Uma verificação de segurança não é suficiente: o caso da proteção de identidade em várias camadas

A maioria dos sistemas de segurança baseia-se numa suposição perigosa: basta uma verificação para impedir a entrada de fraudadores. Mas não é assim. E os números deixam isso claro imediatamente.

As credenciais foram as primeiras a cair. Os dados da Microsoft Entra mostram que os ataques baseados em senhas agora representam mais de 99% dos 600 milhões de ataques diários à identidade que eles observam. A senha de uso único enviada por SMS para o seu telefone também não está mais funcionando; ataques de troca de SIM estão a aumentar >1000% ano após ano só no Reino Unido.

Então, as organizações passaram a usar biometria facial, e os invasores seguiram o movimento. Isso porque os sistemas de alta segurança — aqueles que protegem processos críticos, contas financeiras e dados confidenciais — atraem os adversários mais determinados. Só em 2024, a iProov observou:

• Os ataques com câmeras virtuais nativas aumentaram 2.665%.
• Troca de rosto ataques deepfake triplicaram
• Ataques de injeção aumentaram 783% (e mais 740% até 2025)

Não se trata apenas de números maiores. Eles representam uma mudança fundamental: os invasores agora estão visando especificamente a camada biométrica, contornando as defesas que as organizações pensavam que poderiam “configurar e esquecer”. O problema não é a tecnologia biométrica, mas a suposição de que qualquer verificação única, por mais sofisticada que seja, é suficiente por si só.

Quando falamos de segurança em camadas aqui, não estamos falando da autenticação multifatorial tradicional. autenticação multifatorial – usar uma senha junto com um aplicativo autenticador, por exemplo (embora isso seja altamente recomendado e cada vez mais obrigatório em muitos países e setores). Estamos falando da estratégia de defesa em profundidade dentro de cada fator em si — como a camada de vários controles de segurança dentro da verificação biométrica garante que, se uma verificação for enganada, outras detectem o que ela deixou passar.

A segurança da identidade online é uma corrida armamentista. É uma evolução contínua, não uma equação que pode ser resolvida e arquivada. É exatamente por isso que a arquitetura da sua defesa é tão importante quanto a força de qualquer componente individual. Vamos explorar por que a proteção de identidade em várias camadas é essencial e como ela mantém você à frente dos malfeitores.

O problema com a segurança de ponto único

A semelhança com as senhas não é acidental. As senhas falharam não porque o conceito fosse errado, mas porque os invasores se tornaram sofisticados o suficiente para derrotar as verificações de credenciais de fator único em grande escala com métodos como ataques de força bruta e preenchimento de credenciais. A mesma dinâmica se repete em soluções biométricas de baixa segurança, com ataques cada vez mais complexos que são democratizados, empacotados e vendidos por fraudadores.

Nem todas as verificações biométricas de vivacidade são iguais. Alguns fornecedores dependem de uma verificação de imagem de quadro único: este rosto parece real? O problema é que as ferramentas modernas de troca de rosto, câmeras virtuaise softwares de deepfake são projetados especificamente para passar nesse tipo de verificação. A iProov identificou mais de 115.000 combinações possíveis de ataque nas ferramentas que rastreamos ativamente. Nenhuma verificação isolada pode cobrir essa superfície de ataque.

As verificações de quadro único capturam um instantâneo, não a presença genuína. Elas não podem provar que alguém está realmente lá, apenas que a imagem parece real, e muitos deepfakes são projetados com sucesso para parecer real.

E confiar nos seres humanos como alternativa também não é solução. Apenas 0,1% das pessoas consegue identificar com segurança a mídia sintética. Quando 99,9% das pessoas não conseguem distinguir o real do falso, a revisão manual é uma vulnerabilidade, e não uma rede de segurança.

Você pode perguntar: se as verificações de ponto único são o problema, isso não se aplica a qualquer fornecedor de biometria, incluindo a iProov? Sim, se a iProov fosse uma verificação de ponto único. Mas não é. A diferença é arquitetônica, e é isso que explicaremos a seguir.

Como funciona realmente a segurança biométrica multicamadas

A resposta não é simplesmente adicionar mais camadas sem uma correlação inteligente, pois isso apenas cria ruído e atrito. O objetivo é a integração ideal, em que cada camada contribui com sinais distintos que, quando analisados em conjunto, criam uma imagem completa que nenhuma camada isolada poderia ver sozinha.

As imagens por si só também deixam o ambiente digital totalmente desprotegido. Um invasor pode usar um emulador ou injetar um deepfake pré-gravado diretamente no fluxo de vídeo – contornando totalmente a câmera –, uma técnica que as verificações baseadas apenas em imagens não conseguem detectar. Sem a correlação de metadados (sinais de integridade do dispositivo, detecção de emulador, verificação do ambiente), uma verificação de autenticidade opera às cegas em relação a toda a superfície de ataque.

Veja como a abordagem em várias camadas da iProov detecta e bloqueia ataques modernos na prática:

1: A camada de imagens: deteção avançada de presença humana

A primeira camada comprova que uma pessoa real está fisicamente presente, e não uma foto, vídeo, deepfake ou máscara. Isso vai muito além de verificar se um rosto parece convincente.

A tecnologia Dynamic Liveness utiliza tecnologia Flashmark™ – sua tela se ilumina com cores aleatórias enquanto o sistema analisa como a luz reflete em um rosto genuíno em vários quadros. Isso cria um desafio único em desafio-resposta em tempo real que é praticamente impossível de falsificar, mesmo com deepfakes sofisticados, porque prova que a pessoa está presente no momento, e não um ataque de repetição.

2: A camada de metadados: perícia digital

Enquanto a detecção de vivacidade verifica a pessoa, a camada de metadados verifica o ambiente digital. Isso inclui:

• Detecção de dispositivos comprometidos (desbloqueados ou com acesso root)
• Identificação de emuladores, frequentemente utilizados em operações de fraude em grande escala
• Identificação de VPNs ou anonimizadores que ocultam a verdadeira origem de um dispositivo
• Verificação cruzada dos sinais técnicos em relação ao dispositivo reivindicado

Considere o último ponto: um invasor apresentando o que parece ser um iPhone, mas as dimensões da imagem no fluxo de dados não correspondem a nenhuma resolução que qualquer câmera de iPhone já produziu. Esse sinal por si só não prova fraude. Combinado com uma VPN, uma origem de IP incomum e dados de vivacidade que passaram de forma um pouco limpa demais, isso poderia levantar uma séria bandeira vermelha.

É o equivalente digital de um passaporte que parece real, mas contém o holograma do país errado. Os fraudadores modernos nem sempre são detectados por um único sinal: verificações de GPS, análise de IP ou detecção de vida, por si só, têm pontos cegos. O segredo é garantir que cada camada contribua com informações exclusivas que fortaleçam a decisão geral.

3: A vantagem do monitoramento contínuo

Como se trata de uma corrida armamentista, a implantação não é o fim da história. Ferramentas de ataque que eram consideradas de elite no ano passado agora são vendidas como “Crime-as-a-Service” para qualquer pessoa com um cartão de crédito.

Centro de Operações de Segurança da iProov (iSOC) (iSOC) analisa continuamente dados de ataques reais, atualizando métodos e algoritmos de detecção à medida que o panorama das ameaças evolui. Este não é um sistema que se configura e se esquece, mas sim uma defesa ativa e adaptável. Um sistema estático, por melhor que seja o seu design inicial, é um alvo fixo.

O iSOC e o monitoramento ativo de ameaças são uma grande parte do motivo pelo qual a detecção da iProov acompanha a evolução dos ataques, em vez de persegui-los. A ameaça muda; a resposta também. Essa postura de segurança proativa é a única que faz sentido em um cenário de ameaças em constante mudança, e quando nenhuma verificação isolada pode ser considerada definitiva.

CPensamentos finais: a realidade

Hoje em dia, a fraude impulsionada pela IA é tão fácil quanto clicar com o mouse. Kits de deepfake são vendidos como assinaturas de streaming. Quase ninguém consegue distinguir o real do falso.

Verificações em pontos únicos – especialmente soluções de verificação de vida de verificação de vida – são obsoletas contra essa ameaça.

Como afirma a Gartner:

“Os líderes de produtos na área de verificação de identidade estão sendo levados a adotar uma abordagem mais holística que incorpora uma estratégia de defesa em várias camadas para se proteger contra deepfakes.”
Relatório sobre o impacto da IA e dos deepfakes na verificação de identidade.

Abordagens em várias camadas que combinam detecção avançada de atividade com análise de metadados e monitoramento ativo de ameaças não são apenas melhores. Elas são necessárias. O monitoramento constante e o gerenciamento ativo de ameaças não são extras opcionais; eles são a base.

A questão não é se vale a pena investir em segurança multicamadas. A questão é se você pode se dar ao luxo de operar sem ela.

---

Interessado em saber mais sobre as soluções biométricas em camadas da iProov?

• O primeiro e único fornecedor a obter uma avaliação Iavaliação Genenium Nível 4 para detecção de ataques por injeção – um padrão que excede o nível mais alto da CEN TS 18099 (CEN High) tanto em escopo quanto em rigor. Em um teste independente de 40 dias, nenhuma via de ataque por injeção pôde ser estabelecida: rostos sintéticos e vídeos deepfake não tiveram para onde ir. Taxa de rejeição de usuários legítimos: apenas 1,3%, bem abaixo do limite de 15% exigido pelo padrão.
• Recentemente, o primeiro e único fornecedor a atender aos requisitos de verificação biométrica incluídos na nova Publicação Especial 800-63-4 do NIST, Diretrizes de Identidade Digital.
• Agende hoje mesmo sua demonstração consultiva.