Didit é aprovada no iBeta Level 2: 300 ataques, nenhum passou

Fomos aprovados no iBeta Level 2. Em 9 de novembro de 2026, a iBeta Quality Assurance confirmou que a prova de vida da Didit está em conformidade com a norma ISO/IEC 30107-3 de detecção de ataques de apresentação no nível 2: o laboratório fez 300 ataques de apresentação e nenhum passou.

Quero explicar por que isso importa para mim e por que acho que deveria importar para qualquer pessoa que tenha um produto na internet. Isto não é um comunicado à imprensa. É o motivo pelo qual construímos a Didit do jeito que construímos.

No que fomos aprovados

A iBeta Quality Assurance é um laboratório de biometria independente, acreditado pelo NIST/NVLAP (código de laboratório 200962) para testar segundo a ISO/IEC 30107-3, o padrão internacional para avaliar a detecção de ataques de apresentação. Um ataque de apresentação é qualquer tentativa de enganar uma verificação facial com algo que não seja uma pessoa viva: uma foto, um vídeo numa tela, uma máscara.

O resultado é simples. 300 ataques. 0 aceitos. Uma taxa de sucesso de ataque de 0%.

O Level 2 é o segundo nível da iBeta. Ele usa instrumentos de ataque mais avançados e mais caros do que o Level 1, feitos por atacantes com mais habilidade e mais tempo. No Level 2 foi testada a nossa prova de vida ativa. A nossa prova de vida passiva foi aprovada no Level 1 em fevereiro de 2026, com 360 tentativas e 0% de sucesso de ataque. Então hoje a Didit tem os dois: iBeta Level 1 e Level 2.

Leia a carta de confirmação. Todas as outras certificações e auditorias que temos estão na nossa página de confiança.

Level 1 vs Level 2, sem complicação

	Level 1	Level 2
Habilidade do atacante	Nenhum conhecimento especial	Moderada: já fez pelo menos outro teste desse tipo e entende como a prova de vida funciona
Instrumentos de ataque	Coisas que você encontra em casa ou no escritório, até 30 dólares em materiais	Ferramentas mais caras como impressoras 3D, máscaras de resina e máscaras de látex, até 300 dólares em materiais
Ataques que podem passar	0%	Até 1%
O que comprova	O sistema barra fraudes baratas e comuns	O sistema resiste a um atacante habilidoso com falsificações melhores

Fonte: a metodologia de testes PAD publicada pela iBeta. O método da iBeta permite que até 1% dos ataques passem no Level 2. Nós tivemos 0.

Os dois níveis são testados da mesma forma: um laboratório que não trabalha para nós fabrica falsificações, apresenta essas falsificações ao sistema e conta quantas passam. O que muda é a qualidade das falsificações. O Level 1 pergunta se você barra os ataques baratos e comuns. O Level 2 pergunta se você continua resistindo quando alguém investe um esforço de verdade.

Por que isso importa agora

Dez anos atrás, falsificar um rosto exigia habilidade. Hoje basta um notebook e uma tarde.

Isso não é opinião minha. Em novembro de 2024, a unidade de crimes financeiros do Tesouro dos Estados Unidos, o FinCEN, publicou um alerta sobre mídias deepfake dizendo que vinha observando, desde 2023, mais comunicações de atividade suspeita que descrevem deepfakes usados “para burlar métodos de verificação de identidade e de autenticação”. Um dos sinais de alerta: um cliente que usa “um plugin de webcam de terceiros durante uma verificação ao vivo”.

O Center for Financial Services da Deloitte estimou em 2024 que a IA generativa pode levar as perdas com fraude nos Estados Unidos a 40 bilhões de dólares até 2027, contra 12,3 bilhões em 2023. Em janeiro de 2026, o Cybercrime Atlas do Fórum Econômico Mundial analisou 17 ferramentas de troca de rosto e concluiu que algumas já entregam uma “personificação em tempo real e de alta fidelidade, capaz de minar o KYC digital”. A agência europeia de cibersegurança, a ENISA, relatou em 2022 que os ataques com máscaras e com injeção de vídeo estavam aumentando.

Estes são os ataques que uma verificação facial precisa barrar:

• Fotos impressas. O truque mais antigo. Alguém segura uma foto impressa do rosto de outra pessoa. Barato, e ainda tentado todos os dias.
• Reprodução em tela. Um vídeo da pessoa real rodando num celular ou tablet na frente da câmera. Pisca, se mexe, parece vivo.
• Máscaras. De papel, látex, resina ou silicone. As melhores têm uma profundidade e uma textura que uma imagem plana não tem.
• Deepfakes. Um rosto sintético, ou um rosto real trocado para outra pessoa em tempo real. Mostrado à câmera numa tela, é um ataque de apresentação.
• Ataques de injeção. O atacante pula a câmera completamente e injeta no app um vídeo pré-gravado ou sintético, com uma câmera virtual, um emulador ou um dispositivo modificado. Não existe nenhuma falsificação física para ver. Escrevemos sobre isso em detalhes no nosso post sobre detecção de ataques de injeção.

O teste da iBeta trata de ataques de apresentação: falsificações mostradas à câmera. A injeção é outro caminho de ataque, e é por isso que a prova de vida sozinha não é a resposta completa.

Provar que existe um ser humano por trás da tela

Eu acredito no seguinte. A internet está se enchendo de coisas que parecem pessoas e não são. Bots que se cadastram. Fazendas de contas que abrem milhares de perfis com identidades roubadas ou sintéticas. Agentes de IA agindo em nome de alguém que você não vê.

A avaliação de ameaças do cibercrime de 2026 da Europol descreve um único serviço de fazenda de chips por trás de mais de 49 milhões de contas online, e diz que essas fazendas permitem que redes criminosas “burlem os protocolos de KYC e se cadastrem em milhares de serviços ao mesmo tempo”. A equipe de pagamentos do Federal Reserve dos Estados Unidos descreve a fraude de identidade sintética como, “segundo relatos, o tipo de crime financeiro que mais cresce nos Estados Unidos”, com bilhões em perdas todos os anos.

Os padrões estão indo na mesma direção. As diretrizes de identidade digital do NIST, a SP 800-63A-4 (julho de 2025), exigem detecção de ataques de apresentação sempre que dados biométricos forem comparados remotamente, testada segundo a ISO/IEC 30107-3, “para confirmar a presença real de um ser humano vivo”.

Senhas e códigos provam que alguém sabe alguma coisa. Não provam que há um ser humano real ali. A prova de vida e a autenticação biométrica provam. Um rosto vivo, vinculado a uma identidade verificada, é o sinal mais forte que temos de que uma pessoa específica está presente, agora, e não um bot ou uma fazenda.

Mas um sinal sozinho nunca basta. Na Didit, colocamos o rosto ao lado de tudo o mais que conseguimos ver na mesma verificação:

• Prova de vida. Passiva, 3D Flash ou 3D Action and Flash, dependendo de quanto risco você quer aceitar.
• Comparação e busca facial. O rosto ao vivo é comparado com o do documento e buscado entre os seus próprios usuários e listas de bloqueio, para pegar a mesma pessoa abrindo uma segunda conta.
• Autenticação biométrica. Quando um usuário recorrente faz algo sensível, uma nova prova de vida mais uma comparação com o rosto usado na verificação.
• Análise de dispositivo e IP. A impressão digital do dispositivo encontra o mesmo aparelho físico por trás de várias contas, e as checagens de IP sinalizam VPNs, proxies, Tor e divergências de localização.
• Sinais de e-mail e telefone no mesmo registro do resultado de identidade.

Juntando tudo, acho que isso se torna a linha de frente da internet. Não um muro em volta de um app, mas uma pergunta simples feita nos momentos que importam: é uma pessoa real, e é a pessoa certa?

O Level 2 é uma prova independente de que a parte facial dessa resposta resiste a ataques avançados. Não é afirmação nossa. É de um laboratório.

Tudo em que já fomos avaliados

Não pedimos que ninguém acredite na nossa palavra quando o assunto é segurança. Esta é a lista completa hoje, com os detalhes na nossa página de confiança e no nosso resumo das nossas certificações e auditorias.

Certificação	O que cobre	Data
iBeta PAD Level 2 (ISO/IEC 30107-3)	Prova de vida ativa contra ataques de apresentação avançados. 300 ataques, 0% de sucesso.	Novembro de 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Prova de vida passiva contra ataques de apresentação comuns. 360 tentativas, 0% de sucesso.	Fevereiro de 2026
SOC 2 Type 1	Desenho dos nossos controles de segurança, disponibilidade e confidencialidade.	Abril de 2026
SOC 2 Type 2	Como esses mesmos controles funcionaram durante um período de observação.	Relatório emitido em julho de 2026
ISO/IEC 27001:2022	O nosso sistema de gestão de segurança da informação, certificado pela Bureau Veritas.	Válido até junho de 2027
Sandbox do Tesouro espanhol	Tesoro, Banco de España, SEPBLAC e CNMV concluíram que a nossa verificação remota é pelo menos tão segura quanto identificar alguém pessoalmente.	De novembro de 2024 a julho de 2025
Verificação de idade FSM	O nosso sistema de verificação de idade, certificado segundo as regras alemãs de proteção de menores.	Junho de 2026
FIDO Alliance	Membro associado da organização por trás do FIDO2 e das passkeys. Uma filiação, não uma certificação.	Agosto de 2026
Parecer sobre onboarding remoto da EBA	Parecer jurídico independente de que o nosso onboarding remoto atende às diretrizes da EBA sobre onboarding remoto de clientes.	Sob solicitação
GDPR	Atuamos como operador de dados segundo o GDPR, com controles do artigo 32 e um contrato de tratamento de dados.	Contínuo

O resultado do sandbox espanhol é o que mais me orgulha, porque os reguladores chegaram a ele por conta própria. Você pode ler as conclusões deles.

O que isso significa se você usa a Didit

• Nada para mudar. O resultado cobre a prova de vida ativa da Didit. Se o seu fluxo usa essa prova de vida, não há nada para mudar na sua integração.
• Uma evidência que você pode apresentar. Quando um banco parceiro, um auditor ou um regulador perguntar como você impede fraudes de falsificação, você pode mostrar o resultado de um laboratório acreditado contra um padrão publicado, em vez da promessa de um fornecedor.
• Mais do que uma verificação facial. Combine a prova de vida com busca facial, análise de dispositivo e IP e autenticação biométrica num único fluxo, num único registro.

Perguntas frequentes

O que é o iBeta Level 2?

É o segundo nível dos testes de detecção de ataques de apresentação realizados pela iBeta Quality Assurance segundo a ISO/IEC 30107-3. Em comparação com o Level 1, o laboratório usa instrumentos de ataque mais avançados e mais caros, feitos com mais tempo e habilidade.

O que a Didit conquistou?

A iBeta fez 300 ataques de apresentação contra a prova de vida da Didit e nenhum foi aceito, uma taxa de sucesso de ataque de 0%. A carta de confirmação tem data de 9 de novembro de 2026.

A Didit tem iBeta Level 1 ou Level 2?

Os dois. A Didit foi aprovada no iBeta Level 1 em fevereiro de 2026 com a prova de vida passiva e no Level 2 em novembro de 2026 com a prova de vida ativa, cada um com 0% de sucesso de ataque.

O que é a ISO/IEC 30107-3?

É a parte do padrão ISO/IEC 30107 que define como testar e relatar a detecção de ataques de apresentação em sistemas biométricos, para que os resultados de diferentes laboratórios e fornecedores possam ser comparados.

Quem é a iBeta?

A iBeta Quality Assurance é um laboratório de testes independente nos Estados Unidos, acreditado pelo NIST/NVLAP (código de laboratório 200962) para testar a detecção de ataques de apresentação segundo a ISO/IEC 30107-3.

O iBeta Level 2 cobre deepfakes e ataques de injeção?

O iBeta Level 2 testa ataques de apresentação, ou seja, falsificações mostradas à câmera. Ele não testa ataques de injeção, que pulam a câmera. É por isso que combinamos a prova de vida com sinais de dispositivo, de IP e outros.

Posso ver a carta?

Sim. Leia a carta de confirmação e encontre os nossos outros relatórios na página de confiança.

Preciso mudar a minha integração?

Não. Você escolhe a prova de vida passiva ou ativa por fluxo na Business Console, e nada muda na sua integração.

Como faço para testar?

Crie uma conta gratuita em business.didit.me, monte um fluxo com prova de vida e rode no sandbox. A documentação de prova de vida explica cada método.

Para fechar

A fraude ficou barata. Provar que você é humano também deveria ser barato, e deveria ser forte. Esse é o padrão que exigimos de nós mesmos, e o Level 2 é mais uma checagem independente de que cumprimos esse padrão.

Se quiser ver funcionando, comece grátis. Se quiser ver os relatórios antes, eles estão na nossa página de confiança.

Alberto Rosas, CEO da Didit