Legitimuz comenta sobre Deepfakes no iGaming. As plataformas estão preparadas?

Um deepfake em tempo real já não exige equipe técnica nem hardware caro. Ferramentas acessíveis geram, em minutos, um rosto sintético capaz de imitar expressões e movimentos diante de uma câmera.

Para o setor de iGaming, que depende de verificação de identidade remota para cumprir exigências de KYC e idade mínima, essa evolução muda o tamanho do risco.

Por que o iGaming é um alvo específico

Diferente de um banco, uma plataforma de apostas lida com um tipo particular de fraude de identidade: usuários que tentam burlar bloqueios de autoexclusão, criar múltiplas contas para abusar de bônus de boas-vindas, ou usar identidade de terceiros para contornar restrição de idade ou de jurisdição.

Um deepfake convincente, ou uma imagem fabricada e inserida diretamente no aplicativo sem passar pela câmera, atende a todos esses objetivos ao mesmo tempo.

Soma-se a isso o cenário regulatório brasileiro. A Lei 14.790/2023 e a Portaria SPA/MF nº 1.231 exigem que operadoras de apostas comprovem a identidade e a maioridade do usuário antes de liberar cadastro e movimentação financeira. Uma verificação facial frágil não é só um risco de fraude: é um risco de conformidade.

Onde a maioria das plataformas ainda falha

Boa parte das plataformas de apostas ainda verifica identidade comparando uma selfie com a foto do documento, sem checar se existe uma pessoa real e presente diante da câmera.

Esse modelo resiste bem a erros de cadastro, mas não resiste a um deepfake, a uma foto impressa reproduzida em outra tela, ou a uma imagem injetada diretamente no aplicativo por meio de emuladores e câmeras virtuais.

O ponto cego mais comum é tratar esses dois ataques como o mesmo problema. Detecção de ataque de apresentação, o chamado PAD, responde à pergunta se existe uma pessoa real na frente da câmera.

Detecção de ataque de injeção, o IAD, responde a uma pergunta diferente: se a imagem realmente veio da câmera do dispositivo. Uma plataforma preparada para deepfakes, mas não para injeção, ainda deixa a porta aberta.

O que uma verificação madura para iGaming inclui

Especialistas do setor apontam três camadas como resposta mínima ao cenário atual: verificação de vivacidade biométrica (liveness) capaz de detectar deepfakes e máscaras, validação específica contra ataques de injeção de imagem, e inteligência de dispositivo para identificar emuladores, root e jailbreak antes mesmo da captura da câmera.

Calibrar o rigor por nível de risco, aplicando mais exigência em cadastros novos e menos fricção em reautenticações de rotina, evita que a segurança extra vire abandono no onboarding.

O padrão que está se formando

Certificações internacionais como ISO/IEC 30107-3, iBeta PAD e BixeLab PAD e IAD, além do padrão técnico CEN/TS 18099 para detecção de ataques de injeção, começam a funcionar como referência de mercado para separar fornecedores que resistem a esses ataques na prática dos que só prometem segurança no papel.

Para o iGaming, setor que opera sob fiscalização crescente e margem apertada para fraude, essa distinção tende a pesar cada vez mais na escolha de fornecedor de verificação de identidade.

Sobre a Legitimuz

A Legitimuz é uma startup brasileira especializada em verificação de identidade, biometria e prevenção a fraude, com atuação relevante no setor de iGaming, fintechs e outras indústrias reguladas. A empresa mantém certificações ISO/IEC 27001, iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3, BixeLab IAD e ISO/IEC 30107-3.