Verificação da identidade do usuário: o que toda empresa precisa saber
Uma grande empresa de comércio eletrônico foi vítima de um esquema de fraude quando hackers utilizaram contas de clientes roubadas para realizar compras de alto valor e redirecionaram as remessas para seus próprios endereços. Como a empresa não contava com medidas robustas de verificação de identidade dos usuários, não conseguiu distinguir entre clientes legítimos e fraudadores.
A empresa sofreu prejuízos financeiros, além de ter enfrentado uma perda de confiança por parte dos clientes. Esse é apenas um exemplo entre muitos; no atual cenário digital, há uma necessidade crítica de que as empresas online implementem um processo rigoroso de verificação de identidade para proteger tanto seus resultados financeiros quanto sua reputação.
Neste artigo, discutiremos por que a verificação de identidade pode ser fundamental para prevenir fraudes, proteger informações confidenciais e cumprir os requisitos regulatórios.
Mas a verificação da identidade do usuário envolve mais do que simplesmente pedir que alguém envie um documento de identidade. A verificação moderna pode combinar documentos de identidade, dados biométricos, fontes de dados confiáveis e outros indicadores para determinar se alguém é quem afirma ser, ao mesmo tempo em que equilibra a segurança com a necessidade de uma experiência rápida e sem obstáculos.
O que é a verificação da identidade do usuário?
A verificação da identidade do usuário é o processo de confirmar que um indivíduo é quem afirma ser. Em um ambiente digital, isso geralmente significa coletar evidências de identidade e avaliá-las em relação a informações confiáveis ou características associadas à pessoa legítima.
A verificação de identidade é frequentemente utilizada durante o processo de integração, quando uma organização estabelece um relacionamento com um novo cliente, funcionário ou outro usuário. Ela também pode ser utilizada posteriormente no relacionamento, quando o nível de risco se altera, como por exemplo durante a recuperação de conta, uma transação de alto valor, uma alteração em informações confidenciais da conta ou outra atividade que justifique uma verificação adicional.
A verificação de identidade está intimamente relacionada à autenticação, mas as duas não são idênticas. A verificação de identidade estabelece ou confirma quem é uma pessoa, enquanto a autenticação determina se uma pessoa que está tentando acessar uma conta ou um sistema possui as credenciais adequadas. Uma empresa pode verificar a identidade de alguém durante o processo de integração e, posteriormente, autenticá-la por meio de uma senha, chave de acesso, dispositivo ou outro fator.
Esse aumento nas transações online acelerou a necessidade de as empresas recorrerem à verificação de documentos de identidade e a outras formas de verificação de identidade para combater fraudes, proteger informações pessoais e garantir a segurança e a confiabilidade das interações digitais em um mundo cada vez mais interconectado.
Quais são os principais métodos de verificação de identidade?
Não existe uma única maneira de verificar a identidade. As organizações geralmente escolhem os métodos com base no tipo de interação, no nível de risco, nos requisitos regulatórios e nas informações disponíveis.
Verificação de documentos de identidade
A verificação de documentos utiliza documentos de identificação emitidos pelo governo, como passaportes, carteiras de habilitação e carteiras de identidade, para comprovar a identidade. Os sistemas digitais podem digitalizar o documento, extrair as informações de identidade e analisá-lo em busca de indícios de alteração, manipulação ou fraude.
Verificação biométrica
A verificação biométrica utiliza características físicas para ajudar a comprovar que a pessoa que realiza a verificação é o legítimo titular da identidade. A verificação facial, por exemplo, pode comparar uma selfie em tempo real com a foto constante de um documento de identidade. A detecção de vida pode fornecer evidências adicionais de que a amostra biométrica provém de uma pessoa viva, e não de uma foto, tela, máscara ou outro tipo de ataque de falsificação.
Outras formas de biometria podem incluir impressões digitais, reconhecimento de voz e leitura da íris, dependendo da aplicação e da tecnologia disponível.
Verificação baseada em dados
As informações de identidade também podem ser comparadas com fontes de dados confiáveis ou oficiais. Dependendo do caso de uso e da jurisdição, as organizações podem verificar informações como nome, endereço, data de nascimento, número de telefone ou outros detalhes identificadores de uma pessoa.
Verificação baseada no conhecimento
Os métodos baseados no conhecimento solicitam que os usuários forneçam informações que se espera que a pessoa legítima conheça. Essas abordagens têm incluído, historicamente, perguntas baseadas no histórico pessoal ou financeiro. Como as informações pessoais podem ser expostas por meio de violações, engenharia social e outras fontes, as organizações devem avaliar se os métodos baseados no conhecimento oferecem garantia suficiente para o risco envolvido.
Verificação multifatorial e em camadas
As organizações podem combinar vários métodos de verificação, em vez de se basearem em um único sinal. Por exemplo, um usuário pode apresentar um documento de identidade, realizar uma comparação biométrica facial e passar por uma verificação de vitalidade. Sinais adicionais de risco ou contextuais podem, então, ajudar a determinar se é necessária uma verificação mais aprofundada.
Os métodos de camadas podem tornar mais difícil para os fraudadores burlarem um sistema por meio de uma única credencial comprometida ou técnica de ataque, ao mesmo tempo em que permitem que as empresas ajustem o nível de restrição de acordo com o risco.
Como funciona o processo de verificação de identidade?
O fluxo de trabalho exato varia de acordo com a organização, mas um processo típico de verificação de identidade digital segue várias etapas.
Primeiro, a organização determina qual nível de garantia de identidade é adequado para a interação. Abrir uma conta financeira ou recuperar o acesso a uma conta comprometida pode exigir evidências mais sólidas do que realizar uma transação de baixo risco.
Em seguida, o usuário fornece as informações de identidade solicitadas. Isso pode envolver o preenchimento de dados pessoais, o envio de um documento de identidade emitido pelo governo, a captura de uma selfie ou a realização de outra etapa de verificação. As informações do documento podem ser extraídas automaticamente, sem que o usuário precise preencher manualmente todos os campos.
Em seguida, o sistema avalia as evidências. A autenticidade de um documento e possíveis sinais de manipulação podem ser verificados; as informações de identidade podem ser comparadas com fontes de dados confiáveis; e uma comparação biométrica pode determinar se a pessoa que apresenta o documento corresponde à foto nele contida. A tecnologia de verificação de vida pode ajudar a determinar se a amostra biométrica está sendo fornecida por uma pessoa viva.
A organização pode, então, utilizar esses resultados, juntamente com outros sinais de risco relevantes, para tomar uma decisão. Uma verificação simples pode ser realizada automaticamente, enquanto um caso incerto ou de maior risco pode exigir outra etapa de verificação, uma nova captura de documento ou uma revisão manual.
Além disso, a verificação não termina necessariamente após o cadastro. As organizações podem verificar novamente a identidade quando as circunstâncias assim o exigirem, como durante a recuperação de conta, atividades excepcionalmente sensíveis ou uma mudança significativa no nível de risco.
Onde a verificação de identidade do usuário é utilizada?
A verificação de identidade promove a confiança digital em uma ampla gama de setores e interações.
Serviços financeiros: Bancos, instituições de crédito, empresas de fintech, provedores de pagamentos e outras instituições financeiras utilizam a verificação de identidade durante a abertura de contas e outras interações sensíveis. A verificação pode atender aos requisitos de KYC e AML, ao mesmo tempo em que ajuda a prevenir fraudes envolvendo identidades roubadas ou sintéticas.
Comércio eletrônico e marketplaces: As empresas online podem verificar compradores, vendedores ou comerciantes para reduzir o uso indevido de contas, transações fraudulentas e fraudes em marketplaces. A verificação pode ser particularmente importante quando os usuários podem vender produtos, receber pagamentos ou ter acesso a outros privilégios em uma plataforma.
Saúde: As instituições de saúde podem precisar verificar a identidade do paciente antes de conceder acesso a registros confidenciais, serviços ou benefícios. Processos de verificação de identidade mais rigorosos também podem ajudar a combater o roubo de identidade médica e os pedidos de reembolso fraudulentos.
Benefícios governamentais e públicos: Órgãos governamentais podem utilizar a verificação de identidade para determinar a elegibilidade e ajudar a garantir que os serviços, benefícios e contas digitais sejam acessados pela pessoa a quem se destinam.
Acesso de funcionários e fornecedores: As empresas podem verificar funcionários, prestadores de serviços e fornecedores antes de conceder acesso a sistemas confidenciais, instalações ou informações proprietárias. A verificação também pode auxiliar nos processos de contratação e integração de pessoal.
Setor de viagens e hospitalidade: Companhias aéreas, hotéis, operadoras de cruzeiros e outras empresas do setor de viagens podem utilizar a captura de documentos e a verificação de identidade para agilizar o check-in de hóspedes e viajantes, ao mesmo tempo em que ajudam a comprovar a legitimidade dos documentos e das identidades.
O custo da verificação inadequada de identidade
Processos de identificação deficientes podem acarretar consequências financeiras, regulatórias e de reputação. Os fraudadores podem utilizar informações pessoais roubadas, documentos falsificados ou identidades sintéticas para criar contas, acessar contas existentes ou realizar transações fraudulentas.
Falhas de identidade também podem expor informações confidenciais. Em 2019, foi divulgado que a First American Financial Corporation expôs centenas de milhões de registros devido a uma vulnerabilidade em seu site, o que ilustra as possíveis consequências quando o acesso a informações confidenciais não é protegido adequadamente.
Para empresas sujeitas a regulamentação, a identidade também está intimamente ligada à conformidade. Os requisitos de KYC e AML podem exigir que instituições financeiras e outras organizações abrangidas identifiquem os clientes e realizem a devida diligência, enquanto os requisitos de privacidade regem a forma como as informações pessoais são coletadas, processadas e protegidas.
O desafio não consiste simplesmente em maximizar o número de verificações. Uma verificação que crie atritos desnecessários pode fazer com que usuários legítimos desistam do processo de cadastro ou tenham dificuldade para acessar os serviços. Portanto, uma verificação de identidade eficaz exige que as organizações gerenciem, de forma integrada, a fraude, a conformidade e a experiência do cliente.
Quais são os desafios da verificação de identidade?
A criação de um programa de verificação eficaz exige que as organizações resolvam vários problemas conflitantes ao mesmo tempo.
Experiência do usuário e atrito: cada etapa adicional de verificação exige tempo e esforço. Captura de imagem de baixa qualidade, instruções confusas ou desafios desnecessários podem frustrar usuários legítimos e aumentar a taxa de abandono.
Sofisticação da fraude: As técnicas de fraude continuam a evoluir. Documentos falsificados, identidades sintéticas, deepfakes, troca de rostos e ataques por injeção podem representar um desafio para sistemas projetados com base em métodos de ataque mais antigos.
Rejeições falsas: um usuário legítimo pode ser reprovado na verificação devido à iluminação inadequada, à baixa qualidade da imagem, a documentos danificados, a informações incompatíveis ou a outros motivos inofensivos. As organizações precisam de meios para distinguir problemas corrigíveis de riscos reais.
Escala e cobertura geográfica: As empresas que atuam em diversos mercados podem se deparar com milhares de variações de documentos de identidade, diferentes idiomas e alfabetos, além de requisitos regulatórios em constante mudança.
Integração e operações: a verificação de identidade precisa ser compatível com os sistemas existentes de integração, contas e gestão de riscos. As organizações também devem definir como os resultados incertos, as exceções e as revisões manuais serão tratados operacionalmente.
Privacidade e proteção de dados: A verificação de identidade pode envolver informações pessoais e biométricas altamente confidenciais. As organizações precisam de políticas e medidas de segurança adequadas que regulem quais informações são coletadas, por que são necessárias, por quanto tempo são mantidas e quem pode acessá-las.
Melhores práticas para a implementação da verificação de identidade
Um programa eficaz de verificação de identidade deve refletir o risco real da interação, em vez de impor o máximo de restrições a todos os usuários.
Comece definindo quais comprovantes de identidade são necessários para cada caso de uso. Interações de maior risco podem exigir autenticação de documentos, dados biométricos, verificação de vitalidade ou sinais adicionais, enquanto atividades de menor risco podem exigir menos etapas.
As organizações também devem tornar o processo de verificação fácil de entender. Instruções claras sobre o envio de documentos, selfies e outras etapas podem reduzir erros dos usuários e falhas desnecessárias. Quando uma verificação não puder ser concluída, os usuários devem receber orientações adequadas sobre o que fazer a seguir, seja refazer o envio de uma imagem, fornecer comprovantes adicionais ou passar para outro processo de análise.
A combinação de sinais complementares pode fornecer evidências mais sólidas do que basear-se em uma única verificação. Ao mesmo tempo, as empresas devem monitorar o desempenho da verificação, incluindo taxas de conclusão, rejeições indevidas, detecção de fraudes e volumes de revisão manual, para entender onde o processo está gerando riscos ou atritos desnecessários.
A verificação também deve ser considerada parte de um relacionamento contínuo. Um cliente que tenha sido aprovado na verificação durante o cadastro pode, posteriormente, ter sua conta invadida ou passar por outras mudanças no nível de risco. A reverificação ou a verificação reforçada podem oferecer garantia adicional quando ações sensíveis ou comportamentos incomuns assim o justifiquem.
Por fim, as organizações devem revisar regularmente sua estratégia de verificação, à medida que os padrões de fraude, as regulamentações, o comportamento dos clientes e a tecnologia evoluem. Um fluxo de trabalho projetado para as ameaças do passado pode não oferecer o mesmo nível de garantia no futuro.
Como a verificação de identidade está evoluindo
A inteligência artificial está afetando ambos os lados da equação da identidade. As empresas podem usar IA e aprendizado de máquina para analisar documentos, dados biométricos e sinais de fraude com mais eficiência, enquanto os fraudadores podem usar IA generativa para criar documentos falsos cada vez mais convincentes, identidades sintéticas, deepfakes e outros tipos de ataques.
Isso faz com que o futuro da verificação de identidade não se resuma à adição de um único método novo de verificação, mas sim à combinação de várias formas de evidência. A inteligência documental, a biometria, a verificação de vitalidade, a detecção de fraudes e os sinais contextuais podem ajudar as organizações a construir uma compreensão mais completa da pessoa ou do agente por trás de uma interação.
Isso também torna a verificação após a integração cada vez mais importante. Estabelecer a identidade no início de um relacionamento continua sendo fundamental, mas a confiança pode mudar com o tempo. A invasão de contas, o compartilhamento de credenciais, dispositivos comprometidos e outros eventos podem transformar uma interação antes confiável em uma de maior risco.
O resultado é uma mudança na abordagem: em vez de tratar a verificação de identidade como uma etapa única na abertura da conta, passa-se a avaliar a identidade e o risco nos momentos em que realmente é necessária uma garantia adicional.
Como a Microblink pode ajudar
A Microblink ajuda as organizações a estabelecer a identidade, ao mesmo tempo em que reduz atritos desnecessários nas interações digitais. Nossa tecnologia combina inteligência documental, verificação de identidade, biometria, verificação passiva de vitalidade e detecção de fraudes para ajudar as empresas a determinar se a pessoa e os comprovantes de identidade apresentados durante uma interação são confiáveis.
A tecnologia de documentos da Microblink captura e extrai informações de identidade enquanto analisa os documentos em busca de indícios de fraude e manipulação. A comparação biométrica facial e a verificação passiva de vitalidade podem fornecer evidências adicionais de que a pessoa que apresenta o documento é seu titular legítimo e está fisicamente presente durante a interação.
Com APIs e SDKs projetados para integração em experiências digitais já existentes, as organizações podem incorporar a verificação de identidade nos processos de integração de novos usuários e em outros fluxos de trabalho, ao mesmo tempo em que adaptam os requisitos de verificação aos seus casos de uso.
À medida que a fraude de identidade evolui, uma verificação eficaz depende cada vez mais da combinação de vários sinais, em vez de se basear em uma única verificação. Isso ajuda as empresas a fortalecer suas decisões sobre identidade, sem impedir o fluxo de usuários legítimos.
À medida que as interações digitais e a fraude de identidade se tornam mais sofisticadas, as organizações mais bem posicionadas para se protegerem serão aquelas que tratarem a verificação de identidade não como um obstáculo pontual para os clientes, mas como a base para estabelecer e manter a confiança.
