A IN ITI 38/2026 alterou a exigência de prevenção e detecção de ataques de injeção já prevista na IN ITI nº 36/2026 para a videoconferência e a AR Eletrônica da ICP-Brasil. A nova redação retirou a expressão "de forma indetectável" do requisito relativo à injeção de vídeo pré-gravado ou gerado artificialmente na identificação do requerente. A alteração vale desde a publicação, em 20 de outubro de 2026.

Para Autoridades Certificadoras (ACs) e Autoridades de Registro (ARs), a revisão pede atenção às evidências de proteção do canal de captura, além da prova de vida. A IN 38 também ajustou regras de documento digital, validação e qualidade biométrica.

O que a IN ITI 38/2026 muda na exigência de anti-injeção?

A alteração alcança o art. 37, §1º, II da IN 36, sobre a solução de videoconferência da AC, e o art. 57, VIII, sobre o aplicativo da AR Eletrônica. Esta última é a modalidade de emissão automatizada de certificados para pessoa física, sem intervenção humana e exclusivamente por aplicativo móvel, conforme os arts. 51 e 53.

Antes, a solução devia aplicar meios de prevenção e detecção para assegurar que nem o requerente nem um atacante externo pudessem injetar, "de forma indetectável", vídeo previamente gravado ou artificialmente gerado. A redação atual elimina essa expressão e mantém os meios de prevenção e detecção como parte do requisito.

Esses incisos estabelecem a exigência de prevenção e detecção, mas não especificam um ponto obrigatório de bloqueio antes do SDK. A AC deve avaliar a efetividade do conjunto de controles e validar a interpretação jurídica aplicável ao seu processo.

A obrigação já estava vigente: a IN 36 entrou em vigor em 5 de maio de 2026, inclusive quanto ao art. 57, VIII da AR Eletrônica. Para a videoconferência, o art. 69 concedeu 90 dias para os mecanismos dos incisos II e III do §1º do art. 37, prazo encerrado no início de agosto. A IN 38 não abriu nova transição e aprovou a versão 4.1 do DOC-ICP-05.03, sobre identificação biométrica na ICP-Brasil.

ACs e ARs, como entidades da ICP-Brasil, têm responsabilidade pela segurança do processo de identificação e pelos danos a que derem causa, conforme o art. 1º, §2º, da IN 36. Essa responsabilidade já estava prevista antes da IN 38 e reforça a importância de avaliar os controles implementados e as evidências apresentadas pelo fornecedor de captura.

O que é ataque de injeção biométrica e por onde ele entra?

Ataque de injeção biométrica é a inserção ou substituição de dados no fluxo biométrico, contornando a captura legítima. Na biometria facial, um dos caminhos é substituir o feed de câmera que chega ao SDK, o kit de desenvolvimento do fornecedor.

A diferença em relação ao ataque de apresentação está na entrada dos dados. Na apresentação, o atacante coloca um artefato diante da câmera, como foto, vídeo em tela ou máscara. Na injeção, introduz os dados diretamente no fluxo. O conteúdo pode ser gravado, manipulado ou gerado por IA: deepfake descreve a mídia, enquanto injeção descreve a forma de inseri-la.

O guia técnico do Fortface sobre ataques de injeção em biometria facial detalha três vetores no canal de captura:

  • Câmera virtual: disponibiliza um feed de software pela interface de câmera do aplicativo, substituindo a captura por vídeo pré-gravado ou gerado em tempo real.
  • Hook no canal de captura: intercepta chamadas ou dados e substitui o stream em trânsito, enquanto a câmera aparenta funcionar normalmente para o aplicativo.
  • Emulação de dispositivo: simula o ambiente de execução e alimenta a câmera com conteúdo preparado pelo atacante.

Esses exemplos explicam a substituição na entrada de captura; a injeção também pode ocorrer em outros pontos do processamento. Por isso, a proteção considera a origem do sinal e a integridade do fluxo, além do conteúdo da imagem.

Por que a prova de vida, sozinha, não comprova a proteção contra injeção?

O liveness avalia sinais de vivacidade na imagem, como textura, movimento e profundidade, entre outros pontos, conforme a tecnologia. A anti-injeção verifica riscos associados à origem dos dados e ao canal. Alguns mecanismos de PAD podem detectar mídias injetadas, mas uma avaliação isolada de apresentação não comprova a proteção desse canal.

A IN 36 separa as exigências: o art. 37, §1º, I e o art. 57, VII tratam da vivacidade com meios de PAD (Presentation Attack Detection, ou detecção de ataque de apresentação); os incisos seguintes tratam da prevenção e detecção de injeção.

Os escopos de avaliação também são distintos. A ISO/IEC 30107-3 estabelece métodos de teste e relato de resultados para PAD. A CEN/TS 18099:2024 orienta a avaliação de detecção de ataques de injeção. São referências técnicas para avaliações, não entidades certificadoras.

O art. 37, §2º e o art. 57, IX exigem testes periódicos independentes para as tecnologias de PAD. A IN 36 não estende expressamente essa obrigação à injeção nem torna a CEN/TS 18099:2024 obrigatória. Um laudo específico de anti-injeção é uma evidência útil da eficácia no escopo testado; a conformidade depende do processo completo. Os requisitos da IN 36 não são exaustivos, conforme o art. 1º, §1º.

Quais controles verificam o canal de captura?

A defesa combina verificações da fonte de captura, da integridade da aplicação e do ambiente de execução, com controles no cliente, na comunicação e no servidor. Técnicas de RASP (Runtime Application Self-Protection, ou proteção da aplicação durante sua execução) contribuem para identificar adulteração durante a sessão. A cobertura depende da plataforma e deve acompanhar novos métodos de ataque.

Parte desses controles já é exigida pela IN 36:

  • Videoconferência: detecção e bloqueio de drivers de câmera virtual, detecção de integridade e bloqueio de dispositivos comprometidos (art. 37, §1º, III).
  • AR Eletrônica: verificação da integridade do aplicativo e do ambiente, sem indícios de desbloqueio de privilégios administrativos; identidade única do aparelho atestada por hardware; e criptografia ponta a ponta na comunicação com os sistemas da AC (art. 57, I a III).

A implementação dos mecanismos de bloqueio deve ser calibrada para evitar atrito excessivo ou rejeição indevida de usuários legítimos, que podem impactar a experiência. Essa calibragem deve preservar os bloqueios e requisitos de integridade exigidos pela norma.

Quais regras de documento e biometria mudaram com a IN 38?

Além da anti-injeção, a IN 38 trouxe mudanças operacionais para a identificação:

  • Documento físico ou digital: a aceitação de documentos digitais e a revogação do art. 70 podem reduzir o atrito na emissão remota, favorecendo ganhos de escala e maior volume de transações. Na videoconferência, a mudança permite enviar e apresentar documento físico ou digital; na AR Eletrônica, a captura e a validação deixam de ser restritas ao documento físico (arts. 38, I e III; 57, V; e 58, II). As validações exigidas pela norma permanecem.
  • Validação da tecnologia embarcada: QR Code, MRZ, NFC ou chip podem ser validados antes ou durante a videoconferência, mantendo o confronto com o documento apresentado (art. 38, §1º). Quando não houver mecanismo oficial de validação, um segundo agente de registro deve verificar a emissão antes do início da validade do certificado (art. 9º, I-A).
  • Consulta à CNH via Datavalid: o art. 27 passa de "todas as emissões" para as modalidades presencial, videoconferência e AR Eletrônica.
  • Qualidade da impressão digital: a versão 4.1 do DOC-ICP-05.03 reduz de 70 para 40 o score mínimo NFIQ 2.0, medido após a compressão WSQ. Muda o limiar, não o padrão de qualidade utilizado.

O que a AC e a AR devem pedir ao fornecedor de captura?

Como diligência técnica, vale pedir evidências separadas por camada. Esta é uma recomendação de avaliação do fornecedor, não uma lista de laudos expressamente exigidos pela IN 36:

Apresentação: relatório de PAD conforme a ISO/IEC 30107-3, com laboratório, data, versão do SDK, escopo e resultados. Eventuais níveis devem ser associados ao programa do laboratório.

Injeção: avaliação específica, por exemplo segundo a CEN/TS 18099:2024, identificando laboratório, nível, plataforma, versões e resultado de bypass. O escopo deve distinguir os instrumentos de ataque (IAI, Injection Attack Instrument, as amostras biométricas usadas) dos métodos de inserção (IAM, Injection Attack Method).

Essas evidências podem compor os critérios contratuais de aceite da integração entre a AC, suas ARs e o fornecedor. Parte dos controles depende de quem desenvolve e opera o aplicativo, e não apenas do SDK de captura. Por isso, é recomendável definir contratualmente as responsabilidades pela implementação, integração e operação dos controles de integridade do aplicativo e do dispositivo, de identidade do aparelho atestada por hardware e de proteção da comunicação com os sistemas da AC. Para a AR Eletrônica, é essencial conferir a cobertura do aplicativo móvel exigido pela norma.

Como o Fortface trata a camada de anti-injeção?

O Fortface opera prova de vida e anti-injeção como módulos independentes, cada um com avaliação própria.

Na apresentação, foi avaliado pela iBeta nos níveis Level 1 e Level 2 do programa do laboratório, conforme a ISO/IEC 30107-3, com APCER (Attack Presentation Classification Error Rate) reportado de 0% nos dois níveis. A métrica representa a proporção de apresentações de ataque classificadas incorretamente como legítimas no ensaio.

Na injeção, a Antisec avaliou o SDK Web sob a CEN/TS 18099:2024 entre 30 de julho e 18 de agosto de 2026, com resultado reportado no nível High: 18 ataques executados, sem bypass observado. O ensaio avaliou detecção de injeção, sem teste de comparação biométrica (matching).

Esse laudo oferece evidência da camada de anti-injeção para integrações Web dentro do escopo testado. O resultado não deve ser extrapolado para iOS ou Android: na AR Eletrônica, é necessário avaliar a cobertura dos controles no aplicativo móvel da AC.

“Um deepfake bem-feito pode enganar o olho humano e talvez enganar a prova de vida. O que ele não pode enganar é a verificação do canal. A anti-injeção atua antes dos frames — e é aí que um deepfake entregue por injeção é bloqueado.” (Ricardo Fristche, CTO da Fortface by Payface)

Perguntas frequentes

A IN 38 criou a exigência de anti-injeção na ICP-Brasil?
Não. Ela já constava dos arts. 37 e 57 da IN 36. A IN 38 retirou a expressão "de forma indetectável" e manteve a exigência de prevenção e detecção.
Quais modalidades são afetadas pela regra de injeção?
A videoconferência e a AR Eletrônica. Os incisos alterados não tratam da emissão presencial nem do Módulo Eletrônico de AR.
Existe novo prazo de adequação?
Não. A IN 38 vigora desde 20 de outubro de 2026, sem nova transição. Os prazos originais da IN 36 para esses mecanismos já se encerraram.
Prova de vida substitui anti-injeção?
Não. A avaliação de PAD e a avaliação de injeção têm escopos distintos. É preciso verificar as evidências de proteção de cada camada.