Passaportes pela primeira vez vão para o digital: O que a verificação de identidade digital precisa acertar

Em 29 de setembro, o Departamento de Estado anunciou que, a partir do próximo ano, quem estiver solicitando o primeiro passaporte americano poderá fazer todo o processo online. Antes disso, os solicitantes de primeira viagem precisavam comparecer pessoalmente. Alguém olhava para o seu rosto, verificava seus documentos e garantia que ambos correspondiam.

Essa verificação presencial deixará de existir, o que coloca um peso enorme na verificação de identidade digital. 

O governo ainda não revelou como verificará os solicitantes, por isso serei direto: não sei como eles estão desenhando isso, e ninguém fora daquela equipe sabe. O que posso fazer é analisar o que uma versão segura precisaria, onde ela poderia falhar e o que isso significa para as equipes que gerenciam a integração de clientes (KYC) no dia a dia.

Resumo: O que os passaportes online significam para a verificação de identidade digital?

Um processo online seguro precisa de mais do que uma selfie e uma carteira de motorista. Ele precisa que cinco verificações passem juntas: verificação de nome, data de nascimento e SSN pela SSA; validação da carteira de motorista com os registros do estado emissor; verificação eletrônica de uma certidão de nascimento como prova de cidadania; uma selfie com detecção robusta de vivacidade e uma busca facial de um para muitos nos registros de fotos existentes do Departamento de Estado. Construído dessa forma, ele deve ser bastante seguro, mas as equipes de integração devem monitorá-lo de perto.

• O principal risco é um impostor usando o próprio rosto, não um deepfake seu. Um fraudador que falsifica uma carteira de motorista com seus dados e a foto dele passará na verificação de vivacidade e na correspondência facial. O passaporte conterá o rosto dele, funcionando inclusive na fronteira.

• A verificação de vivacidade ainda é importante, mas não é toda a defesa. Ela precisa detectar ataques de apresentação e injeção de câmera. No entanto, não consegue detectar uma pessoa real segurando uma carteira de motorista falsificada.

• A cidadania precisa ser provada, não presumida. As verificações de SSN e carteira de motorista não comprovam cidadania.

• Os sinais de endereço importam mais do que os dados do dispositivo. Fique atento a históricos de endereço novos ou escassos, endereços repetidos e caixas postais.

• Um passaporte fraudulento é útil em qualquer lugar. Ele pode ser usado para abrir contas, obter empréstimos e, se emitido com a foto do fraudador, cruzar fronteiras.

Quem realmente pode usar um passaporte fraudulento?

Meu primeiro pensamento sincero foi que isso poderia ser uma mina de ouro para a fraude de passaportes. Um passaporte dos EUA é um grande prêmio, e muitas pessoas gostariam de ter um.

É tentador pensar que o risco é limitado porque o rosto do fraudador não corresponderá ao da vítima na fronteira. Isso só faria sentido se o fraudador precisasse se parecer com a vítima. Na prática, não precisa. O ataque clássico é o passaporte "verdadeiro obtido de forma fraudulenta": um passaporte real, emitido com base em documentos falsos, contendo a foto do próprio fraudador e a identidade de outra pessoa.

Isso não é hipotético. Em 2009, investigadores do GAO obtiveram quatro passaportes verdadeiros usando documentos falsificados e os SSNs de pessoas fictícias ou falecidas. Um investigador usou o passaporte para comprar uma passagem aérea, passar pela segurança do aeroporto e embarcar em um avião (Nextgov, GAO-09-447). Em um acompanhamento em 2010, o Departamento de Estado emitiu cinco dos sete passaportes que o GAO tentou obter (GAO-10-922T).

Portanto, um passaporte fraudulento é útil em duas situações: para abrir contas e solicitar empréstimos, que é o que preocupa as equipes de KYC, e para cruzar fronteiras, que é o que preocupa o Departamento de Estado.

O que um processo seguro de passaporte online precisaria?

Se eu estivesse desenhando isso, gostaria de cinco verificações e exigiria que o solicitante passasse em todas elas antes de qualquer emissão. Cada uma cobre uma lacuna que as outras deixam aberta.

Nenhuma parte deste processo deve ser de baixa fricção. Se houver falha em qualquer etapa, o solicitante deve ser direcionado para o atendimento presencial.

Um documento de identidade real diz que o documento é verdadeiro, mas são necessários mais sinais para saber se a pessoa também é.

Onde a verificação de identidade digital poderia falhar?

Do ponto de vista do fraudador, a verificação da SSA não é uma grande barreira. Nome, data de nascimento e SSN são informações básicas; há muitos dados expostos por aí.

A carteira de motorista falsificada é o elo mais fraco. O fraudador precisa de um documento com os dados da vítima e, no cenário de impostor, com a sua própria foto. Atualmente, não há como verificar se a foto em uma carteira de motorista física corresponde ao arquivo do DMV. No entanto, nos estados que oferecem a carteira de motorista digital (mDL) assinada, verificar a assinatura criptográfica é muito mais seguro do que inspecionar a imagem de um cartão de plástico.

A verificação de documentos procura por adulterações, e o código de barras no verso da carteira codifica os mesmos dados da frente. Mas códigos de barras podem ser burlados, e uma falsificação que copie os dados de uma carteira real também passará na verificação do DMV. Uma vez que o documento é aceito, a vivacidade e a correspondência facial não ajudam: elas apenas confirmam que uma pessoa real corresponde ao documento apresentado, não que o documento em si é legítimo. É aqui que a busca facial de um para muitos e os controles de endereço ganham relevância.

As selfies falsas de vivacidade ocorrem de duas formas principais:

• Ataques de apresentação. O fraudador segura uma foto ou tela em frente à câmera. Uma boa detecção de ataque de apresentação analisa profundidade, iluminação e outros elementos para identificar que não se trata de uma pessoa real.

• Ataques de injeção de câmera. Um vídeo falso é inserido entre a câmera e o aplicativo, como um ataque man-in-the-middle na sua webcam. O que o aplicativo recebe não é o que a câmera está filmando.

Juntando tudo, minha opinião é que burlar as cinco verificações ao mesmo tempo é muito mais difícil do que parece. Não é impossível, e a carteira de motorista falsificada é onde imagino que os fraudadores focarão seus esforços.

Por que isso não se torna um problema de fraude em larga escala?

Burlar uma verificação de selfie já não é um esforço isolado, pois ferramentas de injeção são vendidas comercialmente e podem ser reutilizadas em várias tentativas. O difícil de reutilizar é tudo o que envolve a selfie: uma carteira de motorista falsificada convincente para cada identidade, um registro de nascimento verificável para cada uma e um endereço de entrega controlado pelo fraudador. E se o Departamento de Estado realiza a busca facial de um para muitos, o rosto de cada fraudador só pode ser usado uma vez. Enquanto esses controles existirem, a fraude continua direcionada e lenta.

Isso também muda quais sinais são importantes. Quando a fraude ocorre em escala, os dados de IP e dispositivo são muito úteis, porque o mesmo dispositivo ou IP continua aparecendo. Contudo, os fraudadores capazes de burlar essas etapas são sofisticados e mudam de dispositivos e IPs constantemente. A inteligência comportamental e de dispositivo continua sendo um bom controle contra fraudadores menos experientes, mas aqui ela precisa funcionar em conjunto com outros sinais em vez de definir a decisão sozinha.

Outros documentos de alta segurança estão se tornando digitais?

Documentos de alta segurança já estão se tornando mais digitais. Na Califórnia, não preciso mais andar com minha carteira de motorista física. Posso adicioná-la à carteira do meu celular e utilizá-la.

Mas observe como o DMV lida com os momentos de risco. Posso renovar minha carteira online, e o novo cartão físico é enviado para o endereço registrado. Se eu mudar de endereço, preciso ir presencialmente. Se eu mudar de nome, a mesma coisa. E, até onde sei, não é possível obter a primeira carteira de motorista de forma totalmente online.

Isso mostra onde realmente reside a garantia de identidade. Se alguém quiser se passar por mim para obter minha carteira, também precisará ter acesso ao meu endereço para recebê-la. O endereço cumpre um papel fundamental no processo.

O que as equipes de integração de clientes (KYC) devem acompanhar?

Quando solicitadas a escanear um documento na integração, a maioria das pessoas escolhe a carteira de motorista em vez do passaporte. Muito mais americanos possuem carteira de motorista do que um passaporte válido. Portanto, não veremos uma enxurrada de passaportes de alto risco chegando amanhã.

Mesmo assim, há alguns sinais que eu passaria a valorizar mais nos processos de integração:

• Histórico de endereço. Se o endereço fornecido na proposta é novo para aquela identidade e tem pouquíssimo histórico associado, esse é um sinal de alerta importante. Um passaporte precisa ser enviado para algum lugar, e o fraudador precisa que esse lugar seja um endereço controlado por ele.

• Frequência de endereços. Se várias propostas forem enviadas usando o mesmo endereço, preste atenção.

• Caixas postais. Você não vai querer passaportes ou novas contas vinculadas a caixas postais.

• Como o passaporte foi emitido. Se houver alguma maneira de saber que o passaporte foi emitido totalmente online, sem etapa presencial, isso por si só já é um sinal útil. Eu não recusaria apenas por isso, mas é um ótimo motivo para atribuir uma pontuação de risco maior e analisar o caso mais de perto.

Um momento de atenção redobrada

No geral, se o governo construir esse sistema com verificações semelhantes às descritas acima, acredito que ele será bastante seguro por enquanto. Mas é, sem dúvida, um momento de atenção redobrada. Pessoas tentarão burlá-lo e, ao longo do próximo ano, o noticiário nos dirá se há pessoas conseguindo documentos em nome de terceiros.

Enquanto isso, a melhor estratégia para as equipes de integração continua sendo a de sempre: não deixe que um único documento defina toda a decisão. Um documento de identidade real diz que o documento é verdadeiro, mas são necessários mais sinais para saber se a pessoa também é.

Os fraudadores que conseguem burlar a verificação de vivacidade geralmente também conseguem driblar a identificação tradicional de dispositivos. Nosso webinar sob demanda, Além da Inteligência de Dispositivo Tradicional: O Futuro da Identidade Digital e Prevenção à Fraude, aborda o que é necessário para detectá-los.

Perguntas Frequentes

É possível solicitar o primeiro passaporte americano online?
Ainda não. O Departamento de Estado anunciou em 29 de setembro que os solicitantes de primeira viagem poderão fazer o processo totalmente online a partir do ano que vem. Até lá, as solicitações de primeiro passaporte ainda devem ser feitas presencialmente.

O que é verificação de identidade digital?
A verificação de identidade digital confirma que uma pessoa é quem diz ser sem a necessidade de um encontro presencial. Geralmente, ela combina uma validação de dados (como nome, data de nascimento e SSN), a verificação de um documento de identidade oficial e uma selfie com detecção de vivacidade para confirmar que uma pessoa real está presente no momento.

Qual é a diferença entre ataque de apresentação e ataque de injeção?
No ataque de apresentação, o fraudador mostra algo falso para a câmera, como uma foto impressa ou uma tela. No ataque de injeção de câmera, ele ignora a câmera totalmente e envia um vídeo falso direto para o aplicativo. Os ataques de injeção são mais difíceis de detectar porque o aplicativo nunca chega a ver o que está realmente em frente à câmera.

Um fraudador conseguiria obter um passaporte verdadeiro em nome de outra pessoa?
Sim, e isso já aconteceu antes. Em 2009 e 2010, investigadores do GAO conseguiram passaportes verdadeiros usando documentos falsificados. No ambiente online, o ataque mais provável é uma carteira de motorista falsificada com os dados da vítima e a foto do fraudador, que passaria nos testes de vivacidade e reconhecimento facial. É por isso que um processo seguro também precisa de verificação de registro de nascimento, busca facial de um para muitos e controles de endereço.”

O que é o eCBSV?
O eCBSV é o serviço eletrônico de verificação de SSN baseado em consentimento da Social Security Administration. Com a autorização da pessoa, ele confirma se o nome, data de nascimento e número do seguro social correspondem aos registros da SSA. É assim que as instituições financeiras realizam a mesma verificação de SSN durante a integração de clientes no KYC.

As equipes de KYC devem tratar os passaportes de forma diferente agora?
Não imediatamente. Os passaportes representam uma parcela pequena dos documentos utilizados na integração, e a emissão online ainda não começou. Mas vale a pena dar mais peso ao histórico de endereço, frequência de endereços e caixas postais, além de ficar atento a qualquer forma de identificar como o documento foi emitido.