Novas regras para emissão de Certificado Digital reforçam segurança contra fraudes e deepfakes
A evolução das fraudes digitais trouxe um novo desafio para a certificação digital: como garantir que a pessoa que está solicitando um Certificado Digital é, de fato, quem afirma ser?
A resposta passa por uma combinação cada vez maior de biometria, bases oficiais, validação documental e mecanismos capazes de identificar tentativas de manipulação de imagem, vídeo e outros dados biométricos.
Em 2026, o Instituto Nacional de Tecnologia da Informação (ITI) atualizou as regras para confirmação da identidade de requerentes de Certificados Digitais da ICP-Brasil. A mudança foi consolidada na Instrução Normativa ITI nº 36, de 29 de abril de 2026, que entrou em vigor em 5 de maio.
Mas por que essas regras precisaram mudar? E o que muda, na prática, para quem precisa emitir um Certificado Digital?
Por que as regras para emissão de Certificado Digital mudaram?
A identidade digital precisa acompanhar a evolução das ameaças digitais.
Durante a revisão dos procedimentos de identificação, o ITI apontou dois desafios importantes: a existência de requisitos distribuídos em diferentes normas e a necessidade de atualizar os procedimentos diante dos avanços tecnológicos, especialmente das fraudes envolvendo deepfakes.
Segundo a ata do Comitê Gestor da ICP-Brasil, a revisão buscou justamente enfrentar a insuficiência dos procedimentos anteriores diante de novas tecnologias de manipulação de imagem e vídeo, além de consolidar regras que estavam dispersas em diferentes documentos.
O próprio Grupo de Trabalho responsável pela revisão destacou que o surgimento de ameaças como deepfakes e manipulações biométricas exigia o aprimoramento dos processos de identificação.
Quais são as novas formas de confirmar a identidade?
A IN nº 36 estabelece cinco métodos admissíveis para confirmação da identidade de um requerente:
- Comparecimento presencial
- Videoconferência
- Uso de Certificado ICP-Brasil válido
- Módulo Eletrônico de AR
- AR Eletrônica
A norma também determina que os métodos diferentes do presencial devem oferecer nível de segurança equivalente ao atendimento presencial, utilizando tecnologias seguras para validação das informações biográficas e biométricas.
O que isso significa?
Em vez de depender exclusivamente da presença física, o processo pode utilizar diferentes combinações de tecnologia e validação para confirmar a identidade do requerente.
Entre os elementos previstos estão:
- validação de documentos;
- coleta e verificação biométrica;
- consulta a bases oficiais;
- análise de dados biográficos;
- mecanismos de detecção de vivacidade;
- prevenção contra ataques de apresentação;
- prevenção e detecção de injeção biométrica;
- registro das evidências do processo;
- trilhas de auditoria.
A confirmação de identidade deve compreender, no mínimo, a verificação documental, a coleta e verificação biométrica, a consulta à Lista Negativa de Autoridades Certificadoras e a assinatura ou confirmação da origem e integridade do Termo de Titularidade, conforme o caso.
O que muda na biometria?
A nova regulamentação determina que a coleta biométrica utilizada na confirmação de identidade deve permitir verificar que existe uma pessoa viva presente no momento da prova de identidade.
É aí que entra o chamado liveness detection, ou detecção de vivacidade.
Na prática, o objetivo é diferenciar uma pessoa real de uma tentativa de apresentar uma imagem, vídeo ou outra representação artificial como se fosse a pessoa que está sendo identificada.
A IN também determina que não sejam identificados sinais de fraude comportamental ou simbólica durante a coleta biométrica.
Além disso, a norma prevê o uso de bases oficiais para o batimento biométrico e biográfico. Entre as bases admitidas estão:
- Carteira Nacional de Identidade (CIN);
- Identificação Civil Nacional (ICN);
- Carteira Nacional de Habilitação (CNH);
- Infraestrutura Pública Digital (IPD) de Identificação Civil.
A lógica é simples: não basta comparar uma imagem com outra. É preciso reunir diferentes evidências para aumentar a confiabilidade da identificação.
Como as novas regras enfrentam deepfakes?
Deepfake é uma técnica que utiliza inteligência artificial para criar ou manipular conteúdos de áudio, imagem ou vídeo de maneira que uma pessoa possa parecer dizer ou fazer algo que não aconteceu.
No contexto da identificação digital, isso cria um problema específico.
Se uma pessoa pode apresentar uma imagem ou vídeo artificialmente produzido como se fosse ela, uma simples análise visual deixa de ser suficiente.
Por isso, a nova regulamentação incorpora mecanismos específicos para enfrentar esse tipo de ameaça.
Liveness detection
A detecção de vivacidade busca verificar se a biometria apresentada pertence a uma pessoa real e presente durante o processo.
Detecção de ataques de apresentação
A norma prevê mecanismos para identificar tentativas de apresentar uma representação artificial da pessoa durante a confirmação de identidade.
Prevenção contra injeção biométrica
Outro ponto importante é a chamada injeção biométrica.
Nesse tipo de ataque, um fluxo de vídeo previamente gravado ou artificialmente gerado pode tentar ser inserido no processo de identificação como se fosse uma transmissão legítima.
A IN nº 36 determina que os processos de videoconferência tenham mecanismos para prevenir e detectar esse tipo de ataque. Também prevê controles contra câmeras virtuais e dispositivos comprometidos.
Na videoconferência, por exemplo, a solução tecnológica deve realizar a detecção de vivacidade, utilizar mecanismos contra ataques de apresentação e injeção biométrica e detectar ou bloquear drivers de câmeras virtuais e dispositivos comprometidos.
Como funciona a confirmação de identidade por videoconferência?
A videoconferência continua sendo uma das formas previstas para confirmação de identidade, mas passa a estar associada a uma série de requisitos técnicos.
Antes da videoconferência, o requerente deve enviar fotografias do documento de identificação e da própria face para permitir verificações prévias.
Durante o atendimento, deve apresentar o documento físico, informar o CPF e autorizar a coleta e utilização das informações necessárias ao processo.
A face capturada durante a videoconferência também deve passar por verificações biométricas. O processo prevê ainda consulta ao Sistema Biométrico da ICP-Brasil ou, quando aplicável, às bases oficiais nacionais.
A própria qualidade da chamada também passa a ser um fator de segurança. Se houver condições inadequadas de imagem ou som, interrupções ou problemas que impeçam uma identificação adequada, a videoconferência deve ser interrompida e considerada sem efeito.
Outro mecanismo previsto é o envio de um código único e descartável, por um canal diferente da videoconferência, para garantir a rastreabilidade do procedimento e confirmar que a sessão está acontecendo em tempo real.
E o que é a AR Eletrônica?
Uma das novidades da regulamentação é a previsão da AR Eletrônica.
A modalidade permite a emissão de Certificado Digital para pessoa física por meio de um canal eletrônico automatizado, sem intervenção humana, utilizando validação biométrica em bases reconhecidas pela ICP-Brasil.
O processo deve ocorrer por meio de aplicativo da Autoridade Certificadora e utilizar mecanismos de segurança para proteger a autenticidade, integridade e confidencialidade das informações.
Entre os requisitos estão:
- captura de imagens em tempo real;
- captura do documento de identificação;
- biometria facial e/ou impressão digital;
- detecção de vivacidade;
- prevenção e detecção de ataques de injeção biométrica;
- criptografia ponta a ponta;
- validação em bases oficiais;
- armazenamento seguro e auditável das evidências.
Segurança que acompanha a evolução digital
As novas regras da ICP-Brasil mostram que confirmar uma identidade digital exige acompanhar a evolução das tecnologias e das ameaças. Com diferentes métodos de identificação e mecanismos mais robustos de validação, a emissão de Certificados Digitais avança para tornar o processo cada vez mais seguro, confiável e preparado para novos desafios.
