4 de agosto de 2026
Com entrada em vigor a 10 de julho de 2027, os novos regulamentos da UE em matéria de combate ao branqueamento de capitais irão transformar a forma como as instituições financeiras, as empresas do setor das criptomoedas e outras entidades abordam a integração de novos clientes, a conformidade e a gestão de riscos. O pacote visa reduzir a fragmentação entre os Estados-Membros, mitigar os encargos administrativos e melhorar a segurança e a experiência do utilizador através da verificação eletrónica da identidade.
Um elemento fundamental do novo pacote regulamentar são as Normas Técnicas Regulamentares (RTS), que se encontram atualmente em fase de elaboração. As RTS irão definir os requisitos relativos à forma como as instituições financeiras que operam na União Europeia devem realizar a verificação da identidade dos clientes, a avaliação de riscos e a integração digital.
Este blogue analisa os fatores que estão na origem das alterações regulamentares, o que esses requisitos significam para as empresas da UE e as medidas que as organizações podem tomar agora para evitar o risco de incumprimento num futuro próximo.
Fatores que levam a controlos mais rigorosos em matéria de combate ao branqueamento de capitais
Estas alterações surgem em resposta à crescente sofisticação das atividades de branqueamento de capitais e financiamento do terrorismo na UE e fora dela. Com a ajuda da IA generativa, das ferramentas de deepfake e das redes de «crime como serviço», os criminosos contornam os controlos de identidade tradicionais e abrem contas fraudulentas.
As identidades fraudulentas dentro do perímetro do KYC podem ser utilizadas para branqueamento de capitais, financiamento do terrorismo e evasão de sanções. Os criminosos podem ampliar esta prática — um único indivíduo pode abrir inúmeras contas utilizando diferentes identidades roubadas ou sintéticas.
As vulnerabilidades de um sistema de verificação de identidade deficiente foram expostas no início de 2026, quando um único criminoso abriu 46 contas bancárias no ABM AMRO, utilizando dados de identidade roubados e deepfakes para contornar os controlos de identidade «ID + Selfie».
A transição para um processo de integração em conformidade com o eIDAS
A resposta das entidades reguladoras a esta situação consiste em impor controlos de identidade mais rigorosos na fase de integração, com base no regulamento eIDAS. O projeto de RTS estabelece a identificação eletrónica (eID) como o meio por defeito de verificação da identidade do utilizador, relegando os documentos físicos e a verificação de identidade por videochamada para uma opção de recurso — que as instituições terão de justificar perante as suas entidades supervisoras sempre que a utilizarem.
O Regulamento relativo aos serviços de identificação eletrónica, autenticação e confiança (eIDAS) estabelece o quadro regulamentar para a utilização de identificação eletrónica (eID) no processo de integração à distância. Os seus Níveis de Garantia (LoA) classificam o grau de confiança numa identidade declarada — a AMLR aceita a identificação eletrónica (eID) nos Níveis de Garantia «Substancial» e «Elevado». O nível «Elevado» é a norma de verificação de identidade mais rigorosa da UE.
Com o prazo de julho de 2027 a aproximar-se, as empresas da UE estão sob pressão para modernizar as suas infraestruturas de identidade, de modo a cumprir os requisitos. Os ciclos de certificação demoram meses, pelo que a adoção de soluções de identidade que ainda não estejam certificadas para cumprir os níveis de garantia do eIDAS cria um risco de incumprimento e as consequentes sanções quando o prazo chegar.
Estabelecer uma parceria com um fornecedor de soluções de identidade que já possua certificação modular nos níveis «Elevado» e «Substancial» não só elimina este risco, como também permite adequar o nível de garantia ao risco associado à transação, à identidade ou aos fatores contextuais — equilibrando rapidez, experiência do utilizador e segurança.
A resiliência face às ameaças à identidade é vital
Embora o projeto de RTS estabeleça que a verificação de identidade deve estar em conformidade com o eIDAS, ainda não define requisitos específicos relativos às capacidades de combate à falsificação de identidade. A ausência de uma base de referência de segurança acarreta o risco de as instituições financeiras adotarem soluções incapazes de resistir às principais ameaças à identidade da atualidade. Os ataques contra sistemas de identificação remota assumem duas formas:
- Ataque de apresentação: O atacante compra, rouba ou falsifica um documento de identidade físico para enganar a verificação de documentos e, em seguida, exibe uma cópia impressa, uma máscara ou um vídeo deepfake reproduzido num ecrã à frente da câmara.
- Ataque por injeção: O atacante contorna completamente a câmara, injetando imagens de documentos falsificados e um rosto sintético diretamente no fluxo de dados, normalmente utilizando uma câmara virtual ou um ambiente virtualizado.
Embora os ataques de apresentação continuem a ser abundantes, são bem compreendidos, de escala limitada e existem muitas soluções validadas para a deteção de ataques de apresentação (PAD). Em contrapartida, os ataques de injeção expandem-se rapidamente e estão a evoluir de formas que confundem as defesas anteriores. Em 2026, a iProov Threat Intelligence registou um aumento de 1 151 % nos ataques de injeção dirigidos a sistemas iOS, uma plataforma anteriormente considerada segura devido ao ecossistema de circuito fechado da Apple.
Em combinação com deepfakes gerados por IA e identidades sintéticas, os ataques de injeção estão a revelar-se o principal método utilizado pelos atacantes para contornar as defesas de identidade — muitas das quais se baseiam em PAD básico — e abrir contas fraudulentas, comprometendo os controlos de combate ao branqueamento de capitais.
Detecção de ataques por injeção
As soluções de identidade podem comprovar as suas capacidades de deteção de ataques por injeção (IAD) através de testes e validação independentes e alinhados com as normas. A norma CEN TS 18099 é a norma técnica atual para a deteção de ataques por injeção, classificando a IAD em «Substancial» e «Elevada». A Ingenium, um laboratório de testes, vai ainda mais longe, estabelecendo 5 níveis de IAD, sendo que o Nível 2 corresponde ao nível «Elevada» da norma CEN.
Embora o AMLR RTS ainda não tenha especificado a deteção de ataques de injeção como um requisito, a transição para uma IAD comprovável é o caminho a seguir no que diz respeito à conformidade global em matéria de identidade. A norma NIST SP 800-63-4, finalizada em 2025, exige explicitamente que os sistemas de verificação remota de identidade implementem controlos contra conteúdos gerados por IA e ataques de injeção.
Assim, embora a IAD ainda não seja um requisito explícito da regulamentação em matéria de combate ao branqueamento de capitais, as instituições financeiras podem antecipar-se aos requisitos de conformidade estabelecendo parcerias com fornecedores de soluções de identificação que possam demonstrar o cumprimento tanto da IAD como da PAD de acordo com normas reconhecidas.
Como a iProov pode ajudá-lo a preparar-se para o próximo pacote de medidas contra o branqueamento de capitais
A iProov possui certificação modular eIDAS nos níveis de garantia «Elevado» (iProov Dynamic Liveness) e «Substancial» (iProov Express Liveness). A tecnologia Dynamic Liveness é validada de acordo com o Ingenium Nível 4 (CEN TS 18099), o IAD com a mais elevada validação independente entre todos os fornecedores de biometria à data da redação deste texto.
Marque uma demonstração para saber como podemos ajudar.
