Após vazamentos de documentos, instituições financeiras antecipam regras que priorizam a verificação eletrônica da identidade a partir de abril de 2027
O Japão está mudando a maneira como bancos e serviços financeiros verificam a identidade de seus clientes pela internet. Em vez de depender de fotografias de documentos enviadas pelo usuário, o país está priorizando a leitura dos chips eletrônicos presentes em documentos oficiais.
A mudança foi acelerada após incidentes de segurança que expuseram imagens de carteiras de motorista, aumentando o risco de utilização desses documentos em fraudes de identidade.
Em 9 de outubro de 2026, a Agência de Serviços Financeiros do Japão (FSA) recomendou que as instituições financeiras antecipassem a adoção dos métodos eletrônicos de identificação, sem esperar a entrada em vigor das novas exigências regulatórias, prevista para 1º de abril de 2027.
Duas semanas depois, em 23 de outubro, o PayPay, um dos principais serviços de pagamentos digitais do Japão, anunciou que substituiria, até o início de novembro, os procedimentos de identificação baseados em fotografias da My Number Card e de carteiras de motorista pela leitura dos chips desses documentos.
A iniciativa representa uma mudança importante na segurança da identidade digital: deixar de depender exclusivamente da aparência de um documento e passar a verificar eletronicamente informações emitidas por uma autoridade confiável.
Por que uma fotografia de documento deixou de ser suficiente?
Imagine uma pessoa abrindo uma conta pela internet. Ela fotografa sua carteira de identidade, envia a imagem ao banco e, em alguns procedimentos, também tira uma selfie.
Esse processo é conhecido como eKYC, sigla para electronic Know Your Customer, ou identificação eletrônica do cliente.
O problema é que uma fotografia, mesmo quando parece autêntica, pode ser manipulada ou utilizada indevidamente por alguém que obteve acesso à imagem original.
Os criminosos não precisam necessariamente roubar o documento físico. Em determinadas fraudes, basta conseguir uma cópia digital e explorar fragilidades do processo de verificação.
Foi justamente esse risco que motivou o alerta da FSA. A autoridade mencionou incidentes envolvendo vazamentos de informações pessoais, incluindo imagens de carteiras de motorista.
A resposta japonesa é fortalecer a identificação com informações eletrônicas protegidas, em vez de confiar somente nas imagens apresentadas pelo usuário.
A diferença pode ser compreendida com uma comparação simples.
Uma fotografia de um crachá mostra como ele é. Uma verificação eletrônica permite conferir se a credencial foi emitida por uma autoridade reconhecida e se continua válida.
Isso não significa que o chip elimine todas as possibilidades de fraude. A segurança também depende dos mecanismos de autenticação, da proteção das chaves criptográficas e dos controles utilizados pelo serviço.
Como funciona a identificação com o chip?
O principal documento de identificação japonês é a My Number Card, um cartão com chip utilizado em serviços públicos e privados.
O cartão permite utilizar certificados digitais emitidos no âmbito do Japanese Public Key Infrastructure (JPKI), o serviço público japonês de autenticação individual.
Na modalidade baseada no certificado de assinatura, o procedimento pode ser realizado em poucos passos.
O cidadão abre o aplicativo da instituição financeira, aproxima a My Number Card de um celular compatível com NFC, digita a senha do certificado digital e autoriza a operação.
O NFC é a tecnologia de comunicação por aproximação utilizada, por exemplo, em pagamentos com cartões e celulares.
O chip utiliza uma chave criptográfica protegida para produzir uma assinatura eletrônica. A instituição verifica essa assinatura e o certificado digital correspondente para confirmar a autenticidade das informações.
O certificado também permite verificar dados oficiais do titular, como nome, endereço, data de nascimento e sexo.
O banco deixa de depender apenas de uma imagem enviada pelo cliente e passa a utilizar um mecanismo criptográfico vinculado à identidade registrada pelo poder público.
No anúncio de outubro, o PayPay informou que a identificação pela My Number Card, utilizando o certificado de assinatura e sua senha, pode ser concluída em apenas dois minutos, nas condições previstas pelo serviço.
Qual é o papel do certificado digital nessa identificação?
O chip é importante, mas o elemento central do modelo é a infraestrutura de confiança que permite verificar os certificados digitais.
No Japão, essa estrutura é conhecida como JPKI e é operada pela Japan Agency for Local Authority Information Systems (J-LIS), entidade vinculada à administração nacional e aos governos locais.
A My Number Card utiliza dois tipos de certificados digitais.
Certificado de assinatura eletrônica – É utilizado para assinar documentos e realizar procedimentos eletrônicos. Contém informações oficiais do titular, como nome, endereço, data de nascimento e sexo.
Certificado de autenticação – É utilizado para comprovar a identidade do usuário em acessos eletrônicos, como o login em determinados serviços. Diferentemente do certificado de assinatura, não contém esses quatro dados pessoais.
Uma explicação simples ajuda a compreender a diferença: o certificado de autenticação funciona como uma credencial eletrônica para acessar um serviço, enquanto o certificado de assinatura permite vincular uma assinatura eletrônica à identidade do titular.
Os dois utilizam mecanismos criptográficos, mas cumprem funções diferentes.
No Japão, a validação da identidade para emissão da My Number Card e de seus certificados digitais é realizada pela administração municipal, com procedimentos de identificação exclusivamente de forma presencial. O país possui 1.718 municípios, além dos 23 distritos especiais de Tóquio. A metrópole de Tóquio reúne 62 administrações locais, sendo 23 distritos especiais, 26 cidades, 5 vilas e 8 aldeias.
Como o banco sabe se o certificado é verdadeiro?
A instituição financeira precisa verificar se o certificado foi emitido dentro da infraestrutura confiável e se permanece válido.
Essa validação pode identificar situações em que o certificado foi revogado ou perdeu sua validade.
Por exemplo, quando uma pessoa muda de endereço ou de nome, o certificado japonês de assinatura pode deixar de valer porque contém informações que precisam corresponder ao registro oficial.
Nesse caso, um novo certificado de assinatura precisa ser emitido.
O certificado de autenticação não segue exatamente a mesma regra, porque não contém esses dados pessoais.
É essa vinculação entre certificado digital, registro oficial e mecanismos de validação que torna o modelo relevante para a segurança da identificação remota.
Uma imagem de documento não permite, por si só, realizar essas verificações criptográficas.
A biometria facial será eliminada?
Não. A mudança japonesa não significa o abandono da biometria facial.
O PayPay mantém, por exemplo, uma alternativa que combina informações da My Number Card, leitura do chip e reconhecimento facial para clientes que não se lembram da senha do certificado de assinatura.
A principal diferença está na utilização dos dados eletrônicos do documento como referência para a verificação, em vez de depender apenas de imagens encaminhadas pelo usuário.
Na prática, biometria e certificados digitais podem funcionar como tecnologias complementares.
A biometria ajuda a verificar características físicas de uma pessoa. A criptografia permite comprovar a autenticidade de credenciais e informações eletrônicas.
Nenhuma dessas tecnologias, isoladamente, resolve todos os riscos da identificação digital.
A mudança já está acontecendo
A nova orientação não se limita ao PayPay.
A Agência de Serviços Financeiros recomendou que as instituições financeiras acelerassem a substituição dos procedimentos baseados em imagens de documentos.
A entrada em vigor das mudanças regulatórias está prevista para 1º de abril de 2027, mas a movimentação das empresas mostra que a transição já começou.
O Japão também possui uma infraestrutura de autenticação eletrônica utilizada além dos serviços governamentais.
Segundo a Agência Digital japonesa, em 30 de setembro de 2026, 1.431 empresas privadas utilizavam o JPKI, inclusive para abertura de contas bancárias, operações com instituições financeiras e contratação de empréstimos.
O modelo permite que uma empresa utilize a infraestrutura pública de confiança diretamente, mediante os requisitos aplicáveis, ou contrate uma plataforma autorizada para realizar a validação dos certificados.
Para o cidadão, o procedimento pode ser realizado pelo celular. Para a instituição, a verificação deixa de depender exclusivamente da análise visual de documentos.
Quem emite os certificados e quem paga pela verificação?
A J-LIS opera a infraestrutura pública de autenticação, enquanto os municípios participam dos procedimentos de emissão e identificação associados à My Number Card.
A identidade do cidadão é vinculada ao registro oficial de residentes, que serve de base para os dados utilizados no certificado de assinatura.
Para utilizar essa infraestrutura, uma empresa privada pode contratar uma plataforma autorizada responsável pela verificação dos certificados.
A Agência Digital informa que as tarifas públicas de consulta à validade dos certificados estão temporariamente dispensadas desde janeiro de 2023, conforme as condições aplicáveis.
As plataformas privadas, entretanto, podem cobrar pelos serviços de integração e verificação que prestam às instituições contratantes.
Portanto, existe uma diferença entre a infraestrutura pública que sustenta a confiança nos certificados e os serviços comerciais que permitem sua utilização por bancos e outras empresas.
A PKI como infraestrutura de confiança digital
O modelo japonês reforça a importância da infraestrutura de chaves públicas (PKI), também presente em sistemas como a ICP-Brasil e nas estruturas de serviços de confiança regulamentadas pelo eIDAS, na União Europeia.
Apesar das diferenças regulatórias, esses modelos compartilham fundamentos tecnológicos: certificados digitais, autoridades certificadoras, criptografia assimétrica e mecanismos de validação e revogação.
O avanço japonês evidencia o papel estratégico da PKI não apenas nas assinaturas eletrônicas, mas também na identificação, autenticação e prevenção de fraudes em serviços digitais.
O que a decisão japonesa ensina sobre identidade digital?
O avanço das fraudes envolvendo documentos e imagens pessoais está levando instituições a reconsiderar os mecanismos utilizados para identificar clientes pela internet.
A experiência japonesa mostra uma alternativa concreta: associar documentos oficiais com chip a certificados digitais e serviços de validação que permitam conferir eletronicamente a autenticidade das credenciais.
O objetivo não é apenas tornar a identificação mais rápida. É reduzir a dependência de elementos visuais que podem ser copiados, manipulados ou reutilizados indevidamente.
Para bancos, fintechs e outras organizações que realizam identificação remota, o caso reforça uma discussão central sobre segurança digital: não basta que um documento pareça verdadeiro. É necessário dispor de mecanismos confiáveis para verificar sua autenticidade.
Carteira digital alemã d-you promete simplificar onboarding bancário com identidade verificável
Europa prepara regras para autenticar pagamentos com carteira de identidade digital EUDI
ECA Digital: classificação indicativa exige verificar idade sem expor usuário
Autenticação forte faz parte da estratégia de segurança da informação de todas as empresas que utilizam meios eletrônicos. No Crypto ID temos muitos artigos e matérias sobre o tema para complementar seu conhecimento. Leia sobre Autenticação nesse link!
Crypto ID posiciona-se não apenas como um veículo de informação, mas como um agente ativo na promoção de um ecossistema digital seguro. Acompanhe aspectos técnicos e regulatórios sobre Assinatura Eletrônica lendo artigos em colunas especiais sobre Assinatura Eletrônica e Documentos Eletrônicos.
