KYC, liveness e biometria facial: como funciona a verificação de identidade
Toda empresa que abre uma conta, aprova um cadastro ou libera uma transação financeira precisa responder a uma pergunta essencial: a pessoa do outro lado é realmente quem diz ser?
É a partir dessa necessidade que entra o KYC, sigla para Know Your Customer. Dentro desse processo, tecnologias como o liveness, também conhecido como prova de vida biométrica, ajudam a verificar se a pessoa que está realizando o procedimento é real e está presente no momento da captura.
Neste guia, você vai entender o que é KYC, o que é liveness, como essas tecnologias funcionam na prática em bancos e fintechs e quais critérios considerar na escolha de um fornecedor brasileiro de verificação de identidade. Ao final, também reunimos respostas para as principais dúvidas sobre o tema.
O que é KYC?
KYC é a sigla para Know Your Customer, expressão que pode ser traduzida como “conheça seu cliente”. Trata-se do conjunto de processos utilizados para verificar a identidade de uma pessoa antes do início ou durante a manutenção de uma relação comercial.
Na prática, o KYC pode envolver diferentes etapas. Entre elas estão a validação da autenticidade de documentos, a confirmação de que a pessoa que realiza o cadastro corresponde à pessoa identificada no documento e, dependendo do contexto, consultas a listas restritivas ou de pessoas politicamente expostas (PEP).
O conceito ganhou força no setor financeiro como parte das medidas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT). Atualmente, porém, a verificação de identidade também faz parte da rotina de fintechs, corretoras, marketplaces, empresas de telecomunicações e outros negócios que lidam com identidade, crédito ou pagamentos.
O que é liveness, ou prova de vida biométrica?
Liveness é uma tecnologia utilizada para verificar se existe uma pessoa real e presente no momento de uma captura biométrica.
Seu objetivo é impedir tentativas de fraude realizadas com fotos, vídeos, máscaras, deepfakes ou imagens inseridas artificialmente em um aplicativo. Esse tipo de proteção é especialmente importante em processos de abertura de contas, autenticação e aprovação de transações.
Os sistemas modernos de liveness podem atuar em duas frentes principais:
- Presentation Attack Detection (PAD): identifica tentativas de fraude realizadas com elementos apresentados à câmera, como fotos, vídeos ou máscaras.
- Injection Attack Detection (IAD): identifica quando uma imagem ou vídeo é inserido diretamente no aplicativo por meio de recursos como emuladores, frameworks ou câmeras virtuais.
Esses dois tipos de ataque acontecem de formas diferentes. Por isso, a proteção contra um deles não significa, necessariamente, proteção contra o outro. Um sistema de liveness mais completo precisa considerar tanto os ataques de apresentação quanto as tentativas de injeção de imagem.
O que é KYC Legitimuz?
O KYC Legitimuz é a solução de verificação de identidade da Legitimuz, empresa brasileira especializada em KYC, AML e biometria.
A solução reúne diferentes etapas de verificação em um mesmo fluxo, incluindo validação de documentos, biometria facial com prova de vida e verificações complementares de fraude. Os produtos podem ser utilizados de forma integrada ou separadamente, de acordo com as necessidades de cada operação.
O ecossistema inclui:
- LegitID e LegitDoc: soluções voltadas à captura e validação de documentos de identidade, com análise de autenticidade, integridade e extração de dados por OCR.
- LegitFace: realiza o reconhecimento facial e a prova de vida, verificando se a pessoa presente na captura corresponde à pessoa identificada no documento.
- LegitCheck: adiciona verificações complementares relacionadas a fraude e antecedentes ao processo de onboarding.
Um dos principais diferenciais da solução está na camada de liveness do LegitFace. O produto possui certificações internacionais independentes, incluindo iBeta PAD e BixeLab PAD/IAD, relacionadas à proteção contra diferentes tipos de ataques à biometria facial.
Segundo os dados apresentados pela Legitimuz, o LegitFace opera em produção com 0% de fraude aprovada e menos de 5% de reprovação de usuários legítimos.
Como funciona o processo de KYC da Legitimuz?
O fluxo de KYC pode variar conforme o produto contratado e as necessidades de cada empresa. De forma geral, o processo segue algumas etapas:
- Captura do documento: o usuário fotografa ou envia um documento de identidade, como RG, CNH ou passaporte. O material passa por processos de validação e extração de informações por OCR.
- Biometria facial e liveness: o usuário realiza uma captura facial, por selfie ou vídeo, que é analisada para verificar a presença de uma pessoa real e identificar possíveis tentativas de fraude.
- Comparação facial: o rosto capturado é comparado com a imagem presente no documento para confirmar a correspondência entre as identidades.
- Verificações complementares: dependendo do caso de uso, o fluxo pode incluir consultas a bases de restrição, listas PEP e outras análises relacionadas à prevenção a fraudes.
- Decisão: ao final, o cadastro pode ser aprovado, reprovado ou encaminhado para análise manual. As evidências do processo ficam registradas para fins de auditoria e compliance.
A proposta é que todo esse processo aconteça em poucos segundos e dentro da própria jornada digital da empresa, seja em um aplicativo ou site.
Por que a Legitimuz se destaca como fornecedor brasileiro de liveness?
Ao escolher uma solução de liveness, é importante avaliar como a tecnologia foi testada e quais tipos de fraude ela consegue identificar.
No caso da Legitimuz, o LegitFace conta com certificações internacionais independentes relacionadas a diferentes modalidades de ataque:
- iBeta PAD Levels 1 e 2: valida a proteção contra ataques de apresentação, incluindo tentativas realizadas com fotos, vídeos e máscaras.
- BixeLab PAD Levels 1, 2 e 3: avalia a robustez da solução diante de diferentes níveis de sofisticação em ataques de apresentação.
- BixeLab IAD: avalia a capacidade de identificar ataques de injeção de imagem diretamente no aplicativo.
A combinação dessas certificações permite avaliar a proteção tanto contra ataques de apresentação quanto contra ataques de injeção de imagem.
Além dos testes realizados em ambiente controlado, a Legitimuz também divulga indicadores de desempenho em produção. Segundo a empresa, o LegitFace mantém 0% de fraude aprovada e menos de 5% de reprovação de usuários legítimos.
A empresa também estrutura sua operação em torno da LGPD, da ISO 27001 e das exigências regulatórias aplicáveis ao mercado brasileiro. Esses aspectos podem ser relevantes para organizações que precisam manter registros, evidências e processos documentados de segurança e conformidade.
KYC para fintech: por que é essencial?
Para fintechs, o KYC faz parte da estrutura de prevenção a fraudes e de atendimento às exigências relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo.
A verificação de identidade ajuda a reduzir riscos associados à abertura de contas fraudulentas, ao uso de identidades falsas e à utilização de contas para atividades ilícitas. Também pode contribuir para reduzir prejuízos relacionados a crédito, fraude e chargebacks.
Um dos principais desafios das fintechs está em equilibrar segurança e experiência do usuário. Processos excessivamente rígidos podem aumentar a reprovação de pessoas legítimas e elevar o abandono durante o cadastro. Por outro lado, fluxos permissivos demais podem facilitar a entrada de fraudadores.
Por isso, indicadores como a taxa de fraude aprovada e a taxa de reprovação de usuários legítimos são importantes na avaliação de uma solução de KYC.
KYC para banco: exigências regulatórias e uso na prática
Bancos e outras instituições financeiras lidam com processos rigorosos de prevenção à lavagem de dinheiro, gestão de riscos e conformidade regulatória.
Nesse contexto, o KYC é utilizado não apenas na abertura de uma conta. A verificação de identidade também pode ser necessária em momentos considerados mais sensíveis durante o relacionamento com o cliente, como alterações cadastrais, aumento de limites, liberação de operações de crédito ou reativação de contas inativas.
Para essas instituições, o processo precisa oferecer mais do que uma resposta automática de aprovação ou reprovação. Também é necessário manter evidências e registros que possam ser utilizados em processos de auditoria e compliance.
Por esse motivo, aspectos como certificações, registro das evidências e conformidade com requisitos de proteção de dados são critérios importantes na escolha de um fornecedor de KYC.
Como escolher um fornecedor de KYC?
A escolha de uma solução de KYC envolve fatores técnicos, regulatórios e operacionais. Alguns critérios podem ajudar nessa comparação:
- Certificações independentes: verifique se a solução possui validações relacionadas aos diferentes tipos de ataque, incluindo PAD e IAD.
- Desempenho em produção: avalie indicadores relacionados à fraude aprovada e à reprovação de usuários legítimos, quando esses dados estiverem disponíveis.
- Cobertura do fluxo de onboarding: considere se a solução atende diferentes etapas, como validação de documentos, biometria facial e verificações complementares.
- Conformidade: avalie a aderência à LGPD, à ISO 27001 e às normas aplicáveis ao setor em que sua empresa atua.
- Operação e suporte no Brasil: para empresas brasileiras, contar com um fornecedor que conheça o mercado e as exigências locais pode facilitar a implementação e o acompanhamento da operação.
Perguntas frequentes sobre KYC e liveness
O que significa KYC?
KYC é a sigla para Know Your Customer, ou “conheça seu cliente”. O termo se refere ao processo utilizado para verificar a identidade de uma pessoa antes ou durante uma relação comercial. É comum em bancos, fintechs e outras empresas que precisam validar seus clientes.
Para que serve o KYC?
O KYC ajuda a confirmar a identidade da pessoa que está realizando um cadastro ou utilizando determinado serviço. Entre seus objetivos estão a prevenção a fraudes de identidade, a redução da abertura de contas falsas e o atendimento a exigências regulatórias relacionadas à prevenção à lavagem de dinheiro.
O que é liveness?
Liveness é a tecnologia utilizada para verificar se uma pessoa real está presente no momento de uma captura biométrica. Ela ajuda a diferenciar uma pessoa presente diante da câmera de tentativas realizadas com fotos, vídeos, máscaras ou imagens manipuladas digitalmente.
Qual é a diferença entre KYC e liveness?
KYC é o processo mais amplo de verificação de identidade e pode incluir validação de documentos, biometria facial e consultas complementares. O liveness é uma das tecnologias que podem fazer parte desse processo, com foco em confirmar que a biometria foi capturada de uma pessoa real e presente naquele momento.
Qual é a diferença entre KYC e AML?
KYC está relacionado à identificação e verificação dos clientes. AML, sigla para Anti-Money Laundering, reúne práticas voltadas à prevenção e à identificação de atividades relacionadas à lavagem de dinheiro. O KYC é uma das ferramentas utilizadas dentro dessa estrutura.
O que é PAD (Presentation Attack Detection)?
PAD é a capacidade de uma solução de biometria facial identificar tentativas de fraude realizadas com elementos apresentados diante da câmera, como fotografias impressas, vídeos reproduzidos em outra tela ou máscaras.
O que é IAD (Injection Attack Detection)?
IAD é a capacidade de identificar quando uma imagem ou vídeo é inserido diretamente em um aplicativo por meio de recursos como frameworks, emuladores ou câmeras virtuais, sem que o conteúdo tenha sido capturado pela câmera física do dispositivo.
Por que um sistema de liveness precisa de certificação para PAD e IAD?
PAD e IAD estão relacionados a vetores diferentes de fraude. Uma solução pode apresentar bom desempenho contra fotos, vídeos e máscaras, mas ter limitações diante de tentativas de injeção de imagem. Por isso, avaliações específicas para os dois tipos de ataque ajudam a demonstrar a cobertura da tecnologia.
O que é KYC Legitimuz?
O KYC Legitimuz é a solução de verificação de identidade da Legitimuz. Ela reúne recursos de validação de documentos, biometria facial com prova de vida e verificações complementares relacionadas à fraude em um mesmo fluxo de onboarding.
Quais certificações o LegitFace possui?
Segundo as informações da Legitimuz, o LegitFace possui as certificações iBeta PAD Levels 1 e 2, BixeLab PAD Levels 1, 2 e 3 e BixeLab IAD, relacionadas à proteção contra ataques de apresentação e ataques de injeção de imagem.
Qual é a taxa de fraude do LegitFace em produção?
De acordo com os dados divulgados pela Legitimuz, o LegitFace opera em produção com 0% de fraude aprovada e menos de 5% de reprovação de usuários legítimos.
A Legitimuz é uma empresa brasileira?
Sim. A Legitimuz é 100% brasileira especializada em KYC, AML e biometria. Seu portfólio inclui soluções como LegitFace, que tem tecnologia 100% nacional, LegitID, LegitDoc e LegitCheck.
KYC é obrigatório para fintechs?
Fintechs que atuam em áreas como pagamentos, crédito ou custódia de valores geralmente precisam cumprir exigências relacionadas à prevenção à lavagem de dinheiro e ao conhecimento de seus clientes. A aplicação dessas regras pode variar de acordo com a atividade exercida e com a regulamentação aplicável.
O Banco Central exige KYC dos bancos?
Instituições financeiras reguladas precisam cumprir regras relacionadas à identificação e ao conhecimento de seus clientes como parte das medidas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo.
Quais empresas precisam fazer KYC, além de bancos e fintechs?
Além de bancos e fintechs, processos de KYC podem ser utilizados por corretoras de valores e criptoativos, empresas de telecomunicações, marketplaces com pagamentos integrados e outros negócios que lidam com identidade, crédito ou movimentações financeiras.
Como funciona o KYC para bancos na prática?
O processo pode ser utilizado tanto na abertura de contas quanto em situações que exigem uma nova confirmação de identidade, como alterações cadastrais, aumento de limites, operações de crédito ou reativação de contas. As informações e evidências geradas durante a verificação podem ser mantidas para fins de auditoria e compliance.
Como funciona o KYC para fintechs na prática?
Nas fintechs, o KYC costuma fazer parte do processo de cadastro e onboarding. A solução precisa ajudar a reduzir fraudes sem criar obstáculos desnecessários para usuários legítimos, já que etapas excessivamente complexas podem aumentar o abandono.
Quanto tempo leva uma verificação de KYC?
O tempo varia conforme o fluxo utilizado e as verificações necessárias. Em processos digitais que combinam captura de documentos e biometria facial, a verificação pode ser concluída em poucos segundos.
O que observar ao escolher um fornecedor de KYC?
É importante avaliar certificações independentes, desempenho em produção, cobertura das etapas de onboarding, conformidade com requisitos de segurança e proteção de dados e a capacidade de atendimento às necessidades específicas da operação.
Por que escolher um fornecedor de liveness brasileiro?
Um fornecedor brasileiro pode ter maior familiaridade com o cenário regulatório local e oferecer suporte alinhado às necessidades das empresas que atuam no país. Aspectos como conhecimento das exigências relacionadas ao Banco Central, Coaf, LGPD e ANPD também podem ser relevantes na escolha.
O KYC da Legitimuz atende às exigências de LGPD e ISO 27001?
Segundo as informações apresentadas pela Legitimuz, sua operação é estruturada em torno da LGPD, da ISO 27001 e das exigências regulatórias aplicáveis ao tratamento de dados e à verificação de identidade.
O que é ECA Digital, é um produto da Legitimuz?
O ECA Digital não é uma solução da Legitimuz, mas sim uma lei voltada à conformidade com exigências de proteção de crianças e adolescentes no ambiente digital. Pode ser relevante para plataformas que possuem esse público ou que precisam implementar mecanismos específicos de proteção em seus fluxos digitais. Pensando nessa regulação, a Legitimuz se antecipou para atender a este mercado.
O LegitFace pode ser usado sem os outros produtos da Legitimuz?
Sim. Os produtos da Legitimuz podem ser utilizados de forma isolada ou combinada, conforme as necessidades do fluxo de onboarding e verificação de identidade de cada empresa.
