7 de janeiro de 2025
Os deepfakes e os ataques por injeção já não são um problema futuro que as equipas de verificação de identidade e de cibersegurança tenham de antecipar. São, atualmente, o principal vetor de ataque contra a biometria facial, e as principais instituições de investigação independentes que cobrem esta área chegaram a um conjunto semelhante de conclusões sobre a forma como as organizações devem responder.
Reunimos relatórios de analistas que, quando analisados em sequência, contam uma história completa: como é, na realidade, a ameaça, a que ritmo está a crescer, onde está atualmente a afetar mais gravemente as organizações e quem o mercado considera estar à frente da curva.
Gartner: Ameaças à identidade decorrentes de deepfakes – Mitigar o risco na verificação de identidade e na biometria facial
O ponto de partida; o enquadramento. Os analistas da Gartner, Akif Khan, Nayara Sangiorgio e James Hoover, defendem uma nova perspetiva que reformula por completo a forma como os compradores devem avaliar os fornecedores: deixar de comparar soluções com base nas alegações de «detecção de deepfakes». O estudo argumenta que se trata de uma abordagem probabilística e não normalizada, sem qualquer forma fiável de verificar as alegações dos fornecedores ou de comparar os diferentes prestadores entre si.
Em vez disso, o relatório defende que a verdadeira defesa tem duas camadas essenciais:
- Detecção de ataques de apresentação, testada em conformidade com a norma ISO/IEC 30107-3, para artefactos fisicamente apresentados a uma câmara, tais como máscaras, fotografias impressas ou a reprodução de um ecrã.
- Detecção de ataques por injeção, testada em conformidade com a norma mais recente CEN/TS 18099, para ataques que contornam totalmente a câmara e introduzem ficheiros multimédia falsificados diretamente no fluxo de dados.
O relatório também estabelece uma distinção que é fácil ignorar no marketing dos fornecedores: a deteção de vitalidade não é uma categoria distinta da deteção de ataques de apresentação, mas sim uma das técnicas abrangidas pelos testes PAD. Veja como a deteção de vitalidade se enquadra numa estrutura de defesa mais ampla ou teste a sua deteção de vitalidade atual aqui.
Os sinais contextuais, como as informações sobre o dispositivo e a localização, são também destacados, uma vez que nenhuma medida de defesa isolada consegue detetar todos os ataques. Saiba mais sobre a defesa em várias camadas e os sinais contextuais aqui.
A responsabilidade recai agora sobre a deteção de ataques de apresentação e injeção, testada de forma independente, para colmatar essa lacuna. O nosso próximo relatório apresenta dados concretos sobre a velocidade exata a que essa lacuna se está a alargar.
Leia o resumo do relatório da Gartner.
Goode Intelligence e Biometric Update: Relatório de Mercado e Guia do Comprador sobre a Detecção de Ataques por Injeção em 2026
Este relatório apresenta os números que sustentam o quadro acima. A Goode Intelligence prevê que as tentativas de ataques por injeção aumentem de 122 milhões em 2026 para mais de 301 milhões até 2028, levando a mais de 4 mil milhões de verificações de deteção de ataques por injeção por ano até ao final desse período.
Além disso, estabelece uma distinção que vale a pena ter em conta: a deteção de ataques por injeção, a deteção de ataques de apresentação e a deteção de deepfakes estão relacionadas, mas não são intercambiáveis. A deteção de ataques de apresentação analisa o que é apresentado ao sensor. A deteção de deepfakes analisa o próprio conteúdo multimédia em busca de sinais de manipulação. A deteção de ataques por injeção protege a integridade do canal entre a câmara e o sistema de processamento, que é onde um atacante que utilize uma câmara virtual ou um emulador atua efetivamente.
O relatório reconhece a iProov como pioneira no combate a esta ameaça específica, referindo alertas sobre ataques de injeção que remontam a 2020, muito antes de o setor em geral a ter tratado como uma categoria distinta. Cita ainda a certificação FIDO Face Verification obtida pela iProov em maio de 2024 e uma avaliação CEN/TS 18099 de Nível 4 (Elevado) realizada pela Ingenium em novembro de 2025, o que está em consonância com o aumento previsto neste relatório. Para saber mais sobre o que essa norma realmente avalia, consulte a nossa análise detalhada da norma CEN/TS 18099.
Leia o relatório completo da Good Intelligence (PDF).
Gartner: A verificação da identidade dos colaboradores requer capacidades específicas
A verificação de identidade tem sido, historicamente, uma ferramenta voltada para o cliente e orientada pelos princípios do KYC. Este relatório, também da autoria de Khan, Sangiorgio e Hoover, explica por que razão isso está a mudar rapidamente: ataques a serviços de assistência informática por grupos como o Scattered Spider, associados a violações de segurança em organizações como a MGM e a Marks & Spencer, e o padrão bem documentado de organizações que, sem o saberem, contratam profissionais de TI provenientes de países sujeitos a sanções, recorrendo a deepfakes durante entrevistas à distância.
O argumento central do relatório para os compradores é que a verificação da identidade dos colaboradores não corresponde à mesma aquisição que a verificação da identidade dos clientes. As defesas fundamentais (detecção de ataques de apresentação e de injeção) continuam a aplicar-se, mas os casos de utilização relacionados com os colaboradores acrescentam requisitos para os quais a maioria dos fornecedores orientados para o cliente não está preparada: integração com sistemas de RH, plataformas de assistência técnica de TI e ferramentas de gestão de acesso, além da correspondência automatizada com os registos dos colaboradores, em vez de pesquisas manuais. Abordámos especificamenteo caso da KnowBe4 na nossa análise detalhada,e é precisamente esse o cenário em que este relatório se baseia. Consulte o nosso Conjunto de Soluções para a Força de Trabalho para saber como isto se traduz numa implementação real.
Descarregue o relatório completo da Gartner.
Acuity Market Intelligence: Relatório «Prism» sobre identidades digitais biométricas, deepfakes e identidades sintéticas
Esta é a validação independente que une as outras três. O Projeto Prism da Acuity avalia o mercado da identidade digital biométrica em nove categorias, utilizando seis critérios ponderados, e este relatório, o sexto da série, é o primeiro a centrar-se especificamente na ameaça representada pelos deepfakes e pelas identidades sintéticas, em vez de se concentrar num único setor vertical.
O relatório apresenta uma taxonomia útil para quem procura compreender a fraude de identidade sintética: identidades sintéticas completas, construídas inteiramente a partir de elementos falsificados; identidades sintéticas parciais, que combinam um elemento autêntico com um falsificado; e identidades sintéticas híbridas, que misturam ambos em combinações variadas. A Acuity destaca a iProov como uma das duas únicas organizações em todo o relatório a conquistar o estatuto de «Pioneira», citando o seu foco precoce e sustentado na ameaça dos deepfakes, e atribui-lhe uma pontuação máxima de 6 em 6 especificamente no que diz respeito à liderança em deepfakes e identidades sintéticas.
Saiba mais sobre o que significa a designação «Trailblazer» e consulte o resumo das conclusões apresentado no próprio relatório.
Por que razão estes relatórios de analistas estão reunidos?
Individualmente, cada relatório responde a uma questão diferente: como se defende a biometria facial, a que ritmo a ameaça está a crescer, por que razão a verificação da identidade dos colaboradores necessita de ferramentas diferentes e quem é que o mercado considera estar à frente da curva. Lidos em conjunto, demonstram que não se trata de uma preocupação técnica de nicho. É uma ameaça que abrange a integração de clientes, a contratação de colaboradores e a recuperação de contas, e as organizações que tratam a deteção de ataques de apresentação e a deteção de ataques de injeção como dois requisitos distintos e inegociáveis são as que estão melhor posicionadas para o que está para vir.
Nenhuma destas quatro entidades considera que as ameaças estejam resolvidas. Continuam a evoluir e iremos continuar a atualizar esta página à medida que as normas, as previsões e os tipos de ataques a ter em conta forem mudando.
Para uma análise mais aprofundada da forma como estes ataques estão a decorrer neste momento, consulte o Relatório de Inteligência sobre Ameaças 2026 da iProov.
