Estamos em um ciclo anual em que empresas de tecnologia, finanças, governo e varejo revisitam contratos, atualizam acordos de nível de serviço e avaliam se seus fornecedores ainda estão à altura das exigências de segurança, performance e compliance.
Dentro dessa rotina de decisões estratégicas, uma área merece atenção especial: a auditoria de fornecedores de identidade digital — especialmente aqueles que oferecem soluções de KYC (Know Your Customer — Conheça Seu Cliente), KYB (Know Your Business — Conheça Seu Negócio) e serviços de biometria para autenticação e prevenção de fraudes.
Por Susana Taboas
A temporada de revisão de fornecedores é mais do que uma formalidade dentro de um ciclo anual de compras. É um momento crucial para confrontar suposições técnicas, atualizar critérios de avaliação e exigir evidências de segurança que reflitam o cenário atual de ameaças digitais.
Nesse contexto, a análise de performance, riscos e contratos de soluções de identidade digital — incluindo processos de Know Your Customer (KYC) / Conheça Seu Cliente e Know Your Business (KYB) / Conheça Seu Negócio — torna-se um exercício estratégico de sobrevivência.
Afinal, biometria, validação documental, bases de risco e mecanismos de liveness detection evoluem (ou se degradam) conforme o volume de fraudes cresce. Por isso, revisar fornecedores não é apenas comparar preços, mas avaliar se as empresas contratadas continuam sendo capazes de acompanhar fraudes cada vez mais sofisticadas, incluindo deepfakes, ataques de apresentação (Presentation Attacks) e explorações de falhas de modelos de IA.
É nesse cenário que a revisão contratual anual precisa ser mais rigorosa, mais técnica e mais orientada a métricas e evidências do que nunca.
Por que revisar contratos de KYC/KYB e biometria agora é essencial?
Empresas que atuam com alta exposição a riscos de fraude — bancos, fintechs, retailers, seguradoras, healthtechs e plataformas digitais — dependem diretamente da precisão dos fornecedores de identidade digital. Mas poucos executivos percebem que:
- A performance biométrica muda com o tempo.
- Bases de referência envelhecem.
- Modelos de IA podem sofrer deriva.
- Taxas de erro se alteram conforme o perfil dos fraudadores evolui.
Ou seja: um fornecedor que era excelente há dois anos pode não atender mais ao nível de risco atual da sua empresa. E essa deterioração costuma passar despercebida até o momento em que fraudes começam a aparecer em volume.
Por isso, revisar contratos, exigir evidências e verificar métricas atualizadas é, antes de tudo, uma prática de proteção do negócio.
Checklist crítico para revisar fornecedores de KYC/KYB e biometria
A seguir, pontos essenciais que precisam ser reavaliados durante o ciclo anual de revisão, envolvendo times de contratos, auditoria interna e cibersegurança.
1. Avaliação técnica: métricas que realmente importam
Para biometria, validação documental e motores de risco, solicitar — e comparar — métricas atualizadas é essencial. Os fornecedores devem entregar, idealmente:
- FAR – False Acceptance Rate (Taxa de Falso Aceite)
- FRR – False Rejection Rate (Taxa de Falsa Rejeição)
- PAD – Presentation Attack Detection (Detecção de Ataques de Apresentação), detalhando níveis, instrumentos, cenários e bases utilizadas
- Liveness Detection – Detecção de Prova de Vida
- TAR – True Acceptance Rate (Taxa de Aceite Verdadeiro)
- Tempo de resposta por etapa, discriminando média e percentis (p95/p99)
Essas métricas não podem ser estáticas. A empresa deve exigir históricos, comparativos e evolução temporal, porque é isso que revela se a solução está envelhecendo.
2. Evidências contra deepfakes e ataques de apresentação
Relatórios da Europol, Interpol e NIST têm alertado para a explosão de deepfakes e ataques sintéticos sofisticados que já superam mecanismos tradicionais de liveness. O relatório mais recente da Europol (2025) destaca que:
“A indústria subestima o crescimento de técnicas de spoofing avançado e deepfakes realistas, e muitos sistemas comerciais não estão preparados para ataques sem artefatos visuais.”
É fundamental, portanto, revisar:
- Quais testes de PAD o fornecedor realiza
- Quais datasets usa e se eles são atualizados
- Quais laboratórios independentes validam seus modelos
- Se há defesa multimodal (face + documento + comportamento)
3. Conformidade e governança: cláusulas que não podem faltar
Ao revisar contratos, o time de contratos deve atuar junto com auditoria interna e cibersegurança para garantir que o documento reflita as ameaças recentes e as que surgirão em 2026. Sugestões de pontos críticos:
- Cláusula de SLA – Service Level Agreement (Acordo de Nível de Serviço) detalhando métricas técnicas, e não apenas disponibilidade
- Obrigatoriedade de reposição tecnológica contínua, com janelas definidas
- Obrigação de informar incidentes e deteriorações de performance
- Evidências obrigatórias de testes independentes de PAD e liveness
- Mapeamento de bases e modelos utilizados, alinhado à LGPD – Lei Geral de Proteção de Dados
- Garantia de trilhas de auditoria acessíveis e exportáveis
- Cláusulas de desligamento seguro, incluindo destruição e devolução de dados
- Sistemas implementados de gestão de identidade e acesso
- Custódia de Certificados Digitais TLS
A maturidade de governança contratual define se a empresa terá capacidade de reagir rapidamente a falhas do fornecedor.
4. Testes internos: nada substitui a validação própria
Mesmo com boas métricas, empresas precisam conduzir seus próprios testes periódicos, comparando fornecedores em:
- Velocidade
- Precisão
- Robustez contra ataques
- Consistência em diferentes perfis demográficos
- Resistência a ruídos ambientais (iluminação, câmeras, bordas do documento etc.)
Quando possível, é recomendado contratar testes independentes (third-party testing). Estudos do setor publicados pela FacePhi e pelo NIST mostram que empresas que adotam esse modelo reduzem fraudes em até 40%.
Conclusão: revisar fornecedores é proteger o negócio
A temporada de avaliação e revisão contratual deve funcionar como um gatilho para que empresas deixem de olhar para KYC/KYB e biometria como commodities e passem a tratá-los como sistemas críticos de segurança. Exigir métricas atualizadas, comprovação contra deepfakes, cláusulas robustas e testes independentes é o que transforma uma simples renovação contratual em um instrumento de redução real de fraudes.
Em um cenário de ataques cada vez mais sofisticados — incluindo supply-chain attacks (ataques à cadeia de suprimentos), exploração de terceiros (third-party exploitation) e comprometimento de dependências (dependency compromise) — revisar fornecedores não é burocracia: é estratégia. E essa análise precisa se estender a todos os contratos de empresas que interagem com seus sistemas, já que criminosos têm direcionado ataques em massa justamente por meio de parceiros, integrações e APIs fragilizadas.
Glossário das siglas mencionadas
- KYC (Know Your Customer — Conheça Seu Cliente): processo de verificação da identidade de usuários individuais.
- KYB (Know Your Business — Conheça Seu Negócio): processo de verificação da identidade de entidades corporativas.
- FAR (False Acceptance Rate — Taxa de Aceitação Falsa): métrica que indica a propensão do sistema biométrico aceitar um impostor como legítimo.
- FRR (False Rejection Rate — Taxa de Rejeição Falsa): métrica que indica quantas vezes o sistema rejeita um usuário legítimo.
- PAD (Presentation Attack Detection — Detecção de Ataque de Apresentação): técnicas e mecanismos para evitar que representações falsas (imagens, vídeos, máscaras) enganem sistemas biométricos.
- SLA (Service Level Agreement — Acordo de Nível de Serviço): contrato que define níveis mínimos de desempenho, disponibilidade e resposta esperados de um fornecedor.
- LGPD (Lei Geral de Proteção de Dados): legislação brasileira que regula o tratamento de dados pessoais.
- Dependency Compromise – Comprometimento de Dependências – Manipulação ou inserção de código malicioso em componentes externos utilizados pela empresa, como bibliotecas, módulos, SDKs ou plug-ins. É um tipo de ataque comum em ecossistemas de desenvolvimento e automações.
- API Exploitation – Exploração de API – Ataque em que o criminoso utiliza vulnerabilidades em Application Programming Interfaces (APIs) para acessar dados, executar ações indevidas ou manipular integrações entre sistemas.
- Lateral Movement – Movimento Lateral – Técnica pós-invasão em que o atacante, após comprometer um ponto inicial (geralmente um fornecedor), se move silenciosamente dentro da rede para alcançar sistemas mais críticos.
- Credential Stuffing – Abuso de Credenciais Vazadas – Uso automatizado de grandes volumes de credenciais expostas para tentar acessar sistemas corporativos ou integrações terceirizadas.
- Malicious Update – Atualização Maliciosa – Distribuição de atualizações falsas ou adulteradas para softwares de fornecedores, permitindo que o atacante instale backdoors ou códigos maliciosos em larga escala.
Sobre Susana Taboas
Susana Taboas | COO – Chief Operating Officer – CryptoID. Economista com MBA em Finanças pelo IBMEC-RJ e diversos cursos de extensão na FGV, INSEAD e Harvard University. Durante mais 25 anos atuou em posições no C-Level de empresas nacionais e internacionais acumulando ampla experiência na definição e implementação de projetos de médio e longo prazo nas áreas de Planejamento Estratégico, Structured Finance, Governança Corporativa e RH. Atualmente é Sócia fundadora do Portal Crypto ID e da Insania Publicidade.
Leia outros artigos escritos por Susana.
Acesse o Linkedin da Susana!
Estudo Inédito da Cadastra e Similarweb Revela a Redefinição das Buscas
Inteligência Artificial em 2026: O Novo Cérebro do Mercado Financeiro Global
Acompanhe como o reconhecimento facial, impressões digitais, biometria por íris e voz e o comportamento das pessoas estão sendo utilizados para garantir a identificação digital precisa para mitigar fraudes e proporcionar aos usuários conforto, mobilidade e confiança.
Leia outros artigos de nossa coluna de Biometria!
Inteligência Editorial que Orienta Cenários
Desde 2014, o Crypto ID oferece conteúdo editorial sobre tecnologia, segurança e regulação. Há 11 anos provocamos reflexão que sustentam decisões estratégicas para transformação digital e cibersegurança.
