4 de agosto de 2026
Com entrada em vigor prevista para 10 de julho de 2027, os novos regulamentos da UE contra a lavagem de dinheiro transformarão a forma como instituições financeiras, empresas do setor de criptomoedas e outras entidades lidam com a integração de novos clientes, a conformidade e a gestão de riscos. O pacote visa reduzir a fragmentação entre os Estados-membros, diminuir a carga administrativa e melhorar a segurança e a experiência do usuário por meio da verificação eletrônica de identidade.
Um elemento fundamental do novo pacote regulatório são as Normas Técnicas Regulatórias (RTS), que estão atualmente em fase de elaboração. As RTS definirão os requisitos sobre como as instituições financeiras que operam na União Europeia devem conduzir a verificação da identidade dos clientes, a avaliação de riscos e a integração digital.
Este blog explora os fatores que motivaram as mudanças regulatórias, o que essas exigências significam para as empresas da UE e as medidas que as organizações podem adotar agora para evitar o risco de não conformidade no futuro próximo.
Fatores que impulsionam controles mais rigorosos contra a lavagem de dinheiro
As mudanças são uma resposta à crescente sofisticação das atividades de lavagem de dinheiro e financiamento do terrorismo na UE e fora dela. Com o auxílio da IA generativa, de ferramentas de deepfake e de redes de “crime como serviço”, os criminosos contornam os controles de identidade tradicionais e abrem contas fraudulentas.
Identidades fraudulentas dentro do perímetro do KYC podem ser utilizadas para lavagem de dinheiro, financiamento do terrorismo e evasão de sanções. Os criminosos podem ampliar essa prática — um único indivíduo pode abrir inúmeras contas utilizando diferentes identidades roubadas ou sintéticas.
As vulnerabilidades de um sistema de verificação de identidade deficiente vieram à tona no início de 2026, quando um único criminoso abriu 46 contas bancárias no ABM AMRO, utilizando informações de identidade roubadas e deepfakes para contornar os controles de identificação “ID + Selfie”.
A transição para um processo de integração em conformidade com o eIDAS
A resposta dos órgãos reguladores a essa questão é exigir controles de identidade mais rigorosos no processo de cadastro, com base no eIDAS. O projeto de RTS estabelece a eID como o meio padrão de verificação da identidade do usuário, relegando os documentos físicos e a verificação de identidade por videochamada a uma opção alternativa — que as instituições devem justificar perante seus supervisores sempre que a utilizarem.
O Regulamento relativo aos Serviços de Identificação, Autenticação e Confiança Eletrônicos (eIDAS) estabelece o marco regulatório para o uso de identidades eletrônicas (eID) na integração remota. Seus Níveis de Garantia (LoA) classificam o grau de confiança em uma identidade declarada — a AMLR aceita identidades eletrônicas nos Níveis de Garantia “Substancial” e “Alto”. O nível “Alto” é o padrão mais rigoroso de verificação de identidade na UE.
Com o prazo final de julho de 2027 se aproximando, as empresas da UE estão sob pressão para modernizar suas infraestruturas de identidade a fim de atender aos requisitos. Os ciclos de certificação levam meses; portanto, a adoção de soluções de identidade que ainda não foram certificadas para atender aos níveis de garantia do eIDAS cria o risco de não conformidade e das penalidades decorrentes quando o prazo chegar.
A parceria com um provedor de identidade que já possua certificação modular nos níveis “Alto” e “Substancial” não apenas elimina esse risco, mas também permite que você adapte o nível de garantia ao risco associado à transação, à identidade ou aos fatores contextuais — equilibrando velocidade, experiência do usuário e segurança.
A resiliência contra ameaças à identidade é fundamental
Embora o projeto de RTS estabeleça que a verificação de identidade deve estar em conformidade com o eIDAS, ele ainda não define requisitos específicos para recursos de proteção contra falsificação de identidade. A ausência de um padrão mínimo de segurança representa o risco de que as instituições financeiras adotem soluções incapazes de resistir às principais ameaças à identidade da atualidade. Os ataques contra sistemas de identidade remota se apresentam de duas formas:
- Ataque de apresentação: O invasor compra, rouba ou falsifica um documento de identidade físico para enganar a verificação de documentos e, em seguida, exibe uma cópia impressa, uma máscara ou um deepfake exibido em uma tela na frente da câmera.
- Ataque por injeção: O invasor contorna totalmente a câmera, injetando imagens de documentos falsificados e um rosto sintético diretamente no fluxo de dados, geralmente usando uma câmera virtual ou um ambiente virtualizado.
Embora os ataques de apresentação continuem sendo abundantes, eles são bem compreendidos, de escala limitada, e muitas soluções já foram validadas para a detecção de ataques de apresentação (PAD). Em contrapartida, os ataques de injeção se expandem rapidamente e estão evoluindo de maneiras que confundem as defesas anteriores. Em 2026, a iProov Threat Intelligence relatou um aumento de 1.151% nos ataques de injeção direcionados a sistemas iOS, uma plataforma anteriormente considerada segura devido ao ecossistema de ciclo fechado da Apple.
Quando combinados com deepfakes gerados por IA e identidades sintéticas, os ataques de injeção estão se revelando o principal método utilizado por invasores para contornar as defesas de identidade — muitas das quais se baseiam em PAD básico — e abrir contas fraudulentas, prejudicando os controles de combate à lavagem de dinheiro.
Detecção de ataques por injeção
As soluções de identidade podem comprovar suas capacidades de detecção de ataques por injeção (IAD) por meio de testes e validações independentes e alinhados às normas. A norma CEN TS 18099 é a norma técnica atual para detecção de ataques por injeção, classificando a IAD nos níveis “Substancial” e “Alto”. O Ingenium, um laboratório de testes, vai ainda mais longe, estabelecendo cinco níveis de IAD, sendo que o Nível 2 equivale ao nível “Alto” da norma CEN.
Embora o AMLR RTS ainda não tenha especificado a detecção de ataques de injeção como um requisito, a adoção de uma detecção comprovada de ataques de injeção (IAD) é o caminho a ser seguido para a conformidade global em matéria de identidade. A norma NIST SP 800-63-4, finalizada em 2025, exige explicitamente que os sistemas de verificação remota de identidade implementem controles contra conteúdo gerado por IA e ataques de injeção.
Portanto, embora a IAD ainda não seja um requisito explícito das regulamentações de combate à lavagem de dinheiro, as instituições financeiras podem se antecipar às exigências de conformidade estabelecendo parcerias com fornecedores de soluções de identidade capazes de comprovar o cumprimento tanto da IAD quanto da PAD de acordo com padrões reconhecidos.
Como o iProov pode ajudá-lo a se preparar para o próximo pacote de medidas contra a lavagem de dinheiro
A iProov possui certificação modular eIDAS nos níveis de garantia “Alto” (iProov Dynamic Liveness) e “Substancial” (iProov Express Liveness). O Dynamic Liveness é validado de acordo com o Ingenium Nível 4 (CEN TS 18099), o IAD de nível mais alto validado de forma independente entre todos os fornecedores de biometria até o momento da redação deste texto.
Agende uma demonstração para saber como podemos ajudar.
