Didit aprovada no iBeta Level 2: 300 ataques, nenhum passou

Fomos aprovados no iBeta Level 2. A 9 de novembro de 2026, a iBeta Quality Assurance confirmou que a prova de vida da Didit cumpre a norma ISO/IEC 30107-3 de deteção de ataques de apresentação no nível 2: o laboratório fez 300 ataques de apresentação e nenhum passou.

Quero explicar porque é que isto é importante para mim, e porque acho que devia ser importante para qualquer pessoa que tenha um produto na internet. Isto não é um comunicado de imprensa. É a razão pela qual construímos a Didit da forma como a construímos.

Em que fomos aprovados

A iBeta Quality Assurance é um laboratório de biometria independente, acreditado pelo NIST/NVLAP (código de laboratório 200962) para realizar testes segundo a ISO/IEC 30107-3, a norma internacional para avaliar a deteção de ataques de apresentação. Um ataque de apresentação é qualquer tentativa de enganar uma verificação facial com algo que não seja uma pessoa viva: uma fotografia, um vídeo num ecrã, uma máscara.

O resultado é simples. 300 ataques. 0 aceites. Uma taxa de sucesso de ataque de 0%.

O Level 2 é o segundo nível da iBeta. Utiliza instrumentos de ataque mais avançados e mais caros do que o Level 1, feitos por atacantes com mais competência e mais tempo. No Level 2 foi testada a nossa prova de vida ativa. A nossa prova de vida passiva foi aprovada no Level 1 em fevereiro de 2026, com 360 tentativas e 0% de sucesso de ataque. Por isso, hoje a Didit tem os dois: iBeta Level 1 e Level 2.

Leia a carta de confirmação. Todas as outras certificações e auditorias que temos estão na nossa página de confiança.

Level 1 e Level 2, em palavras simples

	Level 1	Level 2
Competência do atacante	Sem conhecimentos especiais	Moderada: já realizou pelo menos outro teste deste tipo e percebe como funciona a prova de vida
Instrumentos de ataque	Coisas que se encontram em casa ou num escritório, até 30 dólares em materiais	Ferramentas mais caras como impressoras 3D, máscaras de resina e máscaras de látex, até 300 dólares em materiais
Ataques que podem passar	0%	Até 1%
O que demonstra	O sistema trava falsificações baratas e comuns	O sistema resiste a um atacante experiente com falsificações melhores

Fonte: a metodologia de testes PAD publicada pela iBeta. O método da iBeta permite que passem até 1% dos ataques no Level 2. Nós tivemos 0.

Os dois níveis são testados da mesma maneira: um laboratório que não trabalha para nós fabrica falsificações, apresenta-as ao sistema e conta quantas passam. O que muda é a qualidade das falsificações. O Level 1 pergunta se trava os ataques baratos e comuns. O Level 2 pergunta se continua a resistir quando alguém investe um esforço a sério.

Porque é que isto importa agora

Há dez anos, falsificar um rosto exigia competência. Hoje basta um portátil e uma tarde.

Não é uma opinião minha. Em novembro de 2024, a unidade de crimes financeiros do Tesouro dos Estados Unidos, o FinCEN, publicou um alerta sobre conteúdos deepfake em que afirmava ter observado, desde 2023, mais comunicações de atividade suspeita que descrevem deepfakes usados «para contornar métodos de verificação de identidade e de autenticação». Um dos sinais de alerta: um cliente que usa «um plugin de webcam de terceiros durante uma verificação em direto».

O Center for Financial Services da Deloitte estimou em 2024 que a IA generativa pode levar as perdas por fraude nos Estados Unidos a 40 mil milhões de dólares até 2027, face a 12,3 mil milhões em 2023. Em janeiro de 2026, o Cybercrime Atlas do Fórum Económico Mundial analisou 17 ferramentas de troca de rostos e concluiu que algumas já oferecem uma «personificação em tempo real e de alta fidelidade, capaz de comprometer o KYC digital». A agência europeia de cibersegurança, a ENISA, referiu em 2022 que os ataques com máscaras e com injeção de vídeo estavam a aumentar.

Estes são os ataques que uma verificação facial tem de travar:

• Fotografias impressas. O truque mais antigo. Alguém mostra uma impressão do rosto de outra pessoa. Barato, e ainda tentado todos os dias.
• Reprodução em ecrã. Um vídeo da pessoa real a passar num telemóvel ou tablet em frente à câmara. Pestaneja, mexe-se, parece vivo.
• Máscaras. De papel, látex, resina ou silicone. As melhores têm uma profundidade e uma textura que uma imagem plana não tem.
• Deepfakes. Um rosto sintético, ou um rosto real trocado para outra pessoa em tempo real. Mostrado à câmara num ecrã, é um ataque de apresentação.
• Ataques de injeção. O atacante salta completamente a câmara e introduz na aplicação um vídeo pré-gravado ou sintético, com uma câmara virtual, um emulador ou um dispositivo modificado. Não há nenhuma falsificação física para ver. Escrevemos sobre isto em detalhe no nosso artigo sobre deteção de ataques de injeção.

O teste da iBeta incide sobre ataques de apresentação: falsificações mostradas à câmara. A injeção é outra via de ataque, e é por isso que a prova de vida, sozinha, não é a resposta completa.

Provar que há um ser humano atrás do ecrã

Eis o que acredito. A internet está a encher-se de coisas que parecem pessoas e não são. Bots que se registam. Quintas de contas que abrem milhares de perfis com identidades roubadas ou sintéticas. Agentes de IA a agir em nome de alguém que não se vê.

A avaliação da ameaça do cibercrime de 2026 da Europol descreve um único serviço de quinta de cartões SIM por trás de mais de 49 milhões de contas online, e afirma que estas quintas permitem às redes criminosas «contornar os protocolos de KYC e subscrever milhares de serviços em simultâneo». A equipa de pagamentos da Reserva Federal dos Estados Unidos descreve a fraude de identidade sintética como, «segundo os relatos, o tipo de crime financeiro que mais cresce nos Estados Unidos», com perdas de milhares de milhões todos os anos.

As normas estão a ir no mesmo sentido. As diretrizes de identidade digital do NIST, a SP 800-63A-4 (julho de 2025), exigem deteção de ataques de apresentação sempre que se comparam dados biométricos remotamente, testada segundo a ISO/IEC 30107-3, «para confirmar a presença real de um ser humano vivo».

As palavras-passe e os códigos provam que alguém sabe alguma coisa. Não provam que está ali um ser humano real. A prova de vida e a autenticação biométrica provam. Um rosto vivo, associado a uma identidade verificada, é o sinal mais forte que temos de que uma pessoa concreta está presente, neste momento, e não um bot ou uma quinta.

Mas um único sinal nunca chega. Na Didit, colocamos o rosto ao lado de tudo o resto que conseguimos ver na mesma verificação:

• Prova de vida. Passiva, 3D Flash ou 3D Action and Flash, consoante o risco que quer aceitar.
• Comparação e pesquisa facial. O rosto ao vivo é comparado com o do documento e pesquisado entre os seus próprios utilizadores e listas de bloqueio, para apanhar a mesma pessoa a abrir uma segunda conta.
• Autenticação biométrica. Quando um utilizador que regressa faz algo sensível, uma nova prova de vida mais uma comparação com o rosto com que se verificou.
• Análise de dispositivo e IP. A impressão digital do dispositivo encontra o mesmo aparelho físico por trás de muitas contas, e as verificações de IP assinalam VPN, proxies, Tor e incoerências de localização.
• Sinais de email e telefone no mesmo registo que o resultado de identidade.

Tudo junto, acho que isto se torna a linha da frente da internet. Não um muro à volta de uma aplicação, mas uma pergunta simples feita nos momentos que importam: é uma pessoa real, e é a pessoa certa?

O Level 2 é uma prova independente de que a parte facial dessa resposta resiste a ataques avançados. Não somos nós a dizê-lo. É um laboratório.

Tudo aquilo em que já fomos avaliados

Não pedimos a ninguém que acredite na nossa palavra em matéria de segurança. Esta é a lista completa à data de hoje, com os detalhes na nossa página de confiança e no nosso resumo das nossas certificações e auditorias.

Certificação	O que abrange	Data
iBeta PAD Level 2 (ISO/IEC 30107-3)	Prova de vida ativa contra ataques de apresentação avançados. 300 ataques, 0% de sucesso.	Novembro de 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Prova de vida passiva contra ataques de apresentação comuns. 360 tentativas, 0% de sucesso.	Fevereiro de 2026
SOC 2 Type 1	Desenho dos nossos controlos de segurança, disponibilidade e confidencialidade.	Abril de 2026
SOC 2 Type 2	Como esses mesmos controlos funcionaram durante um período de observação.	Relatório emitido em julho de 2026
ISO/IEC 27001:2022	O nosso sistema de gestão da segurança da informação, certificado pela Bureau Veritas.	Válido até junho de 2027
Sandbox do Tesouro espanhol	Tesoro, Banco de España, SEPBLAC e CNMV concluíram que a nossa verificação remota é pelo menos tão segura como identificar alguém presencialmente.	De novembro de 2024 a julho de 2025
Verificação de idade FSM	O nosso sistema de verificação de idade, certificado segundo as regras alemãs de proteção de menores.	Junho de 2026
FIDO Alliance	Membro associado da organização por trás do FIDO2 e das passkeys. Uma adesão, não uma certificação.	Agosto de 2026
Parecer sobre onboarding remoto da EBA	Parecer jurídico independente de que o nosso onboarding remoto cumpre as orientações da EBA sobre onboarding remoto de clientes.	Mediante pedido
GDPR	Atuamos como subcontratante nos termos do GDPR, com controlos do artigo 32 e um acordo de tratamento de dados.	Contínuo

O resultado do sandbox espanhol é aquele de que mais me orgulho, porque foram os próprios reguladores a chegar a ele. Pode ler as conclusões deles.

O que isto significa se usa a Didit

• Nada a alterar. O resultado abrange a prova de vida ativa da Didit. Se o seu fluxo a usa, não há nada a alterar na sua integração.
• Uma prova que pode apresentar. Quando um banco parceiro, um auditor ou um regulador perguntar como trava a usurpação, pode apontar para o resultado de um laboratório acreditado face a uma norma publicada, em vez da promessa de um fornecedor.
• Mais do que uma verificação facial. Combine a prova de vida com pesquisa facial, análise de dispositivo e IP e autenticação biométrica num único fluxo, num único registo.

Perguntas frequentes

O que é o iBeta Level 2?

É o segundo nível dos testes de deteção de ataques de apresentação realizados pela iBeta Quality Assurance segundo a ISO/IEC 30107-3. Em comparação com o Level 1, o laboratório usa instrumentos de ataque mais avançados e mais caros, feitos com mais tempo e competência.

O que conseguiu a Didit?

A iBeta fez 300 ataques de apresentação contra a prova de vida da Didit e nenhum foi aceite, uma taxa de sucesso de ataque de 0%. A carta de confirmação tem a data de 9 de novembro de 2026.

A Didit tem iBeta Level 1 ou Level 2?

Os dois. A Didit foi aprovada no iBeta Level 1 em fevereiro de 2026 com a prova de vida passiva e no Level 2 em novembro de 2026 com a prova de vida ativa, ambos com 0% de sucesso de ataque.

O que é a ISO/IEC 30107-3?

É a parte da norma ISO/IEC 30107 que define como testar e relatar a deteção de ataques de apresentação em sistemas biométricos, para que os resultados de diferentes laboratórios e fornecedores possam ser comparados.

Quem é a iBeta?

A iBeta Quality Assurance é um laboratório de testes independente nos Estados Unidos, acreditado pelo NIST/NVLAP (código de laboratório 200962) para testar a deteção de ataques de apresentação segundo a ISO/IEC 30107-3.

O iBeta Level 2 abrange deepfakes e ataques de injeção?

O iBeta Level 2 testa ataques de apresentação, ou seja, falsificações mostradas à câmara. Não testa ataques de injeção, que contornam a câmara. É por isso que combinamos a prova de vida com sinais de dispositivo, de IP e outros.

Posso ver a carta?

Sim. Leia a carta de confirmação e encontre os nossos outros relatórios na página de confiança.

Tenho de alterar a minha integração?

Não. Escolhe a prova de vida passiva ou ativa por fluxo na Business Console, e nada muda na sua integração.

Como posso experimentar?

Crie uma conta gratuita em business.didit.me, construa um fluxo com prova de vida e execute-o no sandbox. A documentação da prova de vida explica cada método.

Para terminar

A fraude ficou barata. Provar que se é humano também devia ser barato, e devia ser sólido. É essa a fasquia que impomos a nós próprios, e o Level 2 é mais uma verificação independente de que a cumprimos.

Se quiser vê-lo a funcionar, comece grátis. Se preferir ver primeiro os relatórios, estão na nossa página de confiança.

Alberto Rosas, CEO da Didit