Os guardas do portão nunca tinham certeza absoluta sobre ninguém. Eles tinham critérios.
Quem está pedindo para entrar? O que essa pessoa está tentando acessar? Que comprovação ela deve apresentar? E qual nível de confiança é suficiente para permitir sua entrada?
Essa questão não mudou. O que mudou foi tudo ao seu redor: o volume de interações digitais, a velocidade com que as transações ocorrem, o grau de sofisticação das ameaças à identidade e a rapidez com que as empresas esperam uma resposta.
Esse foi um dos temas centrais de uma apresentação recente feita por Rubens De Souza, engenheiro de vendas d Aware , no evento anual “IT Leaders Day 2026” da Daycoval.
A discussão destacou uma importante mudança na segurança cibernética: a identidade não pode mais ser tratada como um único evento de autenticação na periferia de um sistema. Cada vez mais, trata-se de uma decisão dinâmica de segurança que deve ser tomada ao longo de toda a jornada do usuário.
O perímetro de segurança não desapareceu. Ele se multiplicou.
Durante anos, a segurança cibernética foi estruturada em torno de um perímetro: proteger a rede, controlar quem acessa e defender o que está dentro dela.
A computação em nuvem, os aplicativos móveis, as APIs e os serviços digitais mudaram esse modelo. Mas o perímetro não desapareceu.
Isso se multiplicou.
Hoje, esse mecanismo de segurança pode ser aplicado a praticamente qualquer produto, processo e transação: abertura de conta, acesso a informações confidenciais, recuperação de senha, autorização de pagamento ou alteração de credenciais de conta.
É isso que o conceito de “zero trust” descreve, em última análise. A confiança não é concedida simplesmente porque alguém conseguiu ultrapassar uma barreira inicial. A identidade e o risco devem continuar sendo avaliados à medida que a interação evolui.
O que torna a qualidade da decisão sobre a identidade cada vez mais importante.
A autenticidade depende inteiramente da qualidade do cadastro
Uma das distinções mais importantes na segurança de identidade é também uma das mais fáceis de ignorar: identidade e autenticação não são a mesma coisa.
A autenticação pode garantir a continuidade. Ela pode comprovar que a pessoa que está tentando acessar uma conta é a mesma associada a uma credencial ou dado biométrico registrado.
O que ele não consegue fazer é corrigir uma matrícula com problemas.
Se um fraudador conseguir estabelecer uma identidade roubada ou sintética durante o processo de cadastro, cada autenticação bem-sucedida a partir de então poderá simplesmente confirmar a identidade que foi originalmente cadastrada.
Um sistema pode, portanto, ser muito bom em responder: “Essa é a mesma pessoa?”
Sem responder adequadamente à pergunta: “Afinal, quem era essa pessoa?”
À medida que o “ deepfakes ”, as identidades sintéticas e os documentos falsificados se tornam mais fáceis de criar, proteger esse processo inicial de estabelecimento de identidade torna-se ainda mais importante.
A biometria analisa o corpo. A identidade conta a história.
A biometria fornece provas sólidas, pois as características biométricas estão ligadas a uma pessoa, e não a algo que ela saiba ou possua. Mas uma característica biométrica, por si só, não constitui uma identidade.
Uma correspondência de “ face ” pode determinar se duas imagens faciais provavelmente representam a mesma pessoa. A detecção de “Liveness ” pode ajudar a determinar se a amostra biométrica provém de uma pessoa real e presente, em vez de um ataque de apresentação ou de um artefato sintético.
A identidade requer um contexto adicional.
A quem pertence essa informação biométrica? Que documento ou credencial comprova essa afirmação? Essa credencial foi emitida de forma legítima? A transação faz sentido? Existem outros sinais de risco que indiquem fraude?
A camada biométrica e a camada de identidade apresentam falhas em pontos diferentes. Esse é o verdadeiro argumento a favor da identidade multimodal e da orquestração biométrica.
As organizações precisam, cada vez mais, combinar dados biométricos matching, liveness, verificação de documentos, inteligência de dispositivos e outros sinais, com base nas circunstâncias da transação. O objetivo não é utilizar todos os sinais em todas as ocasiões, mas sim aplicar a evidência certa no momento certo.
A dinâmica econômica da fraude mudou
Ao mesmo tempo, a dinâmica econômica dos ataques a sistemas de identidade mudou drasticamente.
Antigamente, a fraude exigia tempo considerável, conhecimento técnico ou trabalho manual. A inteligência artificial generativa ( IA ) e os agentes automatizados, cada vez mais capazes, estão reduzindo essas barreiras.
É possível criar imagens sintéticas rapidamente. Identidades podem ser montadas a partir de combinações de informações reais e inventadas. Sistemas automatizados podem realizar ataques em uma escala que seria impossível de ser mantida manualmente por operações fraudulentas conduzidas por seres humanos.
O invasor não precisa mais, necessariamente, roubar a identidade de outra pessoa. Cada vez mais, o invasor pode ser alguém que nunca existiu. Isso muda o panorama da defesa.
À medida que o custo de criar e testar ataques diminui, as organizações devem partir do princípio de que os sistemas de identidade estarão face o a uma pressão cada vez mais persistente e automatizada.
Matching Tornou-se uma mercadoria. A defesa, não.
A tecnologia biométrica matching evoluiu enormemente. Recursos de alta qualidade matching estão amplamente disponíveis e continuam se tornando cada vez mais rápidos e precisos.
Mas o “ matching ” é apenas uma parte da segurança de identidade. Um comparador determina se duas amostras biométricas parecem representar a mesma pessoa. Ele não determina necessariamente se a amostra em si é confiável.
Essa distinção torna-se fundamental na era da IA generativa.
Mesmo um sistema de reconhecimento de face extremamente preciso pode, potencialmente, identificar uma imagem sintética convincente se imagens manipuladas ou inseridas chegarem até ele sem serem verificadas.
É por isso que alguns dos principais diferenciais da tecnologia biométrica estão se voltando para as camadas defensivas que envolvem a verificação: detecção de liveness , detecção de mídia sintética, detecção de ataques de apresentação e prevenção de injeções.
A questão já não é simplesmente: “Qual é o grau de precisão do seu sistema de correspondência?”
É também: “Até que ponto o seu sistema consegue determinar se as evidências que chegam a esse comparador são confiáveis?”
Não existe 100%
Talvez o princípio mais importante na segurança de identidade seja o fato de que não existe certeza absoluta. Todo sistema opera em algum ponto de um continuum entre segurança e usabilidade.
Exigir o máximo de comprovação em cada interação poderia aumentar a segurança, mas também tornaria muitas experiências rotineiras demoradas e desnecessariamente difíceis. Exigir pouca comprovação gera o problema oposto.
Um cliente que verifica o saldo de uma conta não deve necessariamente face passar pelo mesmo processo de verificação de identidade que alguém que está transferindo uma quantia elevada, alterando dados essenciais da conta ou recuperando o controle de uma conta.
O objetivo não é a certeza. É a dúvida ponderada. Quantas evidências essa operação específica justifica?
Interações de menor risco podem exigir relativamente pouca complexidade. À medida que o risco aumenta, as organizações podem adotar verificações mais rigorosas, sinais biométricos adicionais ou outras formas de comprovação.
É nesse ponto que a orquestração se torna especialmente valiosa. Em vez de aplicar um único fluxo de trabalho rígido de identidade a todos os usuários e transações, as organizações podem ajustar quais tecnologias, fornecedores e sinais serão utilizados com base no nível de risco envolvido.
A segurança de identidade está se tornando um problema de tomada de decisão
Essa pode ser a maior mudança que está ocorrendo no campo da identidade digital.
O setor vem dedicando anos ao aprimoramento de tecnologias específicas: melhor matching, melhor verificação de documentos, melhor biometria e melhor detecção de fraudes. Esses avanços continuam sendo essenciais. Mas, cada vez mais, o desafio é decidir como essas tecnologias devem funcionar em conjunto.
As organizações conseguem aumentar o nível de segurança quando o risco aumenta? Elas conseguem implementar novos recursos de verificação de identidade ( liveness ) ou de detecção de fraudes à medida que as técnicas de ataque evoluem? Conseguem aplicar diferentes níveis de comprovação a diferentes transações? E conseguem reconhecer quando uma correspondência biométrica bem-sucedida não é suficiente?
O perímetro de identidade moderno está presente em todos os lugares. Protegê-lo exige mais do que simplesmente verificar se alguém passou pela autenticação. Exige decidir continuamente qual o nível de comprovação necessário para a ação que a pessoa está tentando realizar.
Os guardas no portão nunca tiveram certeza absoluta. Nós também não teremos. O objetivo é proporcionar a esse guarda evidências mais sólidas, defesas mais robustas e uma maneira mais inteligente de decidir quando o portão deve ser aberto.
