iBeta Nível 1 PAD: 0% de Sucesso em Ataques Após 360 Tentativas (PT-BR)

A confiabilidade de uma correspondência facial é tão boa quanto a verificação de vivacidade por trás dela. Se um atacante conseguir usar uma foto impressa, reproduzir um vídeo ou usar uma máscara e passar, o sistema biométrico é ineficaz. A Detecção de Ataques de Apresentação (PAD) é a disciplina de distinguir um humano real e presente de uma falsificação — e a maneira de provar que um sistema PAD funciona é ter um laboratório independente para atacá-lo.

A Didit fez exatamente isso. A vivacidade biométrica da Didit foi aprovada nos testes de Detecção de Ataques de Apresentação (PAD) iBeta Nível 1, conforme ISO/IEC 30107-3, alcançando uma taxa de sucesso de ataque de 0% e 0% IAPAR em 360 tentativas de ataque, testadas pela iBeta Quality Assurance — um laboratório acreditado pelo NIST/NVLAP. Este guia explica o que é o teste PAD, como a iBeta o executa e o que exatamente o resultado da Didit significa.

Principais conclusões

• A Didit foi aprovada no iBeta Nível 1 PAD, sob a norma ISO/IEC 30107-3 — o padrão internacional para detecção de ataques de apresentação biométrica.
• 0% de taxa de sucesso de ataque / 0% IAPAR em 360 tentativas de ataque — cada tentativa de falsificação foi corretamente rejeitada.
• Testado pela iBeta Quality Assurance, um laboratório de testes acreditado pelo NIST/NVLAP (código de laboratório 200962) — uma terceira parte independente, não uma autoavaliação.
• O resultado é Nível 1. A Didit reporta Nível 1 — não reivindica Nível 2. A carta de conformidade é datada de 04/02/2026, após testes de 05/01/2026.
• O sistema certificado é o que está em produção — a vivacidade biométrica da Didit, os mesmos módulos de vivacidade passiva e ativa que você integra.

O que é detecção de ataques de apresentação

Um ataque de apresentação é qualquer tentativa de burlar um sistema biométrico apresentando uma falsificação ao sensor — uma foto impressa, uma tela reproduzindo um vídeo, uma máscara de papel, uma máscara de silicone, um recorte. A Detecção de Ataques de Apresentação (PAD) é a capacidade do sistema de detectar e rejeitar essas falsificações, enquanto ainda aceita usuários genuínos e vivos.

A ISO/IEC 30107-3 é o padrão internacional que define como testar um sistema PAD objetivamente. Em vez de permitir que um fornecedor descreva seu anti-spoofing em linguagem de marketing, o padrão estabelece uma metodologia estruturada: um conjunto definido de tipos de ataque ("espécies"), um conjunto de indivíduos genuínos e métricas que quantificam a frequência com que os ataques são bem-sucedidos e com que frequência usuários reais são erroneamente rejeitados. A métrica principal para o lado do atacante é o IAPAR — a Taxa de Aceitação de Apresentação de Ataque de Impostor, a proporção de apresentações de ataque que o sistema aceita erroneamente. Quanto menor, melhor; 0% significa que nenhum ataque foi bem-sucedido.

Como a iBeta executa o teste

A iBeta Quality Assurance é um dos laboratórios que realiza avaliações PAD ISO/IEC 30107-3, e é acreditada pelo NIST/NVLAP (código de laboratório 200962) — o que significa que um programa nacional de acreditação verificou a competência do laboratório para realizar esses testes. Essa acreditação é o que torna o resultado crível: os ataques são projetados e executados por um laboratório especializado independente, e não pelo fornecedor.

Para a avaliação da Didit, o teste foi estruturado da seguinte forma:

• 6 indivíduos cadastrados, cada um completando 5 autenticações genuínas bem-sucedidas, para estabelecer que usuários reais são aprovados.
• 6 espécies de ataque de apresentação, cada uma tentada 10 vezes por indivíduo — produzindo 360 tentativas de ataque no total (6 espécies × 10 tentativas × 6 indivíduos).
• O sistema testado foi o Didit Biometric Authentication v2.0, acessado via Safari nativo em um Apple iPhone 13 Pro rodando iOS 18.4.1, com componentes de nuvem de backend — uma configuração real de dispositivo e nuvem.
• Período de teste: 05/01/2026 a 04/02/2026, com a carta de conformidade datada de 04/02/2026, assinada pelo Diretor de Biometria da iBeta.

O resultado: 0% de taxa de sucesso de PA / 0% IAPAR. Em todas as 360 tentativas de ataque, nenhuma falsificação foi aceita. O sistema está em conformidade com a ISO/IEC 30107-3 Nível 1.

Nível 1 vs Nível 2 — declarado honestamente

Os testes PAD ISO/IEC 30107-3 possuem níveis que diferem na sofisticação dos ataques aplicados ao sistema. O Nível 1 utiliza instrumentos de ataque de apresentação prontamente disponíveis e de baixo custo. O Nível 2 introduz instrumentos mais sofisticados e feitos sob medida.

O resultado da Didit é Nível 1, e a Didit o reporta como Nível 1 — não Nível 2. A cadência de reteste de 12 meses típica para essas cartas significa que a próxima avaliação deve ocorrer por volta de 04/02/2027, momento em que uma atualização para o Nível 2 poderá ser considerada. Ser preciso sobre o nível importa: um comprador que avalia reivindicações anti-spoofing deve poder confiar que "Nível 1" significa Nível 1.

Por que isso importa

A vivacidade é o controle que impede a fraude de identidade mais comum — e mais escalável: apresentar a foto de outra pessoa ou um vídeo deepfake em vez de estar fisicamente presente. Para um fluxo de integração regulamentado, a força da vivacidade afeta diretamente a confiança com que você pode confiar na biometria, e os reguladores esperam cada vez mais que o anti-spoofing seja comprovado, não apenas afirmado.

Um resultado de teste PAD independente transforma uma alegação anti-spoofing em evidência. "Nossa vivacidade é robusta" é marketing. "0% de sucesso de ataque em 360 tentativas em uma avaliação acreditada iBeta Nível 1 sob ISO/IEC 30107-3" é um fato que uma equipe de conformidade pode citar em um questionário de segurança ou em uma submissão regulatória.

Como a Didit ajuda

Vivacidade testada independentemente, no produto. A vivacidade biométrica que a iBeta avaliou é a mesma que alimenta o fluxo de verificação da Didit. A vivacidade passiva está disponível por US$ 0,10 e a vivacidade ativa por US$ 0,15, pareada com correspondência facial (1:1) por US$ 0,05 — e o pacote completo de KYC (verificação de ID, vivacidade passiva, correspondência facial, análise de IP) custa US$ 0,33 por verificação, com inferência em menos de 2 segundos.

Um resultado distribuível. A carta de conformidade iBeta Nível 1 PAD é distribuível mediante solicitação e está vinculada ao site da Didit — para que possa apoiar reivindicações biométricas e anti-spoofing em marketing, questionários de segurança e submissões regulatórias sem um NDA.

Relatórios honestos. A Didit reporta o resultado que obteve — Nível 1, 0% IAPAR em 360 tentativas — e não o superestima como Nível 2. O calendário de renovação acompanha o reteste, previsto para cerca de 04/02/2027.

Parte de um stack de atestação completo. O resultado da iBeta se une à certificação ISO/IEC 27001:2022 (cert nº ES144068), uma atestação SOC 2 Tipo 1 (Segurança, Disponibilidade, Confidencialidade) e a conclusão do sandbox do governo espanhol — construída sobre biometria facial com vivacidade ativa — de que a verificação remota da Didit excede os padrões presenciais. A força biométrica medida pelo teste da iBeta é uma das razões pelas quais essa conclusão governamental foi alcançável.

Casos de uso

• Onboarding regulamentado onde o anti-spoofing deve ser comprovado a um supervisor ou auditor.
• Setores de alto risco (fintech, cripto, iGaming) onde ataques de apresentação são um vetor de fraude frequente.
• Questionários de segurança que solicitam especificamente resultados de testes PAD ISO/IEC 30107-3.
• Fluxos de verificação de idade e autenticação biométrica que dependem de uma verificação de vivacidade confiável.

Perguntas frequentes

A Didit é iBeta Nível 1 ou Nível 2?

Nível 1. A Didit foi aprovada nos testes iBeta Nível 1 PAD sob ISO/IEC 30107-3 com uma taxa de sucesso de ataque de 0%. A Didit reporta Nível 1 e não reivindica Nível 2; uma atualização para o Nível 2 pode ser considerada no próximo reteste.

O que significa 0% IAPAR?

IAPAR — a Taxa de Aceitação de Apresentação de Ataque de Impostor — é a proporção de ataques de apresentação que o sistema aceita erroneamente. 0% significa que, em todas as 360 tentativas de ataque na avaliação, nenhuma falsificação foi aceita.

Quantos ataques foram testados?

360 tentativas de ataque — 6 espécies de ataque de apresentação, tentadas 10 vezes cada, em 6 indivíduos cadastrados.

Quem realizou o teste?

iBeta Quality Assurance, um laboratório de testes acreditado pelo NIST/NVLAP (código de laboratório 200962), sob ISO/IEC 30107-3. A carta de conformidade é datada de 04/02/2026.

Posso obter o resultado da iBeta?

Sim. A carta de conformidade iBeta Nível 1 PAD é distribuível mediante solicitação e está vinculada ao hub de segurança e conformidade da Didit.

Pronto para começar?

Veja o stack de atestação completo da Didit no hub de segurança e conformidade, explore as verificações de vivacidade e biométricas na página do produto de Verificação de ID e revise os preços transparentes por verificação na página de preços. Quando estiver pronto, comece gratuitamente — 500 verificações KYC gratuitas todos os meses, com vivacidade testada iBeta Nível 1 em cada fluxo.