A tentativa de fraude via VPN: como o sistema de ponto remoto identificou a marcapação suspeita

No início de março de 2026, recebi uma ligação urgente do gerente de RH de uma empresa de varejo logístico com cerca de 200 colaboradores híbridos. O problema não era uma dúvida sobre a Portaria 671/2021, mas um suspeita de "fantasma" na folha de pagamento. Um analista de sistemas, em regime de home office, estava batendo seus pontos corretamente, iniciando e encerrando a jornada nos horários contratados, mas o departamento sentia que o产出 (output) não correspondia ao tempo declarado.

Eles não queriam demitir ninguém sem prova, e muito menos gerar um passivo trabalhista por acusação infundada. O que parecia ser uma "sensação" de gestor tornou-se um caso de livro didático sobre por que soluções de ponto móveis modernas não dependem apenas da honestidade do funcionário.

O cenário montado pelo colaborador era clássico, mas a execução técnica deixou rastros que o sistema de ponto cruzou em segundos. Ele estava tentando simular que estava na zona Sul de São Paulo, enquanto, na realidade, estava no litoral, a quase 100 km de distância. Para isso, utilizou uma conexão via VPN (Rede Privada Virtual), presumindo que, ao mascarar o endereço IP, a localização do registro também seria alterada.

O que ele não contabilizou foi que a validação de segurança de 2026 vai muito além do simples número do protocolo de internet.

O erro de cálculo do mascaramento de IP

O colaborador em questão, vamos chamá-lo de "André", configurou uma VPN gratuita no seu celular. A lógica dele era sólida para uma tecnologia de 2015: se o meu IP aponta para um servidor em São Paulo, o sistema vai acreditar que estou em São Paulo. Ele ativou a ferramenta, abriu o aplicativo de ponto e bateu o registro às 08:00 da manhã. O registro foi aceito e apareceu no painel do gestor com um status de "Aprovado tecnicamente".

No entanto, o algoritmo de segurança daquele aplicativo específico — que utiliza validação de múltiplas camadas — acionou um alerta "silencioso". Não bloqueou o ponto na hora para não gerar um travamento operacional caso fosse um falso positivo, mas marcou o registro para revisão manual de compliance.

A falha na estratégia de André não estava apenas no IP, mas na natureza daquele IP. Serviços de VPN gratuitos ou corporativos utilizam faixas de endereços IP comercialmente classificados como "Datacenter" ou "Hosting". Ninguém acessa a internet de uma residência ou escritório móvel usando um IP de datacenter. Carregadoras móveis como Vivo, Claro ou TIM utilizam faixas de IP específicas de "ISP" (Internet Service Provider) que incluem dados de geolocalização precisa e, o mais importante, consistência histórica.

Quando o sistema analisou a requisição, viu que o IP vinha de uma infraestrutura de servidores hospedada nos Estados Unidos, com roteamento para o Brasil, mas com uma latência (tempo de resposta) incompatível com uma conexão móvel 4G/5G estável na região urbana de São Paulo.

A anatomia da detecção: latência e salts de rede

A diferença crucial entre um sistema de ponto que "confia" e um que "audita" está nos metadados coletados no ato do batimento. Quando você usa uma VPN, todo o seu tráfego é encapsulado e enviado para um servidor intermediário antes de chegar ao destino final.

Esse processo acrescenta "hops" (saltos) na rede. Uma conexão móvel direta, seja via 4G ou Wi-Fi residencial, costuma ter um caminho relativamente curto até o servidor do aplicativo de ponto. No caso de André, o ping (tempo de ida e volta) naquele registro específico estava acima de 250ms. O histórico médio daquele usuário e da região dele era de 35ms a 60ms. Um salto de mais de 200ms em relação à sua própria média é uma anomalia estatística gritante.

Além da latência, houve uma incoerência técnica mais grave: o TLS Fingerprinting (a impressão digital da conexão criptografada). A conexão via VPN modificou os pacotes de handshake. Enquanto o celular continuava enviando cabeçalhos típicos de um dispositivo Android acessando via rede móvel, a camada de rede abaixo trazia assinaturas de túnel criptografado comercial.

O sistema cruzou isso com o geofencing. O ponto foi registrado dentro do raio permitido (o IP "mentiu" dizendo que estava lá), mas a assinatura técnica da conexão gritava que o tráfego estava sendo retransmitido.

Por que o GPS sozinho não é a solução definitiva

Muitos gestores acreditam que, se desativarem o GPS e usarem apenas IP, ou vice-versa, estarão seguros. Isso é um erro perigoso. O GPS pode ser falsificado por apps "spoofers" disponíveis na Play Store. O IP pode ser mascarado por VPNs. A segurança está na convergência.

Se tivéssemos olhado apenas para o GPS, talvez a fraude tivesse passado, pois ele poderia ter mantido o GPS real desligado (o que gera um alerta de "precisão baixa", mas não de fraude ativa) ou usado um simulador de localização.

No caso estudado, a combinação foi fatal para a tentativa de golpe. O sistema percebeu que o IP (Datacenter) e o comportamento da rede (latência alta) não condiziam com o perfil de um funcionário trabalhando em casa. O custo dessa tentativa para o funcionário seria um ganho financeiro de cerca de R$ 120 a R$ 150 mensais em horas extras fictícias ou dias abonados indevidamente. Para a empresa, o risco era a conformidade legal perante a fiscalização, que considera a falsificação de registro como falta grave.

Existe uma tecnologia complementar que auxilia nessa validação, mesmo sem depender exclusivamente do GPS: a impressão digital de Wi-Fi. O sistema captura o BSSID (identificador único) do roteador Wi-Fi ao qual o celular está conectado. No caso de André, ele estava tentando usar a rede 5G do celular, mas a máscara de IP pesou na decisão do algoritmo.

O desfecho administrativo e a lição de compliance

Com o relatório de inconsistência em mãos, o RH não precisou confrontar o funcionário com "achismos". Eles apresentaram os logs: "No dia 15 de março, às 08:02, seu registro foi originado de um IP de datacenter, com latência de 280ms, incompatível com sua localização declarada e seu histórico de conexão".

A evidência técnica era irrefutável. Não era uma interpretação subjetiva de produtividade, mas um dado bruto de infraestrutura. O colaborador admitiu a tentativa, alegando "testar o sistema", o que não o isenta das penalidades previstas em contrato, visto que o registro gerou pagamento de horas.

Para o departamento pessoal, o aprendizado foi duplo. Primeiro, a vulnerabilidade existe: funcionários estão tecnicamente equipados para burlar controles básicos. Segundo, a solução não é proibir o home office ou aumentar a fiscalização manual, mas automatizar a defesa.

Empresas que utilizam apenas o registro manual (tipo "X" no papel ou planilha) ou sistemas obsoletos sem verificação de integridade do dispositivo estão completamente expostas. No cenário de 2026, a fiscalização do trabalho também crossinga dados digitais. Se uma reclamação trabalhista for aberta, o juiz pode pedir os metadados dos registros de ponto. Ter registros de IP comprovadamente falsificados pode embasar uma dispensa por justa causa, salvando a empresa de custos de rescisão indireta e horas extras não trabalhadas.

O uso de VPN é legítimo e necessário para segurança corporativa em muitos casos, mas o aplicativo de ponto precisa ter a inteligência de diferenciar um tráfego corporativo seguro de uma tentativa de ocultação de localização. A regra é clara: consistência de tráfego é o novo cartão de ponto.