Didit ने iBeta Level 2 पास किया: 300 अटैक, एक भी पार नहीं

हमने iBeta Level 2 पास कर लिया है। 9 नवंबर 2026 को iBeta Quality Assurance ने पुष्टि की कि Didit का लाइवनेस डिटेक्शन ISO/IEC 30107-3 प्रेज़ेंटेशन अटैक डिटेक्शन (Presentation Attack Detection) के Level 2 के अनुरूप है: लैब ने इस पर 300 प्रेज़ेंटेशन अटैक किए और उनमें से एक भी सफल नहीं हुआ।

मैं बताना चाहता हूं कि यह मेरे लिए क्यों मायने रखता है, और मुझे क्यों लगता है कि इंटरनेट पर प्रोडक्ट चलाने वाले हर व्यक्ति के लिए इसे मायने रखना चाहिए। यह कोई प्रेस रिलीज़ नहीं है। यही वह वजह है जिसके कारण हमने Didit को इस तरह बनाया।

हमने क्या पास किया

iBeta Quality Assurance एक स्वतंत्र बायोमेट्रिक्स लैब है, जिसे NIST/NVLAP (लैब कोड 200962) से ISO/IEC 30107-3 के तहत टेस्ट करने की मान्यता मिली है। ISO/IEC 30107-3 प्रेज़ेंटेशन अटैक डिटेक्शन की टेस्टिंग का अंतरराष्ट्रीय मानक है। प्रेज़ेंटेशन अटैक का मतलब है किसी ऐसी चीज़ से फेस चेक को धोखा देने की कोई भी कोशिश जो जीवित इंसान नहीं है: एक फ़ोटो, स्क्रीन पर चलता वीडियो, या एक मास्क।

नतीजा सीधा है। 300 अटैक। 0 स्वीकार किए गए। अटैक सफलता दर 0%।

Level 2, iBeta के लेवल में दूसरा है। इसमें Level 1 से ज़्यादा उन्नत और महंगे अटैक उपकरण इस्तेमाल होते हैं, जिन्हें ज़्यादा कौशल और ज़्यादा समय वाले हमलावर बनाते हैं। Level 2 में हमारे एक्टिव लाइवनेस की जांच हुई। हमारे पैसिव लाइवनेस ने फ़रवरी 2026 में Level 1 पास किया था, 360 प्रयासों और 0% अटैक सफलता के साथ। इसलिए आज Didit के पास दोनों हैं: iBeta Level 1 और Level 2।

पुष्टि पत्र पढ़ें। हमारे पास जो भी दूसरे प्रमाणन हैं, वे सब हमारे ट्रस्ट पेज पर हैं।

Level 1 बनाम Level 2, आसान शब्दों में

	Level 1	Level 2
हमलावर का कौशल	किसी खास विशेषज्ञता की ज़रूरत नहीं	मध्यम: इस तरह का कम से कम एक और टेस्ट कर चुका है और समझता है कि लाइवनेस कैसे काम करता है
अटैक के उपकरण	घर या ऑफ़िस में मिलने वाली चीज़ें, सामग्री पर 30 डॉलर तक	ज़्यादा महंगे उपकरण जैसे 3D प्रिंटर, रेज़िन मास्क और लेटेक्स मास्क, सामग्री पर 300 डॉलर तक
कितने अटैक पार होने की अनुमति	0%	1% तक
यह क्या साबित करता है	सिस्टम सस्ते और आम धोखों को रोकता है	सिस्टम बेहतर नकली चीज़ों वाले कुशल हमलावर के सामने भी टिका रहता है

स्रोत: iBeta की प्रकाशित PAD टेस्ट पद्धति। iBeta की पद्धति Level 2 पर 1% तक अटैक पार होने की अनुमति देती है। हमारे यहां 0 थे।

दोनों लेवल की जांच एक ही तरीके से होती है: एक लैब जो हमारे लिए काम नहीं करती, नकली चीज़ें बनाती है, उन्हें सिस्टम के सामने रखती है और गिनती है कि कितनी पार हो गईं। फ़र्क बस नकली चीज़ों की गुणवत्ता में होता है। Level 1 पूछता है कि क्या आप सस्ते, आम अटैक रोक पाते हैं। Level 2 पूछता है कि जब कोई सच में मेहनत लगाता है, तब भी क्या आप टिके रहते हैं।

यह अभी क्यों मायने रखता है

दस साल पहले चेहरे की नकल करने के लिए हुनर चाहिए था। आज इसके लिए एक लैपटॉप और एक दोपहर काफ़ी है।

यह मेरी राय नहीं है। नवंबर 2024 में अमेरिकी ट्रेज़री की वित्तीय अपराध इकाई FinCEN ने डीपफ़ेक मीडिया पर एक अलर्ट जारी किया, जिसमें कहा गया कि 2023 से उसे ऐसी संदिग्ध गतिविधि रिपोर्टें ज़्यादा मिल रही हैं जिनमें डीपफ़ेक का इस्तेमाल "पहचान सत्यापन और प्रमाणीकरण के तरीकों को चकमा देने के लिए" बताया गया है। उसके चेतावनी संकेतों में से एक: ग्राहक का "लाइव सत्यापन जांच के दौरान किसी थर्ड-पार्टी वेबकैम प्लगइन का इस्तेमाल करना"।

Deloitte के Center for Financial Services ने 2024 में अनुमान लगाया कि जेनरेटिव AI की वजह से अमेरिका में धोखाधड़ी से होने वाला नुकसान 2023 के 12.3 अरब डॉलर से बढ़कर 2027 तक 40 अरब डॉलर हो सकता है। जनवरी 2026 में वर्ल्ड इकोनॉमिक फ़ोरम के Cybercrime Atlas ने चेहरा बदलने वाले 17 टूल्स का विश्लेषण किया और पाया कि उनमें से कुछ पहले से ही "रियल-टाइम, हाई-फ़िडेलिटी नकल दे रहे हैं जो डिजिटल KYC को कमज़ोर कर सकती है"। यूरोप की साइबर सुरक्षा एजेंसी ENISA ने 2022 में बताया कि मास्क और वीडियो इंजेक्शन वाले अटैक बढ़ रहे हैं।

ये वे अटैक हैं जिन्हें एक फेस चेक को रोकना होता है:

• छपी हुई तस्वीरें। सबसे पुरानी चाल। कोई किसी दूसरे व्यक्ति के चेहरे का प्रिंटआउट सामने रख देता है। सस्ती, और आज भी हर दिन आज़माई जाती है।
• स्क्रीन रीप्ले। असली व्यक्ति का वीडियो कैमरे के सामने फ़ोन या टैबलेट पर चलाया जाता है। वह पलक झपकाता है, हिलता है, ज़िंदा लगता है।
• मास्क। कागज़, लेटेक्स, रेज़िन या सिलिकॉन के। अच्छे मास्क में ऐसी गहराई और बनावट होती है जो किसी सपाट तस्वीर में नहीं होती।
• डीपफ़ेक। एक सिंथेटिक चेहरा, या किसी असली चेहरे को रियल टाइम में दूसरे व्यक्ति पर लगा देना। जब इसे स्क्रीन पर कैमरे को दिखाया जाता है, तो यह प्रेज़ेंटेशन अटैक होता है।
• इंजेक्शन अटैक। हमलावर कैमरे को पूरी तरह छोड़ देता है और वर्चुअल कैमरा, एमुलेटर या बदले गए डिवाइस के ज़रिए पहले से रिकॉर्ड किया गया या सिंथेटिक वीडियो सीधे ऐप में डाल देता है। देखने के लिए कोई भौतिक नकली चीज़ होती ही नहीं। हमने इस बारे में विस्तार से अपनी पोस्ट इंजेक्शन अटैक डिटेक्शन में लिखा है।

iBeta का टेस्ट प्रेज़ेंटेशन अटैक के बारे में है: कैमरे को दिखाई जाने वाली नकली चीज़ें। इंजेक्शन एक अलग अटैक रास्ता है, और इसीलिए अकेला लाइवनेस पूरा जवाब नहीं है।

यह साबित करना कि स्क्रीन के पीछे एक इंसान है

मेरा मानना यह है। इंटरनेट ऐसी चीज़ों से भरता जा रहा है जो इंसान जैसी दिखती हैं, पर इंसान नहीं हैं। साइन अप करने वाले बॉट। चोरी की या सिंथेटिक पहचान से हज़ारों प्रोफ़ाइल खोलने वाले अकाउंट फ़ार्म। किसी ऐसे व्यक्ति की ओर से काम करते AI एजेंट जिसे आप देख नहीं सकते।

Europol का 2026 का साइबर अपराध खतरा आकलन एक ऐसी SIM फ़ार्म सेवा का ज़िक्र करता है जो अकेले 4.9 करोड़ से ज़्यादा ऑनलाइन अकाउंट के पीछे थी, और कहता है कि ये फ़ार्म आपराधिक नेटवर्क को "KYC प्रोटोकॉल को बायपास करने और एक साथ हज़ारों सेवाओं की सदस्यता लेने" देते हैं। अमेरिकी फ़ेडरल रिज़र्व की पेमेंट्स टीम सिंथेटिक पहचान धोखाधड़ी को ऐसा बताती है जो "अमेरिका में सबसे तेज़ी से बढ़ने वाला वित्तीय अपराध बताया जाता है", जिससे हर साल अरबों का नुकसान होता है।

मानक भी इसी दिशा में बढ़ रहे हैं। NIST के डिजिटल पहचान दिशानिर्देश, SP 800-63A-4 (जुलाई 2025), कहते हैं कि जब भी बायोमेट्रिक्स की तुलना दूर से की जाए, प्रेज़ेंटेशन अटैक डिटेक्शन ज़रूरी है, जिसकी जांच ISO/IEC 30107-3 के तहत हो, "ताकि किसी जीवित इंसान की वास्तविक मौजूदगी की पुष्टि हो सके"।

पासवर्ड और कोड यह साबित करते हैं कि किसी को कुछ पता है। वे यह साबित नहीं करते कि वहां कोई असली इंसान मौजूद है। लाइवनेस और बायोमेट्रिक ऑथेंटिकेशन यह साबित करते हैं। एक सत्यापित पहचान से मेल खाता जीवित चेहरा हमारे पास मौजूद सबसे मज़बूत संकेत है कि एक खास व्यक्ति इसी समय वहां मौजूद है, और वह कोई बॉट या फ़ार्म नहीं है।

लेकिन एक संकेत कभी काफ़ी नहीं होता। Didit में हम चेहरे को उसी जांच में दिखने वाली बाकी हर चीज़ के साथ रखते हैं:

• लाइवनेस। पैसिव, 3D Flash या 3D Action and Flash, इस पर निर्भर करते हुए कि आप कितना जोखिम स्वीकार करना चाहते हैं।
• फ़ेस मैच और फ़ेस सर्च। जीवित चेहरे की तुलना दस्तावेज़ से की जाती है, और उसे आपके अपने यूज़र्स और ब्लॉकलिस्ट में खोजा जाता है ताकि दूसरा अकाउंट खोल रहे उसी व्यक्ति को पकड़ा जा सके।
• बायोमेट्रिक ऑथेंटिकेशन। जब कोई लौटकर आया यूज़र कुछ संवेदनशील करता है, तो एक नई लाइवनेस जांच और उस चेहरे से फ़ेस मैच होता है जिससे उसने सत्यापन किया था।
• डिवाइस और IP विश्लेषण। डिवाइस फ़िंगरप्रिंटिंग कई अकाउंट के पीछे छिपे एक ही भौतिक डिवाइस को पकड़ती है, और IP जांच VPN, प्रॉक्सी, Tor और लोकेशन में बेमेल को चिह्नित करती है।
• ईमेल और फ़ोन संकेत, पहचान के नतीजे वाले उसी रिकॉर्ड पर।

इन सबको साथ रखें, तो मुझे लगता है कि यह इंटरनेट की पहली रक्षा पंक्ति बन जाता है। किसी एक ऐप के चारों ओर दीवार नहीं, बल्कि अहम पलों पर पूछा गया एक सीधा सवाल: क्या यह असली इंसान है, और क्या यह सही इंसान है?

Level 2 इस बात का स्वतंत्र सबूत है कि इस जवाब का चेहरे वाला हिस्सा उन्नत अटैक के सामने टिका रहता है। यह हमारा दावा नहीं है। एक लैब का नतीजा है।

हर वह चीज़ जिस पर हमारी जांच हुई है

सुरक्षा के मामले में हम किसी से नहीं कहते कि बस हमारी बात मान लें। यह आज की पूरी सूची है, और इसका ब्योरा हमारे ट्रस्ट पेज और प्रमाणनों के पूरे ढांचे के ओवरव्यू में है।

प्रमाणन	यह किसे कवर करता है	तारीख
iBeta PAD Level 2 (ISO/IEC 30107-3)	उन्नत प्रेज़ेंटेशन अटैक के खिलाफ़ एक्टिव लाइवनेस। 300 अटैक, 0% सफलता।	नवंबर 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	आम प्रेज़ेंटेशन अटैक के खिलाफ़ पैसिव लाइवनेस। 360 प्रयास, 0% सफलता।	फ़रवरी 2026
SOC 2 Type 1	हमारे सुरक्षा, उपलब्धता और गोपनीयता नियंत्रणों का डिज़ाइन।	अप्रैल 2026
SOC 2 Type 2	वही नियंत्रण एक अवलोकन अवधि में कैसे काम करते रहे।	रिपोर्ट जुलाई 2026 में जारी
ISO/IEC 27001:2022	हमारी सूचना सुरक्षा प्रबंधन प्रणाली, Bureau Veritas द्वारा प्रमाणित।	जून 2027 तक मान्य
स्पेनिश ट्रेज़री सैंडबॉक्स	Tesoro, Banco de España, SEPBLAC और CNMV ने निष्कर्ष निकाला कि हमारा रिमोट सत्यापन कम से कम उतना ही सुरक्षित है जितना किसी को आमने-सामने पहचानना।	नवंबर 2024 से जुलाई 2025
FSM आयु सत्यापन	हमारी आयु सत्यापन प्रणाली, जर्मनी के युवा संरक्षण नियमों के तहत प्रमाणित।	जून 2026
FIDO Alliance	FIDO2 और पासकी के पीछे की संस्था के एसोसिएट सदस्य। यह सदस्यता है, प्रमाणन नहीं।	अगस्त 2026
EBA रिमोट ऑनबोर्डिंग राय	स्वतंत्र कानूनी राय कि हमारी रिमोट ऑनबोर्डिंग, ग्राहकों की रिमोट ऑनबोर्डिंग पर EBA के दिशानिर्देशों को पूरा करती है।	अनुरोध पर
GDPR	हम GDPR के तहत डेटा प्रोसेसर के रूप में काम करते हैं, अनुच्छेद 32 के नियंत्रणों और डेटा प्रोसेसिंग समझौते के साथ।	जारी

स्पेनिश सैंडबॉक्स का नतीजा वह है जिस पर मुझे सबसे ज़्यादा गर्व है, क्योंकि नियामक खुद उस निष्कर्ष तक पहुंचे। आप उनके निष्कर्ष पढ़ सकते हैं।

अगर आप Didit इस्तेमाल करते हैं, तो इसका क्या मतलब है

• कुछ बदलने की ज़रूरत नहीं। यह नतीजा Didit के एक्टिव लाइवनेस को कवर करता है। अगर आपका वर्कफ़्लो इसका इस्तेमाल करता है, तो आपके इंटीग्रेशन में कुछ बदलने की ज़रूरत नहीं।
• सबूत जो आप आगे दे सकते हैं। जब कोई पार्टनर बैंक, ऑडिटर या नियामक पूछे कि आप धोखे को कैसे रोकते हैं, तो आप किसी वेंडर के वादे की जगह एक मान्यता प्राप्त लैब का प्रकाशित मानक पर आधारित नतीजा दिखा सकते हैं।
• फेस चेक से कहीं ज़्यादा। एक ही वर्कफ़्लो में, एक ही रिकॉर्ड पर, लाइवनेस को फ़ेस सर्च, डिवाइस और IP विश्लेषण और बायोमेट्रिक ऑथेंटिकेशन के साथ जोड़ें।

अक्सर पूछे जाने वाले सवाल

iBeta Level 2 क्या है?

यह iBeta Quality Assurance द्वारा ISO/IEC 30107-3 के तहत की जाने वाली प्रेज़ेंटेशन अटैक डिटेक्शन टेस्टिंग का दूसरा लेवल है। Level 1 की तुलना में लैब ज़्यादा उन्नत और महंगे अटैक उपकरण इस्तेमाल करती है, जिन्हें ज़्यादा समय और कौशल से बनाया जाता है।

Didit ने क्या हासिल किया?

iBeta ने Didit के लाइवनेस डिटेक्शन पर 300 प्रेज़ेंटेशन अटैक किए और उनमें से कोई भी स्वीकार नहीं हुआ, यानी अटैक सफलता दर 0%। पुष्टि पत्र की तारीख 9 नवंबर 2026 है।

Didit iBeta Level 1 है या Level 2?

दोनों। Didit ने फ़रवरी 2026 में पैसिव लाइवनेस के साथ iBeta Level 1 और नवंबर 2026 में एक्टिव लाइवनेस के साथ Level 2 पास किया, दोनों बार 0% अटैक सफलता के साथ।

ISO/IEC 30107-3 क्या है?

यह ISO/IEC 30107 मानक का वह हिस्सा है जो तय करता है कि बायोमेट्रिक सिस्टम में प्रेज़ेंटेशन अटैक डिटेक्शन की जांच और रिपोर्टिंग कैसे की जाए, ताकि अलग-अलग लैब और वेंडर के नतीजों की तुलना की जा सके।

iBeta कौन है?

iBeta Quality Assurance अमेरिका की एक स्वतंत्र टेस्टिंग लैब है, जिसे NIST/NVLAP (लैब कोड 200962) से ISO/IEC 30107-3 के तहत प्रेज़ेंटेशन अटैक डिटेक्शन की जांच करने की मान्यता मिली है।

क्या iBeta Level 2 डीपफ़ेक और इंजेक्शन अटैक को कवर करता है?

iBeta Level 2 प्रेज़ेंटेशन अटैक की जांच करता है, यानी कैमरे को दिखाई जाने वाली नकली चीज़ें। यह इंजेक्शन अटैक की जांच नहीं करता, जो कैमरे को बायपास करते हैं। इसीलिए हम लाइवनेस को डिवाइस, IP और दूसरे संकेतों के साथ जोड़ते हैं।

क्या मैं पत्र देख सकता हूं?

हां। पुष्टि पत्र पढ़ें, और हमारी दूसरी रिपोर्टें ट्रस्ट पेज पर देखें।

क्या मुझे अपना इंटीग्रेशन बदलना होगा?

नहीं। आप Business Console में हर वर्कफ़्लो के लिए पैसिव या एक्टिव लाइवनेस चुनते हैं, और आपके इंटीग्रेशन में कुछ नहीं बदलता।

मैं इसे कैसे आज़माऊं?

business.didit.me पर मुफ़्त अकाउंट बनाएं, लाइवनेस वाला एक वर्कफ़्लो तैयार करें और उसे सैंडबॉक्स में चलाएं। लाइवनेस डॉक्यूमेंटेशन हर तरीके को समझाता है।

आखिर में

धोखाधड़ी सस्ती हो गई है। यह साबित करना कि आप इंसान हैं, वह भी सस्ता होना चाहिए, और मज़बूत भी। यही वह पैमाना है जो हमने अपने लिए तय किया है, और Level 2 एक और स्वतंत्र जांच है कि हम उस पर खरे उतरते हैं।

अगर आप इसे काम करते देखना चाहते हैं, तो मुफ़्त में शुरू करें। अगर आप पहले रिपोर्टें देखना चाहते हैं, तो वे हमारे ट्रस्ट पेज पर हैं।

Alberto Rosas, Didit के CEO