Didit lulus iBeta Level 2: 300 serangan, tidak satu pun lolos

Kami lulus iBeta Level 2. Pada 9 November 2026, iBeta Quality Assurance mengonfirmasi bahwa deteksi liveness Didit memenuhi ISO/IEC 30107-3 Presentation Attack Detection di Level 2: lab menjalankan 300 serangan presentasi terhadapnya dan tidak satu pun berhasil lolos.

Saya ingin menjelaskan kenapa ini penting bagi saya, dan kenapa menurut saya ini seharusnya penting bagi siapa pun yang menjalankan produk di internet. Ini bukan siaran pers. Ini alasan kami membangun Didit dengan cara seperti ini.

Apa yang kami lulus

iBeta Quality Assurance adalah lab biometrik independen yang terakreditasi NIST/NVLAP (kode lab 200962) untuk menguji berdasarkan ISO/IEC 30107-3, standar internasional untuk pengujian deteksi serangan presentasi. Serangan presentasi adalah setiap upaya mengelabui pemeriksaan wajah dengan sesuatu yang bukan orang hidup: foto, video di layar, atau topeng.

Hasilnya sederhana. 300 serangan. 0 diterima. Tingkat keberhasilan serangan 0%.

Level 2 adalah level kedua dari iBeta. Level ini memakai instrumen serangan yang lebih canggih dan lebih mahal daripada Level 1, dibuat oleh penyerang dengan keterampilan lebih tinggi dan waktu lebih banyak. Level 2 menguji active liveness kami. Passive liveness kami sudah lulus Level 1 pada Februari 2026, dengan 360 percobaan dan tingkat keberhasilan serangan 0%. Jadi hari ini Didit memegang keduanya: iBeta Level 1 dan Level 2.

Baca surat konfirmasinya. Semua atestasi lain yang kami miliki ada di halaman trust kami.

Level 1 vs Level 2, dengan bahasa sederhana

	Level 1	Level 2
Keterampilan penyerang	Tanpa keahlian khusus	Menengah: sudah pernah menjalankan setidaknya satu pengujian serupa dan memahami cara kerja liveness
Instrumen serangan	Barang yang bisa ditemukan di rumah atau kantor, bahan hingga 30 dolar	Alat yang lebih mahal seperti printer 3D, topeng resin, dan topeng lateks, bahan hingga 300 dolar
Serangan yang boleh lolos	0%	Hingga 1%
Apa yang dibuktikan	Sistem menghentikan pemalsuan yang murah dan umum	Sistem tetap bertahan menghadapi penyerang terampil dengan pemalsuan yang lebih baik

Sumber: metodologi pengujian PAD yang dipublikasikan iBeta. Metode iBeta mengizinkan hingga 1% serangan lolos di Level 2. Kami 0.

Kedua level diuji dengan cara yang sama: lab yang tidak bekerja untuk kami membuat pemalsuan, menyajikannya ke sistem, lalu menghitung berapa yang lolos. Yang berubah adalah kualitas pemalsuannya. Level 1 bertanya apakah Anda bisa menghentikan serangan yang murah dan umum. Level 2 bertanya apakah Anda tetap bertahan saat seseorang benar-benar berusaha.

Kenapa ini penting sekarang

Sepuluh tahun lalu, memalsukan wajah butuh keahlian. Sekarang cukup laptop dan satu sore.

Ini bukan opini saya. Pada November 2024, unit kejahatan keuangan Departemen Keuangan AS, FinCEN, menerbitkan peringatan tentang media deepfake yang menyebut bahwa sejak 2023 mereka menerima lebih banyak laporan aktivitas mencurigakan yang menggambarkan deepfake dipakai "untuk mengakali metode verifikasi identitas dan autentikasi". Salah satu tanda bahayanya: nasabah yang memakai "plugin webcam pihak ketiga selama pemeriksaan verifikasi langsung".

Deloitte Center for Financial Services memperkirakan pada 2024 bahwa AI generatif bisa mendorong kerugian penipuan di Amerika Serikat menjadi 40 miliar dolar pada 2027, naik dari 12,3 miliar pada 2023. Pada Januari 2026, Cybercrime Atlas dari World Economic Forum menganalisis 17 alat penukar wajah dan menemukan bahwa sebagian sudah mampu menghasilkan "peniruan real-time dengan fidelitas tinggi yang dapat melemahkan KYC digital". Badan keamanan siber Eropa, ENISA, melaporkan pada 2022 bahwa serangan dengan topeng dan injeksi video terus meningkat.

Inilah serangan yang harus dihentikan oleh pemeriksaan wajah:

• Foto cetak. Trik paling lama. Seseorang mengangkat hasil cetak wajah orang lain. Murah, dan masih dicoba setiap hari.
• Pemutaran ulang di layar. Video orang yang asli diputar di ponsel atau tablet di depan kamera. Ia berkedip, bergerak, dan terlihat hidup.
• Topeng. Dari kertas, lateks, resin, atau silikon. Yang bagus punya kedalaman dan tekstur yang tidak dimiliki gambar datar.
• Deepfake. Wajah sintetis, atau wajah asli yang ditukar ke orang lain secara real-time. Saat ditampilkan ke kamera lewat layar, itu adalah serangan presentasi.
• Serangan injeksi. Penyerang melewati kamera sepenuhnya dan memasukkan video rekaman atau video sintetis langsung ke aplikasi, dengan kamera virtual, emulator, atau perangkat yang dimodifikasi. Tidak ada pemalsuan fisik yang bisa dilihat. Kami menulisnya secara rinci di artikel kami tentang deteksi serangan injeksi.

Pengujian iBeta membahas serangan presentasi: pemalsuan yang ditunjukkan ke kamera. Injeksi adalah jalur serangan yang berbeda, dan karena itulah liveness saja bukan jawaban lengkapnya.

Membuktikan ada manusia di balik layar

Inilah yang saya yakini. Internet makin dipenuhi hal-hal yang terlihat seperti manusia padahal bukan. Bot yang mendaftar. Peternakan akun yang membuka ribuan profil dengan identitas curian atau sintetis. Agen AI yang bertindak atas nama seseorang yang tidak bisa Anda lihat.

Penilaian ancaman kejahatan siber 2026 dari Europol menggambarkan satu layanan SIM farm yang berada di balik lebih dari 49 juta akun online, dan menyebut bahwa farm semacam ini memungkinkan jaringan kriminal "melewati protokol KYC dan berlangganan ribuan layanan sekaligus". Tim pembayaran Federal Reserve AS menggambarkan penipuan identitas sintetis sebagai "dilaporkan menjadi jenis kejahatan keuangan dengan pertumbuhan tercepat di Amerika Serikat", dengan kerugian miliaran setiap tahun.

Standar juga bergerak ke arah yang sama. Pedoman identitas digital NIST, SP 800-63A-4 (Juli 2025), mewajibkan deteksi serangan presentasi setiap kali biometrik dibandingkan dari jarak jauh, diuji berdasarkan ISO/IEC 30107-3, "untuk memastikan kehadiran nyata seorang manusia yang hidup".

Kata sandi dan kode membuktikan bahwa seseorang mengetahui sesuatu. Keduanya tidak membuktikan bahwa ada manusia sungguhan di sana. Liveness dan autentikasi biometrik membuktikannya. Wajah hidup yang cocok dengan identitas terverifikasi adalah sinyal terkuat yang kita miliki bahwa orang tertentu sedang hadir, saat ini juga, dan bukan bot atau farm.

Tapi satu sinyal tidak pernah cukup. Di Didit, kami menempatkan wajah bersama semua hal lain yang bisa kami lihat dalam pemeriksaan yang sama:

• Liveness. Passive, 3D Flash, atau 3D Action and Flash, tergantung seberapa besar risiko yang ingin Anda terima.
• Face match dan face search. Wajah hidup dibandingkan dengan dokumen, lalu dicari di antara pengguna dan daftar blokir Anda sendiri untuk menangkap orang yang sama yang membuka akun kedua.
• Autentikasi biometrik. Saat pengguna yang kembali melakukan sesuatu yang sensitif, dilakukan pemeriksaan liveness baru ditambah pencocokan dengan wajah yang dipakai saat verifikasi.
• Analisis perangkat dan IP. Device fingerprinting menemukan perangkat fisik yang sama di balik banyak akun, dan pemeriksaan IP menandai VPN, proxy, Tor, serta ketidaksesuaian lokasi.
• Sinyal email dan telepon di catatan yang sama dengan hasil verifikasi identitas.

Jika digabungkan, menurut saya ini menjadi garis depan internet. Bukan tembok di sekeliling satu aplikasi, tetapi pertanyaan sederhana yang diajukan di momen-momen penting: apakah ini orang sungguhan, dan apakah ini orang yang tepat?

Level 2 adalah bukti independen bahwa bagian wajah dari jawaban itu bertahan menghadapi serangan canggih. Bukan klaim kami. Hasil dari sebuah lab.

Semua pengujian yang sudah kami jalani

Soal keamanan, kami tidak meminta siapa pun untuk percaya begitu saja pada kata-kata kami. Inilah daftar lengkapnya hari ini, dengan rinciannya di halaman trust kami dan di ringkasan lengkap atestasi kami.

Atestasi	Cakupan	Tanggal
iBeta PAD Level 2 (ISO/IEC 30107-3)	Active liveness terhadap serangan presentasi tingkat lanjut. 300 serangan, keberhasilan 0%.	November 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Passive liveness terhadap serangan presentasi umum. 360 percobaan, keberhasilan 0%.	Februari 2026
SOC 2 Type 1	Desain kontrol keamanan, ketersediaan, dan kerahasiaan kami.	April 2026
SOC 2 Type 2	Bagaimana kontrol yang sama berjalan selama periode observasi.	Laporan terbit Juli 2026
ISO/IEC 27001:2022	Sistem manajemen keamanan informasi kami, disertifikasi oleh Bureau Veritas.	Berlaku hingga Juni 2027
Sandbox Kementerian Keuangan Spanyol	Tesoro, Banco de España, SEPBLAC, dan CNMV menyimpulkan bahwa verifikasi jarak jauh kami setidaknya sama amannya dengan mengidentifikasi seseorang secara tatap muka.	November 2024 hingga Juli 2025
Verifikasi usia FSM	Sistem verifikasi usia kami, disertifikasi berdasarkan aturan perlindungan anak dan remaja Jerman.	Juni 2026
FIDO Alliance	Anggota asosiasi dari badan di balik FIDO2 dan passkey. Ini keanggotaan, bukan sertifikasi.	Agustus 2026
Opini onboarding jarak jauh EBA	Opini hukum independen bahwa onboarding jarak jauh kami memenuhi pedoman EBA tentang onboarding nasabah jarak jauh.	Atas permintaan
GDPR	Kami bertindak sebagai pemroses data berdasarkan GDPR, dengan kontrol Pasal 32 dan perjanjian pemrosesan data.	Berkelanjutan

Hasil sandbox Spanyol adalah yang paling saya banggakan, karena regulator sendiri yang sampai pada kesimpulan itu. Anda bisa membaca kesimpulan mereka.

Apa artinya jika Anda menggunakan Didit

• Tidak ada yang perlu diubah. Hasil ini mencakup active liveness Didit. Jika workflow Anda memakainya, tidak ada yang perlu diubah di integrasi Anda.
• Bukti yang bisa Anda serahkan. Saat bank mitra, auditor, atau regulator bertanya bagaimana Anda menghentikan pemalsuan, Anda bisa menunjukkan hasil dari lab terakreditasi berdasarkan standar yang dipublikasikan, bukan sekadar janji vendor.
• Lebih dari sekadar pemeriksaan wajah. Gabungkan liveness dengan face search, analisis perangkat dan IP, serta autentikasi biometrik dalam satu workflow, di satu catatan.

Pertanyaan yang sering diajukan

Apa itu iBeta Level 2?

Ini adalah level kedua pengujian deteksi serangan presentasi yang dijalankan iBeta Quality Assurance berdasarkan ISO/IEC 30107-3. Dibandingkan Level 1, lab memakai instrumen serangan yang lebih canggih dan lebih mahal, dibuat dengan waktu dan keterampilan lebih banyak.

Apa yang dicapai Didit?

iBeta menjalankan 300 serangan presentasi terhadap deteksi liveness Didit dan tidak satu pun diterima, artinya tingkat keberhasilan serangan 0%. Surat konfirmasinya bertanggal 9 November 2026.

Apakah Didit iBeta Level 1 atau Level 2?

Keduanya. Didit lulus iBeta Level 1 pada Februari 2026 dengan passive liveness dan Level 2 pada November 2026 dengan active liveness, masing-masing dengan tingkat keberhasilan serangan 0%.

Apa itu ISO/IEC 30107-3?

Ini adalah bagian dari standar ISO/IEC 30107 yang menetapkan cara menguji dan melaporkan deteksi serangan presentasi pada sistem biometrik, sehingga hasil dari lab dan vendor yang berbeda bisa dibandingkan.

Siapa iBeta?

iBeta Quality Assurance adalah lab pengujian independen di Amerika Serikat, terakreditasi NIST/NVLAP (kode lab 200962) untuk menguji deteksi serangan presentasi berdasarkan ISO/IEC 30107-3.

Apakah iBeta Level 2 mencakup deepfake dan serangan injeksi?

iBeta Level 2 menguji serangan presentasi, yaitu pemalsuan yang ditunjukkan ke kamera. Pengujian ini tidak mencakup serangan injeksi, yang melewati kamera. Karena itu kami menggabungkan liveness dengan sinyal perangkat, IP, dan sinyal lainnya.

Bisakah saya melihat suratnya?

Bisa. Baca surat konfirmasinya, dan temukan laporan kami lainnya di halaman trust.

Apakah saya perlu mengubah integrasi?

Tidak. Anda memilih passive atau active liveness untuk setiap workflow di Business Console, dan tidak ada yang berubah di integrasi Anda.

Bagaimana cara mencobanya?

Buat akun gratis di business.didit.me, susun workflow dengan liveness, lalu jalankan di sandbox. Dokumentasi liveness menjelaskan setiap metodenya.

Penutup

Penipuan jadi murah. Membuktikan bahwa Anda manusia juga seharusnya murah, dan harus kuat. Itulah standar yang kami pegang, dan Level 2 adalah satu lagi pemeriksaan independen bahwa kami memenuhinya.

Jika Anda ingin melihatnya bekerja, mulai gratis. Jika Anda ingin melihat laporannya dulu, semuanya ada di halaman trust kami.

Alberto Rosas, CEO Didit