moderadores veem todas as denúncias, com as de pessoas verificadas destacadas, e podem tirar um anúncio do ar.
Um reembolso encerra o anúncio
Um pagamento reembolsado tira o anúncio do ar automaticamente: dinheiro que foi devolvido nunca mantém um anúncio no ar.
O que a implementação nos ensinou
O que o projeto acertou:
- Biometria no aparelho não é só privacidade, é custo. Sem GPU no servidor, verificar mais um vendedor não custa praticamente nada — e é isso que torna possível um primeiro anúncio grátis
- Falhar fechado também vende. Um vendedor cuja verificação falha não é receita perdida: é justamente aquele que não queríamos
- Ninguém redigita o que o chip comprovou. Os dados da fatura do vendedor vêm da identidade verificada e do e-mail de login, e o RUC (o cadastro de contribuinte equatoriano) precisa pertencer à cédula (o documento de identidade equatoriano) verificada, então um número emprestado para por aí
- Dois consentimentos separados — compartilhar dados e processar um rosto — era o correto do ponto de vista legal e acabou sendo a melhor experiência: as pessoas entendem com o que estão concordando
O que nos obrigou a mudar:
- O NFC não fica onde você imagina. A antena muda de lugar entre modelos de aparelho, então “encoste o documento no celular” teve de virar uma animação em vez de uma frase
- Um retrato ausente é uma verificação que falhou, não uma que terminou. Um chip sem retrato legível não pode produzir uma comparação 1:1, e deixá-lo passar teria sido pior do que não verificar
- Uma pessoa verificada tinha de significar uma conta. Uma verificação que pode ser repetida numa segunda conta só prova que alguém existe. Recusar a duplicata exigiu apenas um hash irreversível do documento
- Verificamos pessoas, não carros. Dizer isso com todas as letras na página, em vez de deixar o comprador supor o contrário, foi uma decisão de produto tanto quanto de honestidade
A jornada, de ponta a ponta
O vendedor faz login, monta um anúncio com fotos tiradas no app, se verifica com o documento de identidade ou o passaporte, passa pela moderação e é publicado; o comprador navega livremente, se verifica uma vez e fala com o vendedor pelo WhatsApp ou por telefone.
Leve a mesma verificação para a sua plataforma
Se contas falsas, vendedores anônimos ou fraudes no cadastro estão custando caro, a mesma barreira pode ser construída sobre o que você já opera.
Valorizamos sua privacidade
Utilizamos cookies e análises para compreender como você usa nosso site e melhorar sua experiência. Isso inclui Google Analytics para rastrear o uso do site.
Ao clicar em "Aceitar", você consente com o rastreamento de análises. Saiba mais em nossa Política de Cookies e Política de Privacidade.