Deepfakes em tempo real ameaçam verificação de identidade no iGaming

A produção de deepfakes em tempo real deixou de exigir equipe técnica especializada ou equipamentos caros. Hoje, ferramentas amplamente disponíveis são capazes de gerar rostos sintéticos que imitam expressões e movimentos diante de uma câmera em questão de minutos. Para o setor de iGaming, que depende de verificação de identidade remota para cumprir exigências de KYC (conheça seu cliente) e comprovação de maioridade, essa evolução amplia significativamente o tamanho do risco, segundo análise da Legitimuz, startup brasileira especializada em verificação de identidade e prevenção a fraudes.

Por que o iGaming é um alvo privilegiado

Plataformas de apostas enfrentam um perfil de fraude de identidade distinto do setor bancário tradicional. Entre os objetivos mais comuns dos fraudadores estão burlar bloqueios de autoexclusão, criar múltiplas contas para explorar bônus de boas-vindas e usar dados de terceiros para contornar restrições de idade ou de jurisdição. Um deepfake convincente — ou uma imagem fabricada inserida diretamente no aplicativo sem passar pela câmera do dispositivo — é capaz de atender a todos esses objetivos de uma só vez. O cenário regulatório brasileiro torna a vulnerabilidade ainda mais crítica: a Lei 14.790/2023 e a Portaria SPA/MF nº 1.231 obrigam as operadoras a comprovar identidade e maioridade do usuário antes de liberar cadastro e movimentações financeiras. Uma verificação facial frágil, portanto, não representa apenas risco de fraude, mas também de não conformidade com as normas do setor.

O ponto cego das plataformas

Grande parte das plataformas de apostas ainda realiza a verificação de identidade comparando uma selfie com a foto do documento, sem confirmar se há uma pessoa real e presente diante da câmera no momento do cadastro. Esse modelo é eficaz contra erros simples, mas não resiste a deepfakes, a fotos impressas exibidas em outra tela ou a imagens injetadas via emuladores e câmeras virtuais. A Legitimuz aponta que o equívoco mais frequente é tratar esses dois tipos de ataque como se fossem o mesmo problema. A detecção de ataque de apresentação — chamada PAD, do inglês Presentation Attack Detection — verifica se existe uma pessoa real diante da câmera. Já a detecção de ataque de injeção (IAD) responde a uma pergunta diferente: se a imagem capturada realmente veio da câmera física do dispositivo. Uma plataforma preparada para deepfakes, mas não para ataques de injeção, ainda mantém uma brecha aberta.

O que uma verificação robusta deve contemplar

Especialistas do setor apontam três camadas como resposta mínima ao cenário atual: verificação de vivacidade biométrica (liveness) capaz de detectar deepfakes e máscaras; validação específica contra ataques de injeção de imagem; e inteligência de dispositivo para identificar emuladores, root e jailbreak antes mesmo da captura pela câmera. Calibrar o nível de exigência conforme o risco — aplicando maior rigor em novos cadastros e menos fricção em reautenticações de rotina — é apontado como estratégia para evitar que a segurança adicional se traduza em abandono no processo de onboarding. No plano dos padrões técnicos, certificações como ISO/IEC 30107-3, iBeta PAD e BixeLab PAD e IAD, além do padrão CEN/TS 18099 para detecção de ataques de injeção, começam a funcionar como referência de mercado para distinguir fornecedores que resistem a esses ataques na prática daqueles que apenas prometem segurança no papel. A Legitimuz, empresa que assina a análise, é detentora de certificações ISO/IEC 27001, iBeta PAD níveis 1 e 2, BixeLab PAD níveis 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3.