Durante muito tempo, proteger um processo de reconhecimento facial significava responder a uma pergunta relativamente simples: há uma pessoa real diante da câmera?
Foi para resolver esse problema que tecnologias de liveness e Presentation Attack Detection (PAD) ganharam espaço em bancos, fintechs, plataformas de identidade digital e processos de onboarding.
Elas foram desenvolvidas para identificar tentativas como uma fotografia posicionada diante da câmera, um vídeo reproduzido em outra tela ou até artefatos físicos mais sofisticados tentando imitar características humanas.
O problema é que os ataques evoluíram.
Com deepfakes cada vez mais convincentes, câmeras virtuais, dispositivos comprometidos e ferramentas capazes de interferir diretamente no fluxo de captura, o criminoso não precisa mais necessariamente colocar algo falso diante da câmera.
Ele pode simplesmente tentar fazer com que o sistema receba uma imagem falsa como se ela tivesse sido produzida pela câmera legítima.
E essa diferença muda completamente o cenário.
A questão deixa de ser apenas:
“Essa pessoa está viva?”
E passa a incluir outra pergunta igualmente importante:
“Posso confiar na origem desse vídeo?”
É nesse ponto que confiar apenas em PAD começa a ser insuficiente.
O problema que o PAD foi criado para resolver
Para entender a mudança, primeiro precisamos separar dois tipos de ataque que parecem semelhantes para quem está olhando apenas o resultado final.
Imagine um processo de abertura de conta.
O aplicativo solicita que o usuário olhe para a câmera e realize uma verificação facial.
Um fraudador possui um vídeo da vítima.
No primeiro cenário, ele abre esse vídeo em outro dispositivo e posiciona a tela diante da câmera do celular.
A câmera continua funcionando normalmente. Ela simplesmente está capturando algo que não deveria.
Esse é o território tradicional dos Presentation Attacks.
Os mecanismos de Presentation Attack Detection procuram justamente reconhecer sinais de que aquilo apresentado ao sensor não corresponde a uma interação biométrica genuína.
Dependendo da tecnologia utilizada, o sistema pode observar profundidade, textura, reflexos, movimentos, características do rosto ou outros elementos associados à captura.
A própria série ISO/IEC 30107, referência internacional sobre Presentation Attack Detection, delimita esse tipo de ataque aos eventos que ocorrem no dispositivo de captura durante a apresentação e coleta da característica biométrica.
Esse detalhe parece técnico, mas é fundamental.
Porque significa que existe uma fronteira.
O PAD protege principalmente o que acontece diante do sensor.
E os ataques modernos começaram a explorar justamente o que acontece depois dessa fronteira.
E se o atacante nem precisar enganar a câmera?
Agora imagine outro cenário.
O aplicativo solicita acesso à câmera para realizar a validação facial.
A interface parece normal.
O processo parece normal.
Mas o vídeo recebido pelo mecanismo de autenticação não veio realmente daquela câmera.
Uma ferramenta no dispositivo, uma câmera virtual, uma modificação no sistema operacional ou alguma outra técnica interfere no fluxo e fornece ao aplicativo um vídeo previamente preparado.
Esse vídeo pode conter um deepfake extremamente convincente.
Do ponto de vista do sistema de autenticação, existe um fluxo de vídeo chegando.
Mas sua origem foi adulterada.
Aqui está a mudança fundamental:
não existe necessariamente uma fotografia ou uma tela física sendo mostrada para o sensor.
O conteúdo falso pode ser introduzido diretamente no fluxo digital.
Esse é o princípio por trás dos Injection Attacks.
A preocupação com essa classe de ataque cresceu a ponto de existir atualmente um trabalho específico da ISO, o ISO/IEC 25456, dedicado a ataques de injeção de dados biométricos e aos mecanismos de Injection Attack Detection. O documento está em desenvolvimento e separa explicitamente esse problema dos testes tradicionais de Presentation Attack Detection.
Não significa que PAD deixou de funcionar.
Significa que estamos falando de outro ponto da cadeia de ataque.
Deepfake não é sinônimo de Presentation Attack
Essa distinção também resolve uma confusão frequente.
Um deepfake é o conteúdo.
A maneira como o atacante entrega esse conteúdo ao sistema determina o tipo de ataque.
O mesmo vídeo sintético pode ser utilizado de maneiras completamente diferentes.
Se o criminoso reproduz o deepfake em uma tela e aponta essa tela para a câmera, temos um cenário de Presentation Attack.
Se ele consegue fazer com que o deepfake seja introduzido diretamente no fluxo de vídeo que deveria vir da câmera, entramos no território de Injection Attack.
O arquivo pode ser exatamente o mesmo.
O vetor é diferente.
E uma defesa projetada para detectar o primeiro cenário não necessariamente conseguirá identificar o segundo.
É por isso que simplesmente perguntar se determinado sistema “detecta deepfake” pode ser uma simplificação perigosa.
A pergunta mais útil é:
em qual etapa do processo ele consegue detectar a manipulação?
O atacante agora pode mirar o pipeline inteiro
Sistemas modernos de identidade digital possuem várias etapas entre o rosto de uma pessoa e uma decisão de autenticação.
De forma simplificada, podemos imaginar:
Pessoa → câmera → sistema operacional → aplicativo → processamento → análise biométrica → decisão
Historicamente, muita atenção foi colocada no primeiro trecho dessa cadeia.
Pessoa → câmera.
Mas um atacante não é obrigado a escolher justamente o ponto mais protegido.
Se for mais fácil interferir entre a câmera e o aplicativo, ele pode tentar isso.
Se conseguir manipular o fluxo recebido pelo sistema, pode tentar isso.
Se conseguir automatizar milhares de tentativas diferentes procurando uma combinação que passe pelos controles, pode fazer isso também.
Essa é uma característica importante da fraude digital moderna: ela procura o elo mais conveniente, não necessariamente o mais óbvio.
A defesa precisa acompanhar essa lógica.
PAD: proteger aquilo que é apresentado à câmera
O PAD continua sendo uma camada essencial.
Fotografias, vídeos reproduzidos em telas, máscaras e outros métodos de apresentação não desapareceram porque surgiram ataques mais sofisticados.
Na verdade, ataques simples continuam sendo atraentes justamente porque são baratos.
Se uma fotografia for suficiente para enganar determinado sistema, não existe motivo econômico para o fraudador utilizar uma infraestrutura mais complexa.
Por isso, a primeira camada continua sendo impedir que elementos artificiais apresentados ao sensor sejam confundidos com uma pessoa legítima.
Mas ela não pode ser a última.
IAD: proteger a origem da captura
É aqui que entra a Injection Attack Detection (IAD).
Enquanto o PAD procura responder se aquilo apresentado ao dispositivo de captura é legítimo, o IAD tenta identificar sinais de que o próprio fluxo biométrico foi manipulado ou introduzido artificialmente.
A ideia é proteger não apenas o conteúdo, mas também sua proveniência.
Em uma arquitetura robusta, isso pode envolver diferentes sinais e controles.
O sistema pode procurar inconsistências entre o dispositivo físico e o fluxo recebido, identificar câmeras virtuais ou mecanismos de emulação, analisar integridade do ambiente, procurar sinais de adulteração e verificar se a sequência de captura corresponde ao comportamento esperado daquele dispositivo.
Não existe um único mecanismo mágico capaz de resolver todas essas situações.
A segurança vem justamente da combinação de sinais.
Essa diferença é importante porque um deepfake extremamente realista pode ser difícil de identificar apenas pela aparência.
Por outro lado, mesmo que o conteúdo visual seja perfeito, sua forma de entrada no sistema ainda pode entregar o ataque.
É uma mudança interessante de perspectiva.
Em vez de perguntar apenas:
“Consigo provar que este rosto é falso?”
podemos perguntar:
“Consigo provar que este vídeo realmente veio do lugar de onde deveria ter vindo?”
MAD: quando o ataque deixa de ser individual
Existe ainda uma terceira camada que merece atenção.
Um fraudador tentando uma identidade representa um problema.
Uma infraestrutura automatizada tentando milhares representa outro.
É nesse contexto que aparece o conceito de Massive Attack Detection (MAD), utilizado em algumas arquiteturas e soluções para representar a identificação de ataques em grande escala.
Ao contrário de PAD e IAD, a sigla MAD não possui hoje o mesmo grau de padronização internacional dessas categorias. Portanto, ela deve ser entendida principalmente como uma camada comportamental e operacional de defesa contra fraude massiva, e não como uma classificação universal equivalente à série ISO 30107.
Essa camada procura enxergar aquilo que uma autenticação isolada talvez não mostre.
Imagine que cada tentativa individual pareça relativamente normal.
Quando analisadas em conjunto, porém, surgem padrões:
o mesmo dispositivo tentando criar dezenas de identidades;
infraestruturas semelhantes realizando autenticações em alta velocidade;
rostos sintéticos compartilhando características;
repetição de determinados padrões de vídeo;
alterações constantes de identidade partindo da mesma origem;
ou centenas de tentativas coordenadas em um curto período.
Individualmente, uma sessão pode parecer legítima.
Coletivamente, o comportamento pode ser extremamente suspeito.
Essa é uma das razões pelas quais analisar apenas uma autenticação por vez já não é suficiente para alguns cenários de fraude.
Uma defesa em três camadas
É possível então visualizar a estratégia de forma simples.
PAD protege contra aquilo que é apresentado ao sensor.
IAD protege contra aquilo que é injetado no pipeline.
MAD procura identificar ataques coordenados ou automatizados em escala.
As três camadas observam partes diferentes do problema.
Considere uma tentativa utilizando um deepfake.
Cenário 1 — Deepfake reproduzido em outra tela
O fraudador posiciona outro dispositivo diante da câmera.
A principal linha de defesa é o PAD.
Cenário 2 — Deepfake enviado por uma câmera virtual
Não existe tela diante do celular. O fluxo é manipulado antes de chegar ao mecanismo de reconhecimento.
A importância do IAD aumenta.
Cenário 3 — Centenas de deepfakes utilizados automaticamente
Além de PAD e IAD, torna-se importante observar padrões entre as tentativas.
É onde uma estratégia de MAD e análise antifraude comportamental pode revelar algo que nenhuma sessão isolada mostraria.
Uma camada não substitui a outra.
Elas se complementam.
E onde o WhatsApp entra nisso?
Há ainda outro componente importante: o ambiente no qual a jornada de verificação acontece.
Muitas empresas iniciam processos de cadastro, recuperação de conta, validação de identidade ou atendimento por canais como o WhatsApp.
Quando um usuário toca em um link, determinadas jornadas podem ser apresentadas utilizando um navegador incorporado ao aplicativo, normalmente baseado em tecnologias conhecidas genericamente como WebViews ou navegadores internos.
Isso permite reduzir mudanças de contexto e manter a experiência mais contínua.
Mas é importante evitar uma interpretação equivocada:
um WebView não é automaticamente um ambiente seguro simplesmente porque está dentro de um aplicativo confiável.
WebViews também possuem superfície de ataque.
A OWASP alerta que conteúdo carregado nesses componentes deve ser tratado com cuidado e recomenda, entre outras medidas, restringir navegação a destinos confiáveis, validar URLs e limitar funcionalidades nativas expostas ao conteúdo web.
Também não devemos assumir que a criptografia ponta a ponta utilizada para proteger mensagens de uma plataforma automaticamente se estende a qualquer página web aberta dentro dela.
São contextos de segurança diferentes.
Portanto, a vantagem não está simplesmente em dizer:
“está dentro do WhatsApp, então está protegido”.
A arquitetura precisa proteger a jornada.
O navegador interno pode fazer parte da estratégia, se for tratado corretamente
Quando implementado com controles adequados, um ambiente incorporado pode ajudar a reduzir determinados vetores.
A aplicação pode, por exemplo, restringir os domínios autorizados durante uma jornada, validar os destinos utilizados, evitar redirecionamentos arbitrários e reduzir oportunidades para que conteúdo não confiável interaja com funcionalidades sensíveis.
Mas essas proteções precisam ser projetadas.
A OWASP destaca inclusive que JavaScript, bridges entre WebView e funcionalidades nativas, permissões de conteúdo e carregamento de URLs precisam ser cuidadosamente controlados porque uma configuração permissiva aumenta a superfície disponível para exploração.
Isso nos leva novamente ao mesmo princípio encontrado na biometria.
Não basta analisar o conteúdo.
É preciso entender como ele chegou ali, em qual ambiente foi processado e quais partes da cadeia podem ter sido manipuladas.
O verdadeiro problema dos deepfakes
Talvez o maior erro ao discutir deepfakes seja imaginar que essa é apenas uma corrida para descobrir quem consegue produzir o rosto mais realista.
Não é.
A disputa também envolve infraestrutura.
O atacante procura maneiras melhores de entregar aquele conteúdo.
Pode ser uma tela diante de uma câmera.
Pode ser uma câmera virtual.
Pode ser um dispositivo comprometido.
Pode ser uma manipulação do pipeline.
Pode ser uma infraestrutura automatizada realizando milhares de tentativas.
E amanhã pode existir outra técnica.
Por isso, apostar toda a segurança em um único algoritmo que analisa se um rosto “parece verdadeiro” cria uma dependência perigosa.
Quanto mais sofisticado o conteúdo sintético se torna, mais importante fica observar tudo aquilo que existe ao redor do conteúdo.
Segurança biométrica precisa abandonar a defesa de ponto único
O avanço da IA generativa não tornou o Presentation Attack Detection obsoleto.
Tornou evidente que ele é apenas uma parte do problema.
PAD continua sendo necessário para proteger a interação com o sensor.
IAD passa a ser essencial quando precisamos verificar se os dados biométricos chegaram ao sistema por um caminho legítimo.
E mecanismos de análise massiva acrescentam uma visão importante sobre automação, repetição e ataques coordenados.
Em vez de existir uma única barreira, passamos a trabalhar com diferentes perguntas:
Existe uma pessoa real diante da câmera?
O fluxo realmente veio daquela câmera?
O ambiente onde essa captura aconteceu é confiável?
Essa tentativa faz sentido quando comparada às demais?
É essa mudança de perspectiva que diferencia uma defesa baseada apenas em liveness de uma arquitetura realmente preparada para a nova geração de fraude digital.
Porque, no fim, o desafio criado pelos deepfakes não é simplesmente distinguir um rosto verdadeiro de um falso.
É garantir a integridade de todo o caminho entre a pessoa e a decisão de confiar nela.
