Detecção de Atividade | Uma Camada Extra de Proteção Contra Falsificação e Fraude

Prevê-se que o mercado de reconhecimento facial atinja 20.68 bilhões de dólares até 2031, partindo de 10.02 bilhões de dólares. em 2026, com uma taxa de crescimento anual composta (CAGR) de 15.6% de 2026 a 2031.

Essa expansão gerou um aumento paralelo nos ataques de falsificação. Os fraudadores agora utilizam fotografias impressas, vídeos deepfake, máscaras de silicone e rostos sintetizados por IA contra sistemas que não possuem os meios para distinguir uma pessoa real de uma falsificação convincente. A detecção de vivacidade existe para preencher essa lacuna.

O que é Detecção de Vivacidade?

A detecção de vivacidade é um método baseado em IA que separa um rosto humano genuinamente presente de uma representação falsa ou reproduzida. Como componente central de verificação facialIsso distingue uma pessoa real de ataques de apresentação, categoria que abrange qualquer tentativa de enganar um sistema de verificação apresentando uma fotografia, uma reprodução de vídeo, uma máscara ou um rosto gerado por IA.

O que diferencia a detecção de vivacidade da correspondência facial padrão é seu foco na presença física, e não apenas na aparência. reconhecimento facial O mecanismo verifica se duas imagens são semelhantes. A detecção biométrica de vivacidade verifica se o rosto em frente à câmera está vivo e fisicamente presente no momento. Essa distinção é o que a torna eficaz contra métodos modernos de falsificação e por que se tornou um requisito padrão em Verificação de Identidade workflows.

Como funciona a detecção de vivacidade?

Os sistemas de detecção de vivacidade utilizam uma combinação de modelos de IA, sensores de profundidade e análise comportamental para determinar se o rosto apresentado à câmera pertence a um indivíduo real e presente. O método específico depende se o sistema opera em modo ativo ou passivo e se processa imagens em duas ou três dimensões.

Detecção ativa de vivacidade

A detecção de presença ativa exige que o usuário execute uma ação específica. O usuário pode piscar, virar levemente a cabeça, seguir um objeto em movimento na tela ou sorrir quando solicitado. O sistema avalia a resposta biológica e o padrão de movimento para confirmar a presença física. Essa abordagem funciona bem contra ataques estáticos, como fotografias impressas e reproduções de vídeo básicas, mas a ação exigida adiciona atrito à experiência do usuário.

Detecção de vivacidade passiva

A detecção passiva de vivacidade não exige nenhuma ação deliberada do usuário. A pessoa alinha o rosto com a câmera e o mecanismo de IA analisa profundidade, textura, microexpressões e outros sinais fisiológicos em segundo plano. Da perspectiva do usuário, a verificação ocorre de forma invisível. A detecção passiva de vivacidade proporciona uma experiência mais rápida e com menos atrito, sem sacrificar a precisão da detecção.

Muitos sistemas agora oferecem uma abordagem semipassiva que solicita um breve gesto natural, como um sorriso, equilibrando a segurança com uma experiência de integração mais tranquila.

Detecção de vivacidade 2D vs. 3D

A dimensão em que um sistema opera define tanto seu limite de segurança quanto seus requisitos de hardware. A detecção de vivacidade 2D analisa quadros de imagens planas, verificando artefatos fotográficos, reflexos na tela, inconsistências de cor e anomalias em nível de pixel. Ela funciona bem para integração de menor risco fluxos onde as limitações do dispositivo restringem os sensores disponíveis.

A detecção de vivacidade em 3D mapeia a geometria espacial real de um rosto usando luz estruturada, sensores infravermelhos ou reconstrução por câmera estéreo. Uma fotografia plana ou uma tela não possuem profundidade real, portanto, um sistema 3D rejeita esses ataques em um nível geométrico, e não em um nível de pixel. Para setores de alto risco, como serviços financeiros, programas de identidade governamentais e processos de integração regulamentados, a detecção de vivacidade em 3D oferece uma base de segurança mais robusta contra falsificações sofisticadas. A reconstrução 3D baseada em software, utilizando câmeras padrão, reduziu consideravelmente a dependência de hardware nos últimos anos.

A escolha entre 2D e 3D é uma decisão baseada em riscos, que depende do ambiente regulatório, dos tipos de ataque mais relevantes para o negócio e do panorama de dispositivos da base de usuários.

Importância da Detecção de Vivacidade

A detecção de vivacidade ajuda a comprovar que a amostra biométrica provém de uma pessoa real e presente, e não de uma falsificação. Ela atua como uma barreira contra fraudadores que tentam burlar sistemas biométricos usando fotos, vídeos, máscaras ou até mesmo deepfakes gerados por IA. Isso contribui para o fortalecimento do processo de KYC (Conheça Seu Cliente) e integração de clientes, especialmente para bancos, fintechs e plataformas de criptomoedas, reduzindo significativamente as chances de que uma identidade roubada ou falsa seja aprovada no processo de integração.

Como os ataques de spoofing evoluíram?

Os ataques de falsificação de identidade evoluíram em sofisticação na mesma proporção que as ferramentas de IA que os possibilitam. Fotografias impressas e reproduções básicas de tela eram suficientes para derrotar os primeiros ataques. sistemas biométricosOs ataques atuais incluem ataques gerados por IA. deepfake Vídeos, máscaras de silicone fotorrealistas e rostos sintéticos projetados para burlar câmeras ópticas RGB padrão. Um sistema sem detecção de vivacidade fica vulnerável a esses ataques, independentemente da precisão do seu mecanismo de reconhecimento facial. Mesmo uma correspondência biométrica perfeita com uma fotografia roubada passa na verificação facial quando a detecção de vivacidade está ausente.

A detecção de vivacidade combate a ameaça na sua origem. A tecnologia não avalia a aparência do rosto, mas sim se ele é real, se a pessoa está fisicamente presente e viva no momento da verificação. Sem ela, a camada de correspondência pode ser burlada por qualquer pessoa que tenha acesso a uma boa fotografia do titular da conta.

Riscos de conformidade e proteção do usuário 

A exposição regulatória é real. Estruturas de conformidade na UE, nos EUA e na região Ásia-Pacífico incorporaram controles anti-spoofing em diretrizes de garantia de identidade publicadas desde 2020. Um sistema que não consegue demonstrar a detecção de ataques de apresentação não pode afirmar, de forma confiável, que atende aos níveis de garantia de identidade exigidos por essas estruturas.

Para os usuários finais, a proteção é direta. Quando uma empresa implementa uma detecção de presença eficaz, um fraudador não consegue assumir o controle de uma conta, autorizar uma transação ou se passar por um cliente usando uma fotografia roubada ou um videoclipe reproduzido.

Quais empresas utilizam a detecção de vivacidade?

Métodos avançados de detecção de vivacidade são utilizados em diversos setores, cada um com demandas de verificação e perfis de risco de fraude distintos. O ponto em comum entre todos eles é a necessidade de confirmar se uma pessoa real e presente está realizando a autenticação ou a transação, e não uma representação falsificada.

Financiar.

Bancos, empresas de pagamento, instituições de crédito e plataformas de empréstimo utilizam a detecção de presença para confirmar se a pessoa que está preenchendo uma verificação está realmente presente, tanto no momento do cadastro quanto antes. transações de alto valorA tecnologia reduz a fraude de identidade e risco de apropriação indevida de conta sem prejudicar significativamente a experiência do cliente.

Instituições Governamentais

Agências governamentais utilizam verificações de presença para autenticar indivíduos que acessam serviços remotos, como solicitações de documentos, portais de benefícios, agendamentos de serviços médicos e sistemas de identificação de eleitores. Os serviços governamentais remotos incluem... altos requisitos de garantia de identidadeA detecção de vivacidade fornece evidências de que uma pessoa real concluiu a etapa de autenticação, e não um artefato falsificado.

Ecommerce

Lojistas online utilizam a detecção de vivacidade antes de concluir transações que atingem limites de risco definidos. Isso reduz compras fraudulentas e gera um registro de auditoria que confirma a verificação da identidade do titular da conta no momento da transação.

Rede social

As plataformas de redes sociais usam a detecção de atividade para evitar a criação automatizada de contas e a formação em massa de perfis falsos. Quando o sistema confirma que uma pessoa real está por trás de cada cadastro, ele reduz o spam, o comportamento inautêntico coordenado e o assédio baseado em identidade.

Controle de acesso para edifícios e instalações

Os sistemas de segurança física estão integrando a detecção de presença (live-single) juntamente com... reconhecimento facial para acesso ao edifício. Uma fotografia impressa de um funcionário autorizado não pode destrancar uma porta quando o sistema exige presença física confirmada, o que reduz o acesso não autorizado e o compartilhamento de credenciais.

Benefícios da Detecção de Vivacidade

Os benefícios a seguir se aplicam a organizações dos setores de serviços financeiros, governamental e de comércio digital, bem como aos indivíduos que essas organizações atendem. Os setores que dependem da verificação remota de identidade são os que obtêm os retornos mais diretos, embora as vantagens se apliquem a qualquer fluxo de trabalho em que um rosto autenticado vincule uma pessoa real a uma ação digital.

Prevenção de Fraudes Mais Reforçada

A detecção de vivacidade confirma que o rosto em um evento de verificação pertence a um indivíduo fisicamente presente, e não a uma fotografia, reprodução de vídeo ou imagem gerada por IA. Os fraudadores não podem apresentar dados de imagem roubados e passar pelo fluxo de autenticação, independentemente da qualidade da falsificação.

Risco reduzido de apropriação indevida de contas

Mesmo quando um invasor obtém a fotografia ou a gravação de vídeo de alguém, a detecção de presença impede tentativas de falsificação de identidade. O invasor precisa de uma pessoa real, não apenas de uma imagem digital, o que aumenta consideravelmente o custo e a complexidade operacional das tentativas de apropriação de contas.

Conformidade Regulamentar

Uma solução de verificação de atividade certificada demonstra que a pilha de verificação atende aos padrões anti-spoofing estabelecidos. Detecção de ataques de apresentação (PAD) É referenciado em estruturas de conformidade em serviços financeiros, identidade governamental e saúde, o que significa que a qualidade da camada de vivacidade é importante em auditorias regulatórias, revisões de compras corporativas e due diligence.

Maior confiança do usuário

Usuários que sabem que sua identidade está protegida contra falsificação depositam maior confiança nas plataformas que utilizam. Essa confiança tem um efeito mensurável na retenção e na conversão de novos cadastros em contas ativas e com transações.

Escalabilidade Operacional

Os modernos processos de detecção de vivacidade por IA processam verificações individuais em menos de três segundos e lidam com milhões de eventos sem perda de precisão. implantações em nuvem e locais Escalar para ambientes de verificação de alto volume sem adicionar sobrecarga de revisão manual para casos padrão.

Acessibilidade sem concessões

A detecção passiva de vivacidade elimina a necessidade de senhas, PINs ou perguntas de segurança complexas. Para usuários que têm dificuldades com os métodos de autenticação tradicionais, a verificação biométrica com detecção de vivacidade oferece um caminho mais acessível para acesso seguro à conta, sem comprometer o padrão de segurança.

Reduzir os custos de fraude a jusante

A falha na verificação de identidade tem consequências financeiras. Prevenção de fraude Isso impede a falsificação de identidade no ponto de entrada, eliminando os custos subsequentes, incluindo investigações de estorno, medidas regulatórias, notificação ao cliente e danos à reputação. Em grandes volumes, a economia se multiplica.

Padrões Regulatórios e Conformidade

O cenário de conformidade para detecção de vivacidade se formalizou em torno de duas estruturas que as equipes de compras e os responsáveis ​​pela conformidade utilizam para avaliar se uma solução atende aos requisitos mínimos de proteção contra falsificação.

 

ISO / IEC 30107 3-

ISO / IEC 30107 3- A norma ISO/IEC 30107-3 é o padrão internacional para detecção de ataques de apresentação em sistemas biométricos. Publicada pela Organização Internacional de Normalização (ISO), ela define a metodologia para testar a eficácia com que um sistema de detecção de vivacidade identifica e rejeita ataques de falsificação em categorias de ataque definidas. Para organizações sujeitas a mandatos de garantia de identidade, a conformidade com a ISO/IEC 30107-3 fornece um parâmetro de referência independente e reconhecido que reguladores e auditores podem utilizar.

NIST

SP 800-63A Níveis de Garantia de Identidade (IALs)Nos níveis IAL2 e IAL3, a verificação remota de identidade que utiliza biometria deve incluir controles contra ataques de apresentação, o termo técnico usado pelo NIST para falsificação por meio de fotos, vídeos, máscaras ou rostos sintéticos. Embora o NIST não prescreva uma tecnologia específica de detecção de vivacidade, exige que os fornecedores demonstrem resistência a esses ataques, o que na prática significa detecção de vivacidade ativa ou passiva. 

eIDAS (e eIDAS2) 

Níveis de garantia - Baixo / Substancial / Alto: Quanto maior o nível de segurança, mais rigorosos são os requisitos de comprovação de identidade. De acordo com o Regulamento de Execução (UE) 2015/1502 da Comissão, os níveis substancial e elevado de comprovação remota de identidade exigem verificação biométrica resistente a falsificação e personificação, o que significa que a detecção de vivacidade não é mencionada explicitamente, mas é um requisito funcional.

eIDAS 2.0 e a Carteira Europeia de Identidade Digital (EUDIW): A estrutura atualizada (adotada em 2024) eleva consideravelmente o padrão. Para que a EUDIW opere com alta confiabilidade, ela deve atender a especificações técnicas vinculativas que incluem verificação facial robusta com PAD. O ARF (Architecture Reference Framework) foi publicado juntamente com a ARF. eIDAS2.0 A norma ISO/IEC 30107 é utilizada como referência para o padrão PAD, o mesmo padrão em que o NIST se baseia.

GDPR

GDPR Não exige a detecção de vivacidade; ela regulamenta como os dados biométricos envolvidos devem ser tratados. Artigo 9As digitalizações faciais e os modelos biométricos são considerados dados de categoria especial, exigindo consentimento explícito ou outra base legal válida antes do seu processamento. Artigo 25 (Proteção de Dados por Design) incentiva os provedores a adotarem a retenção mínima de dados, processarem a verificação de atividade e, em seguida, excluírem os dados brutos em vez de armazená-los. Artigo 22 Entra em jogo se um resultado de verificação de vivacidade, por si só, desencadear uma rejeição automática, potencialmente exigindo revisão humana e o direito a uma explicação. Artigo 35 Normalmente, exige-se uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) antes de qualquer implementação biométrica em larga escala. Em resumo, o RGPD não lhe diz isso. usar A detecção de vivacidade, no momento em que é feita, influencia substancialmente os fluxos de consentimento, as políticas de retenção de dados, os contratos com processadores de dados e as obrigações relativas aos direitos do titular dos dados em relação aos modelos biométricos. 

Teste de detecção de vivacidade iBeta

Teste de detecção de vivacidade iBeta é o programa de avaliação independente mais reconhecido no setor de verificação de identidade. A iBeta realiza testes de ataque cegos e padronizados de acordo com a norma ISO/IEC 30107-3 e certifica soluções em três níveis.

• O Nível 1 abrange ataques comuns a apresentações, incluindo fotografias impressas, telas digitais e reproduções de vídeo.
• O Nível 2 adiciona ataques de maior fidelidade, incluindo máscaras 3D e rostos reconstruídos por IA.
• O estágio mais sofisticado, o Nível 3, é onde os avaliadores possuem habilidades de nível especialista e acesso a equipamentos como máscaras de silicone de qualidade profissional, além de tempo suficiente de preparação para enganar o sistema.

A conformidade com os três níveis indica que uma solução foi rigorosamente testada por um órgão independente contra as categorias de ataque mais exigentes em uso atualmente.

A Shufti é hoje a primeira empresa europeia a obter a certificação IBETA nível 3, com zero ataques aceitos em todas as 900 tentativas e zero usuários legítimos rejeitados.

Organizações regulamentadas nos setores de serviços financeiros, saúde e governamental enfrentam uma questão de conformidade que vai além da simples implementação de detecção de vivacidade. A questão é se a detecção de vivacidade em uso foi testada de forma independente em um nível que possa ser verificado e aceito por reguladores e auditores.

Como o Shufti lida com a Detecção de Vivacidade Validada Independentemente?

A detecção de presença por IA da Shufti funciona nos modos ativo e passivo, permitindo que as empresas definam a intensidade da verificação com base no nível de risco de cada evento. O mecanismo usa análise de profundidade 3D para confirmar a presença física, comparando a geometria espacial com pontos de referência biométricos para rejeitar fotografias planas, reproduções de tela e outros dados. Ataques com máscaras 3D em mais de 56 vetores de ataque de falsificação., incluindo deepfakes gerados por IA e ataques de injeção que burlam câmeras RGB padrão.

A conformidade do Shufti com todos os três testes de nível iBeta valida de forma independente seu desempenho na defesa confiável contra os ataques mais sofisticados em uso atualmente. Testes independentes sob a norma ISO/IEC 30107-3 confirmaram uma precisão total de 98.72% na biometria facial, com a designação de Melhor Desempenho do DHS RIVR 2025 adicionando uma segunda validação externa em diversos grupos demográficos. Casos que se aproximam do limite de confiança, devido a iluminação incomum, oclusão parcial ou anomalia sinalizada, são encaminhados para revisão humana especializada em tempo real. Nenhum caso extremo é resolvido sem uma segunda avaliação, e nenhum usuário legítimo é impedido de usar o sistema sem ela.

Veja como o Shufti se comporta contra os tipos de ataque de spoofing mais relevantes para o seu ambiente de verificação. agende uma demonstração.