Didit прошла iBeta Level 2: 300 атак, ни одна не прошла

Мы прошли iBeta Level 2. 9 ноября 2026 года iBeta Quality Assurance подтвердила, что проверка живости Didit соответствует стандарту ISO/IEC 30107-3 по обнаружению презентационных атак на уровне 2: лаборатория провела 300 презентационных атак, и ни одна не прошла.

Хочу объяснить, почему это важно для меня и почему, как мне кажется, это должно быть важно для всех, у кого есть продукт в интернете. Это не пресс-релиз. Это причина, по которой мы построили Didit именно так.

Что мы прошли

Компания iBeta Quality Assurance является независимой биометрической лабораторией, аккредитованной NIST/NVLAP (код лаборатории 200962) для испытаний по ISO/IEC 30107-3, международному стандарту тестирования обнаружения презентационных атак. Презентационной атакой называют любую попытку обмануть проверку лица чем-то, что не является живым человеком: фотографией, видео на экране, маской.

Результат простой. 300 атак. 0 принято. Доля успешных атак 0%.

Level 2 является вторым из уровней iBeta. На нем используются более продвинутые и более дорогие средства атаки, чем на Level 1, и делают их атакующие с большим опытом и большим запасом времени. На Level 2 проверялась наша активная проверка живости. Наша пассивная проверка живости прошла Level 1 в феврале 2026 года: 360 попыток и 0% успешных атак. Так что сегодня у Didit есть оба уровня: iBeta Level 1 и Level 2.

Прочитать письмо-подтверждение. Все остальные наши сертификаты и аудиты собраны на нашей странице доверия.

Level 1 и Level 2 простыми словами

	Level 1	Level 2
Квалификация атакующего	Без специальных знаний	Средняя: уже проводил хотя бы один подобный тест и понимает, как работает проверка живости
Средства атаки	То, что можно найти дома или в офисе, материалы до 30 долларов	Более дорогие инструменты, например 3D-принтеры, маски из смолы и латексные маски, материалы до 300 долларов
Допустимая доля успешных атак	0%	До 1%
Что это доказывает	Система останавливает дешевые и распространенные подделки	Система выдерживает опытного атакующего с более качественными подделками

Источник: опубликованная методика тестирования PAD от iBeta. Методика iBeta допускает на Level 2 до 1% успешных атак. У нас их было 0.

Оба уровня проверяются одинаково: лаборатория, которая на нас не работает, изготавливает подделки, предъявляет их системе и считает, сколько из них проходит. Меняется только качество подделок. Level 1 отвечает на вопрос, останавливаете ли вы дешевые и распространенные атаки. Level 2 отвечает на вопрос, держитесь ли вы, когда кто-то вкладывает в атаку серьезные усилия.

Почему это важно сейчас

Десять лет назад, чтобы подделать лицо, нужно было мастерство. Сегодня хватит ноутбука и одного вечера.

Это не мое мнение. В ноябре 2024 года подразделение Министерства финансов США по борьбе с финансовыми преступлениями, FinCEN, выпустило предупреждение о дипфейках, где говорится, что с 2023 года ведомство видит все больше сообщений о подозрительной деятельности, в которых описаны дипфейки, используемые «для обхода методов проверки личности и аутентификации». Один из тревожных признаков: клиент использует «сторонний плагин для веб-камеры во время проверки в реальном времени».

Center for Financial Services компании Deloitte в 2024 году оценил, что генеративный ИИ может поднять потери от мошенничества в США до 40 миллиардов долларов к 2027 году против 12,3 миллиарда в 2023 году. В январе 2026 года Cybercrime Atlas Всемирного экономического форума проанализировал 17 инструментов для замены лиц и пришел к выводу, что некоторые из них уже обеспечивают «высокоточную имитацию в реальном времени, способную подорвать цифровой KYC». Европейское агентство по кибербезопасности ENISA сообщило в 2022 году, что атак с масками и с инъекцией видео становится больше.

Вот атаки, которые должна останавливать проверка лица:

• Распечатанные фото. Самый старый трюк. Кто-то держит перед камерой распечатку лица другого человека. Дешево, и такие попытки до сих пор бывают каждый день.
• Воспроизведение с экрана. Видео настоящего человека, которое проигрывается на телефоне или планшете перед камерой. Оно моргает, двигается, выглядит живым.
• Маски. Бумажные, латексные, из смолы или силикона. У хороших масок есть объем и фактура, которых нет у плоского изображения.
• Дипфейки. Синтетическое лицо или настоящее лицо, в реальном времени наложенное на другого человека. Если его показывают камере на экране, это презентационная атака.
• Инъекционные атаки. Атакующий полностью обходит камеру и подает в приложение заранее записанное или синтетическое видео через виртуальную камеру, эмулятор или модифицированное устройство. Физической подделки, которую можно увидеть, нет вообще. Мы подробно писали об этом в статье об обнаружении инъекционных атак.

Тест iBeta касается презентационных атак: подделок, которые показывают камере. Инъекция представляет собой другой путь атаки, и именно поэтому одной проверки живости недостаточно.

Доказать, что за экраном человек

Вот во что я верю. Интернет заполняется тем, что выглядит как люди, но людьми не является. Боты, которые регистрируются. Фермы аккаунтов, которые открывают тысячи профилей на украденные или синтетические личности. ИИ-агенты, действующие от имени того, кого вы не видите.

Оценка угроз киберпреступности 2026 года от Европола описывает один сервис SIM-ферм, стоящий за более чем 49 миллионами онлайн-аккаунтов, и отмечает, что такие фермы позволяют преступным сетям «обходить протоколы KYC и одновременно подписываться на тысячи сервисов». Команда по платежам Федеральной резервной системы США описывает мошенничество с синтетическими личностями как «по имеющимся данным, самый быстрорастущий вид финансовых преступлений в США», с убытками в миллиарды долларов ежегодно.

Стандарты движутся в ту же сторону. Руководство NIST по цифровой идентичности, SP 800-63A-4 (июль 2025 года), требует обнаружения презентационных атак всякий раз, когда биометрия сравнивается удаленно, с тестированием по ISO/IEC 30107-3, «чтобы подтвердить реальное присутствие живого человека».

Пароли и коды доказывают, что кто-то что-то знает. Они не доказывают, что там действительно есть живой человек. Проверка живости и биометрическая аутентификация доказывают. Живое лицо, сопоставленное с проверенной личностью, дает нам самый сильный сигнал того, что конкретный человек присутствует прямо сейчас, а не бот и не ферма.

Но одного сигнала никогда не бывает достаточно. В Didit мы ставим лицо рядом со всем остальным, что видим в той же проверке:

• Проверка живости. Пассивная, 3D Flash или 3D Action and Flash, в зависимости от того, какой риск вы готовы принять.
• Сравнение и поиск лиц. Живое лицо сравнивается с фото в документе и ищется среди ваших собственных пользователей и стоп-листов, чтобы поймать одного и того же человека, открывающего второй аккаунт.
• Биометрическая аутентификация. Когда вернувшийся пользователь делает что-то важное, проводится новая проверка живости и сравнение с лицом, с которым он проходил верификацию.
• Анализ устройства и IP. Отпечаток устройства находит одно и то же физическое устройство за множеством аккаунтов, а проверки IP отмечают VPN, прокси, Tor и несовпадения местоположения.
• Сигналы по email и телефону в той же записи, что и результат проверки личности.

Вместе, как мне кажется, это становится передовой линией интернета. Не стеной вокруг одного приложения, а простым вопросом, который задается в важные моменты: это реальный человек, и тот ли это человек?

Level 2 служит независимым доказательством того, что лицевая часть этого ответа выдерживает продвинутые атаки. Это не наше утверждение. Это вывод лаборатории.

Все, на что нас проверяли

Мы ни от кого не требуем верить нам на слово в вопросах безопасности. Вот полный список на сегодня, а подробности есть на нашей странице доверия и в нашем обзоре наших сертификатов и аудитов.

Сертификат или аудит	Что охватывает	Дата
iBeta PAD Level 2 (ISO/IEC 30107-3)	Активная проверка живости против продвинутых презентационных атак. 300 атак, 0% успешных.	Ноябрь 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Пассивная проверка живости против распространенных презентационных атак. 360 попыток, 0% успешных.	Февраль 2026
SOC 2 Type 1	Устройство наших средств контроля безопасности, доступности и конфиденциальности.	Апрель 2026
SOC 2 Type 2	Как те же средства контроля работали в течение периода наблюдения.	Отчет выпущен в июле 2026
ISO/IEC 27001:2022	Наша система управления информационной безопасностью, сертифицированная Bureau Veritas.	Действует до июня 2027
Регуляторная песочница Казначейства Испании	Tesoro, Banco de España, SEPBLAC и CNMV пришли к выводу, что наша удаленная верификация как минимум так же безопасна, как идентификация при личной встрече.	С ноября 2024 по июль 2025
Проверка возраста FSM	Наша система проверки возраста, сертифицированная по немецким правилам защиты несовершеннолетних.	Июнь 2026
FIDO Alliance	Ассоциированный член организации, стоящей за FIDO2 и ключами доступа. Это членство, а не сертификация.	Август 2026
Заключение по удаленному онбордингу EBA	Независимое юридическое заключение о том, что наш удаленный онбординг соответствует руководящим принципам EBA по удаленному онбордингу клиентов.	По запросу
GDPR	Мы выступаем обработчиком данных по GDPR, с мерами по статье 32 и соглашением об обработке данных.	Постоянно

Результатом испанской песочницы я горжусь больше всего, потому что регуляторы пришли к нему сами. Вы можете прочитать их выводы.

Что это значит, если вы пользуетесь Didit

• Ничего менять не нужно. Результат относится к активной проверке живости Didit. Если ваш сценарий ее использует, в интеграции ничего менять не нужно.
• Доказательство, которое можно предъявить. Когда банк-партнер, аудитор или регулятор спросит, как вы защищаетесь от подделок, вы можете сослаться на результат аккредитованной лаборатории по опубликованному стандарту, а не на обещание поставщика.
• Больше, чем проверка лица. Сочетайте проверку живости с поиском лиц, анализом устройства и IP и биометрической аутентификацией в одном сценарии, в одной записи.

Частые вопросы

Что такое iBeta Level 2?

Это второй уровень тестирования обнаружения презентационных атак, которое проводит iBeta Quality Assurance по ISO/IEC 30107-3. По сравнению с Level 1 лаборатория использует более продвинутые и более дорогие средства атаки, на изготовление которых уходит больше времени и мастерства.

Чего добилась Didit?

iBeta провела 300 презентационных атак против проверки живости Didit, и ни одна не была принята: доля успешных атак 0%. Письмо-подтверждение датировано 9 ноября 2026 года.

У Didit iBeta Level 1 или Level 2?

Оба. Didit прошла iBeta Level 1 в феврале 2026 года с пассивной проверкой живости и Level 2 в ноябре 2026 года с активной проверкой живости, оба раза с 0% успешных атак.

Что такое ISO/IEC 30107-3?

Это часть стандарта ISO/IEC 30107, которая определяет, как тестировать обнаружение презентационных атак в биометрических системах и как сообщать о результатах, чтобы результаты разных лабораторий и поставщиков можно было сравнивать.

Кто такие iBeta?

iBeta Quality Assurance является независимой испытательной лабораторией в США, аккредитованной NIST/NVLAP (код лаборатории 200962) для тестирования обнаружения презентационных атак по ISO/IEC 30107-3.

Охватывает ли iBeta Level 2 дипфейки и инъекционные атаки?

iBeta Level 2 проверяет презентационные атаки, то есть подделки, которые показывают камере. Инъекционные атаки, обходящие камеру, он не проверяет. Поэтому мы сочетаем проверку живости с сигналами устройства, IP и другими.

Можно посмотреть письмо?

Да. Прочитайте письмо-подтверждение, а другие наши отчеты вы найдете на странице доверия.

Нужно ли менять интеграцию?

Нет. Вы выбираете пассивную или активную проверку живости для каждого сценария в Business Console, и в вашей интеграции ничего не меняется.

Как попробовать?

Создайте бесплатный аккаунт на business.didit.me, соберите сценарий с проверкой живости и запустите его в песочнице. В документации по проверке живости описан каждый метод.

В завершение

Мошенничество стало дешевым. Доказать, что ты человек, тоже должно быть дешево, и это доказательство должно быть надежным. Такую планку мы себе ставим, и Level 2 стал еще одной независимой проверкой того, что мы ей соответствуем.

Если хотите увидеть, как это работает, начните бесплатно. Если сначала хотите посмотреть отчеты, они на нашей странице доверия.

Alberto Rosas, CEO Didit