A verificação Aadhaar torna-se sem dinheiro, pois o Unique Identification Authority of India (UIDAI) integrou 300 organizações diferentes em seu sistema. Agora, a identidade pode ser verificada sem a apresentação de cópias dos cartões Aadhaar ao visitar hotéis, procurar hospitais ou verificar trabalhadores da economia gig.
Em janeiro, o UIDAI expandiu a aplicação de verificações de identidade digital baseadas em consentimento em serviços cotidianos, conectando 300 organizações ao seu sistema.
O regulador de telecomunicações Icasa deve incentivar ou proibir que operadoras móveis e outras empresas privadas armazenem, troquem ou correspondam impressões digitais de clientes, bem como utilizem impressões deixadas por fraudadores em operações malsucedidas de troca de cartão Sim, como provas para a polícia.
Qualquer vazamento do banco de dados de impressões digitais de uma empresa privada pode causar danos irreparáveis que não podem ser compensados com multas ou desculpas. Ao contrário de uma senha ou cartão bancário, uma impressão digital não pode ser cancelada; assim que se torna acessível, fica comprometida para sempre junto com todos os bancos e telefones em que confia. As consequências para os consumidores e a segurança pública podem ser catastróficas.
De acordo com o projeto de regulamentos publicado pela Icasa no Gazette Oficial em 28 de outubro, ao ativar ou trocar um cartão Sim, a impressão digital ou rosto da pessoa é verificada contra os registos das autoridades policiais, e os assinantes existentes têm dois anos para verificação. Operadoras que aprovarem a troca para a pessoa errada enfrentarão multas de R2 milhões a R4 milhões por violação.
Em um memorando próprio, a Icasa indica que o número de assinaturas móveis na África do Sul é de 117,3 milhões. Dados dessa magnitude se tornarão alvo no momento em que qualquer empresa privada começar a armazená-los, e a perspectiva de armazenar impressões digitais para tal número de conexões, se permitida pelas regras finais, deve preocupar cada consumidor e banco no país.
Embora a verificação biométrica através das autoridades policiais seja um passo correto, os regulamentos finais devem indicar claramente que nenhuma empresa privada tem o direito de armazenar a impressão digital real do cliente. A única entidade que deve armazenar a impressão digital de um residente sul-africano devem ser as autoridades policiais. Nenhuma empresa privada deve ser forçada a coletar impressões digitais, e ninguém deve ser autorizado a armazená-las ou trocá-las.
Espera-se que criminosos ataquem o novo sistema tanto online quanto pessoalmente. Online, eles visam quaisquer bases de dados contendo impressões digitais, injetam malware em scanners em lojas, interceptam scans durante a transmissão, enviam mensagens de phishing pedindo para 'verificar' seu cartão Sim com impressão digital ou selfie, e usam deepfakes para passar em verificações faciais remotas.
No mundo físico, funcionários corruptos ou agentes podem copiar scans ou aprovar substituições mediante pagamento, e agentes falsos de verificação podem coletar impressões digitais durante o período de revalidação de dois anos. Impressões digitais podem ser retiradas de óculos e telas de telefones, vítimas podem ser forçadas a digitalizar o dedo durante assaltos, e insiders em governos ou organizações contratadas podem alterar ou vender registros de identificação.
Cada uma das abordagens apresentadas abaixo permite que a operadora confirme a identidade do cliente sem armazenar sua impressão digital. Nenhum desses métodos é experimental, e versões de cada um já estão em uso.
Uma opção são os tokens de impressão digital de revogação. Uma técnica chamada 'fuzzy extractor' transforma um scan de impressão digital em uma chave secreta estável, mesmo que dois scans nunca sejam idênticos. A operadora armazena apenas um hash salgado dessa chave, e não a impressão digital em si. Cada rede recebe um token exclusivo, portanto, vazamentos de banco de dados não podem ser ligados, e um token comprometido pode ser revogado e reemitido, semelhante a uma senha.
Outro método é o armazenamento de impressões dentro do cartão Sim. Um modelo protegido de impressão digital está localizado em um chip seguro do cartão Sim, o que é uma abordagem já usada em cartões bancários com impressão digital. A correspondência ocorre diretamente no chip, e a rede recebe apenas uma resposta assinada de 'sim' ou 'não'. A terceira opção é a correspondência criptografada com as autoridades policiais. O scan é criptografado antes de sair do scanner e comparado com o registo das autoridades policiais em formato criptografado. Apenas o resultado assinado de correspondência ou ausência de correspondência é retornado, portanto, nem a operadora nem quem intercepta o tráfego vê a impressão digital, e ela nunca é armazenada.
A quarta abordagem são chaves que nunca saem do telefone. O scan de impressão digital ou rosto pode simplesmente desbloquear uma chave criptográfica armazenada no próprio chip seguro do telefone, o que corresponde ao princípio de funcionamento das chaves de acesso já presentes nos dispositivos Apple e Android. A rede ou o banco recebe uma confirmação assinada dessa chave, e não os dados biométricos. Como a confirmação está vinculada ao dispositivo e não ao número de telefone, a troca fraudulenta de cartão Sim por si só não adianta nada ao invasor. A Agência de Cibersegurança e Infraestrutura dos EUA já recomenda autenticação resistente a phishing semelhante a esta, em vez de códigos enviados por SMS.
Nenhum desses métodos é teoria. Depois que a Índia implementou mais de um bilhão de pessoas em seu sistema de identificação Aadhaar, cópias de dados de identificação espalhadas por bancos e empresas de telefonia móvel tornaram-se um ponto fraco. Sua solução foi a tokenização: os cidadãos podem apresentar um identificador virtual de revogação de 16 dígitos, e cada empresa recebe um token exclusivo que não pode ser ligado entre bancos de dados ou rastreado até a biometria. A Índia teve que adaptar esse sistema. A África do Sul pode construí-lo do zero.
Independentemente dos métodos escolhidos pelas operadoras, eles devem ser acompanhados por notificações por SMS para o número existente, notificação por e-mail e suspensão de 24 horas de PINs bancários descartáveis após cada troca de cartão Sim. Os bancos podem fazer mais agora: interfaces de rede padronizadas já lhes permitem verificar em tempo real se uma conta foi alterada recentemente, sem coletar quaisquer dados biométricos. Uma nova troca deve ser vista como motivo para congelar transações de alto risco até que o cliente confirme.
As mesmas regras podem ajudar a polícia a prender as pessoas por trás da fraude de troca de cartão Sim. Um scan que não corresponda ao proprietário da conta pode vir de um fraudador que apresenta sua própria impressão digital ou rosto no local do suposto crime. Ou pode vir de um cliente honesto, como um aposentado ou trabalhador cujas impressões desapareceram, ou de alguém usando um scanner defeituoso.
Portanto, nosso conceito padrão é excluir dados, não punir. Cada scan malsucedido será criptografado de forma que nenhuma empresa privada possa abri-lo ou excluí-lo, e será armazenado por 14 dias por um guardião independente juntamente com a loja, funcionário, dispositivo e hora. Será transmitido apenas às unidades de cibercrime da Polícia da África do Sul mediante ordem judicial. Se o cliente, banco, loja ou operadora não iniciar um processo criminal dentro desse período, o scan será automaticamente excluído. Durante anos, criminosos se esconderam atrás de documentos de identidade roubados. Com a verificação biométrica, cada tentativa de troca deixa sua biometria no balcão, e essas provas pertencem aos investigadores.
Por muito tempo, o fardo da segurança recaiu sobre os clientes, que são instruídos a proteger seus PINs, enquanto os criminosos invadem os sistemas ao redor deles. A Icasa está correta ao impor multas. Operadoras, bancos, varejistas e instituições governamentais devem contratar 'red teams' e engenheiros de segurança para atacar seus próprios sistemas antes que os criminosos o façam. A prevenção também requer a participação da polícia e de unidades especializadas em cibercrime para desvendar esses casos e responsabilizar os culpados, pois os criminosos param quando esperam ser pegos.
Acreditamos que a Icasa deve definir os resultados esperados, deixando os métodos a critério das operadoras, em vez de prescrever técnicas técnicas específicas na lei. Os métodos de fraude mudam mais rápido do que a regulamentação, e a técnica codificada na lei hoje se tornará um alvo público amanhã.
Já existe um padrão internacional para a proteção de informações biométricas — ISO/IEC 24745, que exige que os dados biométricos armazenados não possam ser revertidos ou ligados entre bancos de dados, e que possam ser revogados. A Icasa poderia adotar esses testes como critério que qualquer método proposto deve atender, independentemente da tecnologia subjacente.
Propomos que a Icasa considere confidencialmente os métodos de combate à fraude, analisando cada caso individualmente, aprovando ou rejeitando-os sem publicar detalhes que poderiam ser estudados pelos criminosos.
De acordo com o projeto de regulamentos publicado pelo regulador de comunicações Icasa esta semana, qualquer operação com um cartão SIM — ativação de um novo, substituição de um existente ou manutenção de número — exigirá a comparação de impressões digitais ou rosto com os dados do Departamento de Assuntos Internos.
As alterações propostas nas regras do plano de numeração, apresentadas para discussão pública no Boletim Governamental na quarta-feira, obrigam o operador a 'verificar a identidade do assinante por meio de verificação biométrica nos registros do Departamento de Assuntos Internos' ao 'ativar ou reativar um número de celular em sua rede'.
As novas exigências também se aplicam aos clientes existentes. Os operadores terão dois anos para realizar uma verificação de identidade semelhante para assinantes atuais. De acordo com a nota explicativa do projeto, o número de assinaturas móveis no país é de 117,3 milhões.
Verificações semelhantes serão aplicadas também em casos de substituição de cartão SIM, que é frequentemente usada por golpistas para interceptar senhas bancárias descartáveis de vítimas. Os operadores são obrigados a recusar a substituição se a pessoa que a solicita não corresponder aos registros do assinante ao qual o número foi atribuído.
Além disso, o projeto estabelece um limite para o número de números móveis que um assinante pode obter de um único operador — cinco. As empresas estão isentas de verificações biométricas, pois seus relacionamentos com os operadores são regulamentados por contratos e elas não podem fornecer impressões digitais ou imagens faciais, mas não estão isentas deste limite.
A Icasa justifica este limite, baseando-se parcialmente na média de 2,79 assinaturas 'por pessoa'. Este número foi obtido dividindo 117,3 milhões de assinaturas pela população de 63 milhões de pessoas, das quais, segundo o regulador, 21 milhões são menores de idade, o que efetivamente significa o cálculo da média para adultos. Também é considerado o tamanho médio do domicílio de 3,2 a 3,4 pessoas. Como o limite se aplica a cada operador, o memorando observa que o assinante 'pode receber mais de 20 números móveis através de diferentes licenciados na prática'.
Cidadãos estrangeiros presentes no país por curto ou longo prazo, mas que não são residentes permanentes, receberão números que permanecerão ativos por não mais tempo do que a validade de seu visto ou 90 dias.
Operadores que violarem as regras básicas de verificação, incluindo a aprovação da substituição de cartão SIM para uma pessoa cuja identidade não corresponde, enfrentarão multas de 2 a 4 milhões de randes 'por violação'. O não cumprimento da verificação de identidade do assinante antes da substituição do cartão SIM ou o exceder do limite de cinco números acarretará uma multa de 1 milhão de randes por infração. O projeto não especifica o que constitui uma infração única.
O segmento de serviços pré-pagos apresenta a maior complexidade. O memorando da Icasa indica que a maioria dos operadores informou ao regulador no ano passado que já implementaram a verificação biométrica, 'mas isso foi implementado apenas em serviços pós-pagos'.
Cartões SIM pré-pagos são vendidos em grandes volumes. Ferdie Moolman, CEO da MTN África do Sul, relatou em agosto que apenas a MTN lança anualmente 90 milhões de cartões SIM pré-pagos, e toda a indústria produz entre 200 e 300 milhões.
Os operadores, agindo através da Associação de Comunicações e Tecnologia, concordaram em junho em um cronograma temporário para apertar o registro de cartões SIM, insistindo ao mesmo tempo em uma reforma do Rica pelo governo. A Icasa enfatiza que sua exigência de verificação difere do registro de cartões SIM no âmbito do Rica.
O regulador introduziu regras de verificação de identidade pela primeira vez em março de 2023, mas as suspendeu até uma data futura de início que nunca foi estabelecida. O novo projeto é resultado de um processo de 'esclarecimento de regulamentos para facilitar a implementação', como indicado no documento.
Os dados biométricos são considerados informações pessoais especiais de acordo com a Lei de Proteção de Informações Pessoais, que, na opinião do Regulador de Informação, só pode ser processada de acordo com as exceções desta lei. O projeto limita o uso desses dados exclusivamente à verificação de identidade e exige que os operadores excluam os registros dos assinantes dentro de 30 dias após a desativação do número, a menos que a lei ou contrato exija sua retenção, ou o assinante concorde.
As regras biométricas e o limite de cinco números entrarão em vigor 12 meses após a publicação dos regulamentos finais. Não está claro se o período de dois anos para verificar assinantes existentes é contado a partir da publicação ou a partir dessa data posterior; o projeto apenas afirma que é contado 'a partir da data de entrada em vigor dos regulamentos'.
