Das VPNs à troca de rostos: como as lacunas na verificação da idade refletem o problema mais vasto da fraude

A proibição prevista pelo Governo do Reino Unido do uso das redes sociais por menores de 16 anos voltou a colocar a verificação da idade na ribalta.

Quando os requisitos de verificação da idade previstos na Lei da Segurança Online entraram em vigor a 25 de julho de 2025, a intenção era clara e justificável: as crianças deveriam estar mais bem protegidas contra experiências nocivas na Internet.

Mas a implementação também pôs em evidência um desafio que se encontra agora no centro da confiança digital: sempre que surgem verificações de idade, surgem também formas de as contornar.

Proton VPN registou um aumento de cerca de 1 400% nas inscrições no Reino Unido à medida que as regras entraram em vigor; a NordVPN registou um aumento de cerca de 1 000%. Os dados da Ofcom revelaram que a utilização diária de VPN no Reino Unido mais do que duplicou, atingindo 1,4 milhões de utilizadores, antes de se estabilizar em cerca de 900 000, um valor de referência significativamente elevado.

A utilização do Tor tem apresentado um padrão semelhante noutros mercados onde a verificação da idade ganhou importância na agenda política; os dados australianos relativos aos requisitos de verificação da idade nas redes sociais são um exemplo disso:

Para ser claro, as regras também estão a funcionar: a Ofcom registou quedas acentuadas nas visitas do Reino Unido aos maiores sites para adultos após a aplicação da lei, e as sondagens revelam que a maioria dos britânicos apoia o objetivo da lei. A questão não é que a verificação da idade não possa funcionar. É que, quando as verificações estão ligadas a sinais que os utilizadores podem ocultar, a mesma implementação pode, simultaneamente, garantir o cumprimento da lei e incentivar a sua evasão.

Leis semelhantes no Reino Unido, na Austrália e em vários estados dos EUA revelaram o mesmo desafio fundamental.

A questão não é se devem existir leis de verificação da idade; a questão é se as abordagens atuais à garantia da idade estão a revelar uma fragilidade mais ampla na confiança digital.

As VPNs não contornam a verificação, contornam o gatilho

A maioria dos sistemas de verificação de idade baseia-se na geolocalização do endereço IP para decidir se deve, de início, solicitar a verificação ao utilizador. Se um site detetar um endereço IP do Reino Unido, é acionada uma verificação de idade. Se o endereço IP parecer ter origem fora da jurisdição regulamentada, por o utilizador estar ligado através de uma VPN, o processo de verificação nunca é iniciado.

As VPNs não contornam as verificações de idade. Contornam a condição que exige essas verificações.

Isto não é uma falha da tecnologia de verificação de identidade. É um lembrete de que o fator desencadeante é tão importante quanto a verificação em si. Se um fluxo de verificação nunca for acionado, a verificação biométrica robusta, a verificação de documentos ou a deteção de vida nunca terão a oportunidade de cumprir a sua função.

Há aqui uma segunda questão relacionada com a conceção: nem todos os métodos de verificação da idade oferecem o mesmo nível de certeza. Muitas soluções implementadas para cumprir a legislação em matéria de verificação da idade são, na realidade, ferramentas de estimativa da idade, que são probabilísticas e podem não proporcionar o nível de certeza exigido em contextos de conformidade ou aplicação da lei de maior risco. Saiba mais no nosso blogue sobre a diferença entre verificação e estimativa da idade.

O Governo do Reino Unido destacou os dados da AVPA, que revelam um aumento de 5 milhões de verificações de idade por dia após a implementação do sistema, o que constitui uma prova concreta de que, para os utilizadores abrangidos, o sistema está a funcionar. O que esses números não conseguem refletir são todas as pessoas que nunca foram sujeitas a uma verificação, porque uma VPN as colocou fora do âmbito do sistema.

Eis o cerne do problema numa frase: nem mesmo a verificação mais rigorosa do mundo consegue proteger um fluxo que nunca começa.

Por que é que isto é importante para além dos limites de idade

Quando alguém utiliza uma VPN ou a rede Tor para aceder a conteúdos restritos, está a utilizar ferramentas nas quais as redes organizadas de fraude se baseiam para:

• Ocultar a sua localização ao abrir contas bancárias fraudulentas
• Contornar os controlos de geofencing nas plataformas de câmbio de criptomoedas
• Contornar as sanções, fazendo-se passar por clientes de regiões sem restrições
• Efetuar a criação em massa de contas a partir de um único local físico
• Testar credenciais roubadas em vários serviços sem ativar as verificações do Velocity

A intenção é diferente. Um adolescente que tenta aceder a uma plataforma não é o mesmo que um criminoso que abre contas de transporte de dinheiro. Mas o padrão subjacente é o mesmo: ocultar o sinal, evitar o gatilho, contornar o controlo.

É essa sobreposição que faz com que os limites de idade sejam importantes para além da segurança infantil. Tornam visível ao público em geral um problema de prevenção da fraude. Nem toda a pessoa que descarrega uma VPN se torna um fraudador. Claro que não. Mas é um lembrete de como as pessoas recorrem facilmente a ferramentas de contorno — VPNs, proxies, localizações falsificadas — assim que um controlo parece constituir um obstáculo. O conjunto de ferramentas sobrepõe-se ao que as operações de fraude utilizam em grande escala, mesmo quando a intenção é completamente diferente.

Das VPNs à troca de rostos: um leque de formas de evasão de identidade

Se as VPNs ocultam a sua localização, a troca de rostos e os deepfakes ocultam a sua identidade. As VPNs mostram o que acontece quando os utilizadores conseguem contornar a verificação. A troca de rostos mostra o que acontece quando os utilizadores chegam à verificação e tentam fingir ser outra pessoa.

Uma personagem fictícia de um videojogo passou numa verificação de idade real. Quando o Discord lançou a verificação facial da idade, os utilizadores descobriram que o modo de fotografia no Death Stranding lhes permitia manipular o rosto de uma personagem durante o passo «abrir e fechar a boca» para passar na verificação (PC Gamer). A lição por trás da piada: as verificações de presença em tempo real baseadas em ações previsíveis e repetíveis podem ser vulneráveis à repetição ou imitação. A presença genuína depende de um desafio que não possa ser antecipado nem reutilizado.

Essa mesma trajetória vai muito além de uma solução alternativa no modo de jogo:

• Os dados de inteligência sobre ameaças da iProov revelaram um aumento de 1 151 % nos ataques de injeção no iOS no segundo semestre de 2025.
• A Deloitte prevê que as perdas decorrentes de fraudes relacionadas com a IA generativa nos EUA aumentem de 12,3 mil milhões de dólares em 2023 para 40 mil milhões de dólares até 2027.

Estes não são problemas isolados. São diferentes manifestações da mesma lógica de fraude: se um serviço digital precisa de confiar em algo, os atacantes tentarão falsificá-lo. A localização pode ser ocultada. Os dispositivos podem ser manipulados. Os documentos podem ser falsificados. Os rostos podem ser trocados. As transmissões de vídeo podem ser adulteradas.

Esse é o espectro da evasão da identidade.

A única âncora de confiança resiliente: a presença humana genuína

Se todos esses sinais de confiança podem ser falsificados, o que resta?

A resposta é a presença humana genuína, comprovada em tempo real, naquele momento.

Tecnologias como o Dynamic Liveness da iProov comprovam a presença genuína respondendo a uma pergunta aparentemente simples: trata-se de uma pessoa real, a pessoa certa, presente neste momento? A deteção biométrica robusta da presença ajuda a neutralizar ameaças como gravações, deepfakes, trocas de rosto e ataques de injeção.

Na maioria dos cenários de verificação de identidade, a abertura de uma conta bancária, o acesso a serviços públicos e concluir o processo de KYC em plataformas financeiras, o fator desencadeante não depende da localização da rede. Quer se esteja a ligar a partir de Londres ou de Lagos, através de uma VPN ou não, o sistema continua a exigir que verifique a sua identidade com credenciais legítimas, como um documento emitido pelo Estado. Nestes casos, a verificação biométrica de vitalidade proporciona uma âncora de confiança robusta que as VPNs e a Tor não conseguem contornar.

A verificação da idade é um caso à parte. Quando o critério de ativação depende inteiramente da geolocalização com base no IP — «está numa jurisdição regulamentada?» —, as VPNs e a rede Tor contornam o sistema antes mesmo de a verificação da presença efetiva poder sequer começar. Isto não constitui uma falha da tecnologia biométrica; é um lembrete de que o critério de ativação é tão importante quanto a verificação propriamente dita.

O caminho a seguir

A proibição do uso das redes sociais por menores de 16 anos no Reino Unido constitui um estudo de caso oportuno, mas não representa a totalidade da situação. Trata-se de um exemplo de uma mudança muito mais ampla no sentido de comprovar a idade, a identidade e o direito de acesso online.

Sejamos claros: as VPNs e a Tor cumprem funções essenciais. Bloquear estas ferramentas de forma generalizada seria tecnicamente inviável e eticamente questionável. O problema não é a existência de infraestruturas de privacidade. É a dependência de mecanismos de aplicação da lei que essas ferramentas conseguem contornar.

Isso aponta para o rumo que a verificação da idade deve tomar. Uma verificação demasiado dependente de um sinal de IP que pode ser falsificado corre o risco de se tornar o elo mais fraco; por isso, o gatilho tem de se aproximar mais do utilizador, e não da sua localização aparente. Isso significa sinais de idade ao nível do dispositivo e do sistema operativo, credenciais verificadas e reutilizáveis, e formas que preservem a privacidade para que uma pessoa possa comprovar a sua idade ou identidade uma única vez, sem ter de repetir uma verificação que a localização geográfica pode contornar. É o mesmo princípio subjacente à iniciativa da UE no sentido das carteiras de identidade digitais: confiança ancorada numa credencial verificada, e não num sinal de rede.

Nos casos em que a verificação já é obrigatória e não depende da localização — como na banca, no KYC, nos serviços públicos, na recuperação de contas e no trabalho remoto —, a presença física é, atualmente, o ponto de referência mais sólido. A verificação da idade limita-se a comprovar o princípio por negação: a validade de uma verificação depende inteiramente do fator que a desencadeia.

Para funcionarem de forma ideal, os futuros sistemas devem:

• Afaste o gatilho dos sinais de rede que podem ser facilmente falsificados
• Dê preferência a um design que coloque a privacidade em primeiro lugar, com credenciais que preservem a privacidade, para que a verificação não se torne um «honeypot» de dados
• Assegurar a verificação de alto risco com base na presença humana efetiva
• Organizar os controlos de segurança em camadas, de modo a que a neutralização de um sinal não provoque a falha de todo o sistema
• Minimizar o atrito com o utilizador para reduzir o incentivo à evasão
• Conceber tendo em conta comportamentos adversários desde o início

Partamos do princípio de que o sistema será testado. Não porque todos os utilizadores sejam mal-intencionados, mas porque alguns serão curiosos, outros ficarão frustrados, outros seguirão tutoriais e outros serão criminosos.

O que está em causa é que os serviços digitais precisam, cada vez mais, de criar confiança sem necessidade de presença física. Precisam de saber se alguém tem idade suficiente para aceder a um serviço, se um cliente ou um trabalhador remoto é quem afirma ser, se quem abre uma conta é uma pessoa real ou uma identidade sintética e se o rosto que aparece no ecrã é ao vivo ou gerado.

As lacunas na verificação da idade refletem o problema mais vasto da fraude, uma vez que ambas revelam a mesma fraqueza: muitos sistemas digitais continuam a confiar em sinais que podem ser falsificados, contornados ou criados artificialmente.

O futuro da confiança digital depende de se comprovar o que mais importa: que uma pessoa real está efetivamente presente, no momento, e autorizada a agir.

• A confiança digital está a mudar rapidamente. Para saber mais sobre como está a ser posta à prova e reconstruída, subscreva a Biometric Beat.
• Marque aqui uma demonstração consultiva do iProov.