Didit supera iBeta Level 2: 300 atacs, cap no ha passat

Hem superat iBeta Level 2. El 9 de novembre de 2026, iBeta Quality Assurance va confirmar que la prova de vida de Didit compleix la norma ISO/IEC 30107-3 de detecció d'atacs de presentació al nivell 2: el laboratori va llançar 300 atacs de presentació i cap no va passar.

Vull explicar per què això m'importa a mi, i per què crec que hauria d'importar a qualsevol que tingui un producte a internet. Això no és una nota de premsa. És la raó per la qual hem construït Didit com l'hem construït.

Què hem superat

iBeta Quality Assurance és un laboratori biomètric independent, acreditat per NIST/NVLAP (codi de laboratori 200962) per fer proves segons la ISO/IEC 30107-3, l'estàndard internacional per avaluar la detecció d'atacs de presentació. Un atac de presentació és qualsevol intent d'enganyar una verificació facial amb alguna cosa que no és una persona viva: una foto, un vídeo en una pantalla, una màscara.

El resultat és senzill. 300 atacs. 0 acceptats. Una taxa d'èxit d'atac del 0%.

Level 2 és el segon dels nivells d'iBeta. Fa servir instruments d'atac més avançats i més cars que Level 1, fabricats per atacants amb més habilitat i més temps. A Level 2 es va provar la nostra prova de vida activa. La nostra prova de vida passiva va superar Level 1 el febrer de 2026, amb 360 intents i un 0% d'èxit d'atac. Així que avui Didit té tots dos: iBeta Level 1 i Level 2.

Llegeix la carta de confirmació. La resta de certificacions i auditories que tenim són a la nostra pàgina de confiança.

Level 1 i Level 2, en paraules senzilles

	Level 1	Level 2
Habilitat de l'atacant	Sense coneixements especials	Moderada: ja ha fet com a mínim una altra prova d'aquest tipus i entén com funciona la prova de vida
Instruments d'atac	Coses que trobes a casa o a l'oficina, fins a 30 dòlars en materials	Eines més cares com impressores 3D, màscares de resina i màscares de làtex, fins a 300 dòlars en materials
Atacs que poden passar	0%	Fins a l'1%
Què demostra	El sistema atura les suplantacions barates i habituals	El sistema aguanta davant d'un atacant expert amb falsificacions millors

Font: la metodologia de proves PAD publicada per iBeta. El mètode d'iBeta permet que passi fins a l'1% dels atacs a Level 2. Nosaltres en vam tenir 0.

Tots dos nivells es proven igual: un laboratori que no treballa per a nosaltres fabrica falsificacions, les presenta al sistema i compta quantes en passen. El que canvia és la qualitat de les falsificacions. Level 1 pregunta si atures els atacs barats i habituals. Level 2 pregunta si continues aguantant quan algú hi dedica un esforç de debò.

Per què importa ara

Fa deu anys, falsificar una cara requeria habilitat. Avui n'hi ha prou amb un portàtil i una tarda.

No és una opinió meva. El novembre de 2024, la unitat de delictes financers del Tresor dels Estats Units, FinCEN, va publicar una alerta sobre continguts deepfake en què deia que, des del 2023, havia vist més informes d'activitat sospitosa que descriuen deepfakes fets servir «per eludir els mètodes de verificació d'identitat i d'autenticació». Un dels seus senyals d'alerta: un client que fa servir «un complement de càmera web de tercers durant una verificació en directe».

El Center for Financial Services de Deloitte va estimar el 2024 que la IA generativa podria fer pujar les pèrdues per frau als Estats Units fins a 40.000 milions de dòlars el 2027, davant dels 12.300 milions del 2023. El gener de 2026, el Cybercrime Atlas del Fòrum Econòmic Mundial va analitzar 17 eines d'intercanvi de cares i va concloure que algunes ja ofereixen una «suplantació en temps real i d'alta fidelitat capaç de soscavar el KYC digital». L'agència europea de ciberseguretat, ENISA, va informar el 2022 que els atacs amb màscares i amb injecció de vídeo anaven en augment.

Aquests són els atacs que una verificació facial ha d'aturar:

• Fotos impreses. El truc més antic. Algú posa davant de la càmera una foto impresa de la cara d'una altra persona. Barat, i encara s'intenta cada dia.
• Reproduccions en pantalla. Un vídeo de la persona real reproduït en un mòbil o una tauleta davant de la càmera. Parpelleja, es mou, sembla viu.
• Màscares. De paper, làtex, resina o silicona. Les bones tenen una profunditat i una textura que una imatge plana no té.
• Deepfakes. Una cara sintètica, o una cara real superposada sobre una altra persona en temps real. Si es mostra a la càmera en una pantalla, és un atac de presentació.
• Atacs d'injecció. L'atacant se salta la càmera del tot i fica a l'app un vídeo pregravat o sintètic, amb una càmera virtual, un emulador o un dispositiu modificat. No hi ha cap falsificació física per veure. Ho expliquem amb detall al nostre article sobre la detecció d'atacs d'injecció.

La prova d'iBeta tracta d'atacs de presentació: falsificacions que es mostren a la càmera. La injecció és una altra via d'atac, i és la raó per la qual la prova de vida tota sola no és tota la resposta.

Demostrar que hi ha una persona darrere la pantalla

Això és el que crec. Internet s'està omplint de coses que semblen persones i no ho són. Bots que es registren. Granges de comptes que obren milers de perfils amb identitats robades o sintètiques. Agents d'IA que actuen en nom d'algú que no veus.

L'avaluació de l'amenaça del cibercrim del 2026 d'Europol descriu un únic servei de granja de SIM darrere de més de 49 milions de comptes en línia, i diu que aquestes granges permeten a les xarxes criminals «saltar-se els protocols KYC i donar-se d'alta en milers de serveis alhora». L'equip de pagaments de la Reserva Federal dels Estats Units descriu el frau d'identitat sintètica com, «segons els informes, el tipus de delicte financer que creix més de pressa als Estats Units», amb pèrdues de milers de milions cada any.

Els estàndards van en la mateixa direcció. Les directrius d'identitat digital del NIST, SP 800-63A-4 (juliol de 2025), exigeixen detecció d'atacs de presentació sempre que es comparin dades biomètriques a distància, provada segons la ISO/IEC 30107-3, «per confirmar la presència real d'un ésser humà viu».

Les contrasenyes i els codis demostren que algú sap alguna cosa. No demostren que hi hagi una persona real. La prova de vida i l'autenticació biomètrica, sí. Una cara viva, vinculada a una identitat verificada, és el senyal més fort que tenim que una persona concreta és present, ara mateix, i no un bot ni una granja.

Però un sol senyal no n'hi ha mai prou. A Didit posem la cara al costat de tota la resta que veiem en la mateixa verificació:

• Prova de vida. Passiva, 3D Flash o 3D Action and Flash, segons quant risc vulguis assumir.
• Comparació i cerca facial. La cara en directe es compara amb la del document i es busca entre els teus propis usuaris i llistes de bloqueig per detectar la mateixa persona obrint un segon compte.
• Autenticació biomètrica. Quan un usuari que torna fa alguna cosa sensible, una nova prova de vida més una comparació amb la cara amb què es va verificar.
• Anàlisi de dispositiu i IP. L'empremta del dispositiu troba el mateix aparell físic darrere de molts comptes, i les comprovacions d'IP marquen VPN, servidors intermediaris, Tor i ubicacions que no quadren.
• Senyals de correu electrònic i telèfon al mateix registre que el resultat d'identitat.

Tot plegat, crec que això es converteix en la primera línia d'internet. No un mur al voltant d'una app, sinó una pregunta senzilla en els moments que importen: és una persona real, i és la persona correcta?

Level 2 és una prova independent que la part facial d'aquesta resposta aguanta davant d'atacs avançats. No ho diem nosaltres. Ho diu un laboratori.

Tot allò en què ens han avaluat

No demanem a ningú que es refiï de la nostra paraula en seguretat. Aquesta és la llista completa avui, amb els detalls a la nostra pàgina de confiança i al nostre resum de certificacions i auditories.

Certificació	Què cobreix	Data
iBeta PAD Level 2 (ISO/IEC 30107-3)	Prova de vida activa davant d'atacs de presentació avançats. 300 atacs, 0% d'èxit.	Novembre de 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Prova de vida passiva davant d'atacs de presentació habituals. 360 intents, 0% d'èxit.	Febrer de 2026
SOC 2 Type 1	Disseny dels nostres controls de seguretat, disponibilitat i confidencialitat.	Abril de 2026
SOC 2 Type 2	Com van funcionar aquests mateixos controls durant un període d'observació.	Informe emès el juliol de 2026
ISO/IEC 27001:2022	El nostre sistema de gestió de la seguretat de la informació, certificat per Bureau Veritas.	Vàlid fins al juny de 2027
Sandbox del Tresor espanyol	Tesoro, Banco de España, SEPBLAC i CNMV van concloure que la nostra verificació remota és almenys tan segura com identificar algú en persona.	De novembre de 2024 a juliol de 2025
Verificació d'edat FSM	El nostre sistema de verificació d'edat, certificat segons les normes alemanyes de protecció de menors.	Juny de 2026
FIDO Alliance	Membre associat de l'organització que hi ha darrere de FIDO2 i les passkeys. És una afiliació, no una certificació.	Agost de 2026
Dictamen sobre l'onboarding remot de l'EBA	Dictamen jurídic independent que el nostre onboarding remot compleix les directrius de l'EBA sobre la incorporació remota de clients.	Sota petició
GDPR	Actuem com a encarregat del tractament segons el GDPR, amb controls de l'article 32 i un contracte d'encàrrec de tractament.	Continu

El resultat del sandbox espanyol és del que estic més orgullós, perquè els reguladors hi van arribar pel seu compte. Pots llegir-ne les conclusions.

Què vol dir això si fas servir Didit

• No has de canviar res. El resultat cobreix la prova de vida activa de Didit. Si el teu flux la fa servir, no hi ha res a canviar a la teva integració.
• Proves que pots lliurar. Quan un banc soci, un auditor o un regulador et pregunti com atures la suplantació, pots assenyalar el resultat d'un laboratori acreditat davant d'un estàndard publicat, en lloc de la promesa d'un proveïdor.
• Més que una verificació facial. Combina la prova de vida amb la cerca facial, l'anàlisi de dispositiu i IP i l'autenticació biomètrica en un sol flux, en un sol registre.

Preguntes freqüents

Què és iBeta Level 2?

És el segon nivell de les proves de detecció d'atacs de presentació que fa iBeta Quality Assurance segons la ISO/IEC 30107-3. En comparació amb Level 1, el laboratori fa servir instruments d'atac més avançats i més cars, fabricats amb més temps i habilitat.

Què ha aconseguit Didit?

iBeta va llançar 300 atacs de presentació contra la prova de vida de Didit i cap no va ser acceptat: una taxa d'èxit d'atac del 0%. La carta de confirmació té data del 9 de novembre de 2026.

Didit té iBeta Level 1 o Level 2?

Tots dos. Didit va superar iBeta Level 1 el febrer de 2026 amb la prova de vida passiva i Level 2 el novembre de 2026 amb la prova de vida activa, tots dos amb un 0% d'èxit d'atac.

Què és la ISO/IEC 30107-3?

És la part de l'estàndard ISO/IEC 30107 que defineix com provar i documentar la detecció d'atacs de presentació en sistemes biomètrics, perquè es puguin comparar resultats de diferents laboratoris i proveïdors.

Qui és iBeta?

iBeta Quality Assurance és un laboratori de proves independent dels Estats Units, acreditat per NIST/NVLAP (codi de laboratori 200962) per provar la detecció d'atacs de presentació segons la ISO/IEC 30107-3.

iBeta Level 2 cobreix els deepfakes i els atacs d'injecció?

iBeta Level 2 prova atacs de presentació, és a dir, falsificacions que es mostren a la càmera. No prova atacs d'injecció, que se salten la càmera. Per això combinem la prova de vida amb senyals de dispositiu, d'IP i d'altres.

Puc veure la carta?

Sí. Llegeix la carta de confirmació i troba els nostres altres informes a la pàgina de confiança.

He de canviar la meva integració?

No. Tries prova de vida passiva o activa per flux a la Business Console, i no canvia res a la teva integració.

Com ho provo?

Crea un compte gratuït a business.didit.me, munta un flux amb prova de vida i executa'l al sandbox. La documentació de la prova de vida explica cada mètode.

Per acabar

El frau s'ha abaratit. Demostrar que ets humà també hauria de ser barat, i hauria de ser sòlid. Aquest és el llistó que ens posem, i Level 2 és una comprovació independent més que el complim.

Si vols veure-ho funcionant, comença gratis. Si prefereixes veure abans els informes, són a la nostra pàgina de confiança.

Alberto Rosas, CEO de Didit