A Legitimuz, startup brasileira especializada em verificação de identidade, comenta sobre deepfakes no iGaming. Segundo a empresa, um deepfake em tempo real já não exige equipe técnica nem hardware caro. A discussão envolve riscos de conformidade para plataformas de iGaming, que dependem de verificação de identidade remota para cumprir KYC e idade mínima.
Por que o iGaming é um alvo específico
Diferente de um banco, uma plataforma de apostas lida com um tipo particular de fraude de identidade: usuários que tentam burlar bloqueios de autoexclusão, criar múltiplas contas para abusar de bônus de boas-vindas, ou usar identidade de terceiros para contornar restrição de idade ou de jurisdição. Um deepfake convincente, ou uma imagem fabricada e inserida diretamente no aplicativo sem passar pela câmera, atende a todos esses objetivos ao mesmo tempo.
Soma-se a isso o cenário regulatório brasileiro. A Lei 14.790/2023 e a Portaria SPA/MF nº 1.231 exigem que operadoras de apostas comprovem a identidade e a maioridade do usuário antes de liberar cadastro e movimentação financeira. Uma verificação facial frágil não é só um risco de fraude: é um risco de conformidade. Ministério da Fazenda autua 73 casas de apostas online.
Onde a maioria das plataformas ainda falha
Boa parte das plataformas de apostas ainda verifica identidade comparando uma selfie com a foto do documento, sem checar se existe uma pessoa real e presente diante da câmera. Esse modelo resiste bem a erros de cadastro, mas não resiste a um deepfake, a uma foto impressa reproduzida em outra tela, ou a uma imagem injetada diretamente no aplicativo por meio de emuladores e câmeras virtuais.
O ponto cego mais comum é tratar esses dois ataques como o mesmo problema. Detecção de ataque de apresentação, o chamado PAD, responde se existe uma pessoa real na frente da câmera. Detecção de ataque de injeção, o IAD, responde a pergunta diferente: se a imagem realmente veio da câmera do dispositivo. Uma plataforma preparada para deepfakes, mas não para injeção, ainda deixa a porta aberta.
O que uma verificação madura para iGaming inclui
Especialistas do setor apontam três camadas como resposta mínima ao cenário atual: verificação de vivacidade biométrica (liveness) capaz de detectar deepfakes e máscaras, validação específica contra ataques de injeção de imagem, e inteligência de dispositivo para identificar emuladores, root e jailbreak antes mesmo da captura da câmera.
Calibrar o rigor por nível de risco, aplicando mais exigência em cadastros novos e menos fricção em reautenticações de rotina, evita que a segurança extra vire abandono no onboarding.
O padrão que está se formando
Certificações internacionais como ISO/IEC 30107-3, iBeta PAD e BixeLab PAD e IAD, além do padrão técnico CEN/TS 18099 para detecção de ataques de injeção, começam a funcionar como referência de mercado para separar fornecedores que resistem a esses ataques na prática dos que só prometem segurança no papel. Para o iGaming, setor que opera sob fiscalização crescente e margem apertada para fraude, essa distinção tende a pesar cada vez mais na escolha de fornecedor de verificação de identidade.
Para referência, leia ISO/IEC 30107-3 em ISO e CEN/TS 18099 em standards cen.eu.
Sobre a Legitimuz
A Legitimuz é uma startup brasileira especializada em verificação de identidade, biometria e prevenção a fraude, com atuação relevante no setor de iGaming, fintechs e outras indústrias reguladas. A empresa mantém certificações ISO/IEC 27001, iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3.
Saiba mais na fonte original.
Perguntas Frequentes
O que são PAD e IAD no contexto de iGaming?
PAD verifica se existe uma pessoa real diante da câmera; IAD verifica se a imagem realmente veio da câmera do dispositivo.
Quais certificações estão ganhando relevância para verificação de identidade?
ISO/IEC 30107-3, iBeta PAD, BixeLab PAD, IAD e CEN/TS 18099
