Identidade no Equador após os vazamentos

Toda verificação remota de identidade no Equador — abrir uma conta, ativar uma linha, pagar uma aposta, fechar uma venda — hoje enfrenta um adversário que já tem os dados que ela pede. Este white paper expõe o que vazou, por que a verificação por foto deixou de provar qualquer coisa, o que o chip ICAO 9303 prova no lugar dela, o que a lei de proteção de dados conclui a respeito e como um marketplace de carros usados põe esse desenho em prática dos dois lados de uma venda.

• Os dados de identidade dos equatorianos já são públicos. O vazamento da Novaestrat, em 2019, expôs cerca de vinte milhões de registros, entre eles dezessete milhões de equatorianos e 6,7 milhões de crianças [1]. Em maio de 2026, 14,8 milhões de registros de identidade e mais de dez milhões de imagens de documentos em alta resolução apareceram em fóruns clandestinos, com assinaturas e dados de impressões digitais [2].
• Por isso, pedir esses dados não verifica ninguém. Um número de documento, uma foto do documento e uma selfie são três coisas que um atacante consegue obter ou fabricar. A fraude de identidade no Equador cresceu 26% em um ano [5], e a Procuradoria-Geral (Fiscalía General del Estado) registrou 4.784 denúncias de usurpação de identidade entre janeiro e outubro de 2025 [4].
• O atacante melhora mais rápido do que a defesa que o vigia. Os ataques de injeção de vídeo contra a verificação facial no iOS cresceram 1.151% no segundo semestre de 2025, e os ataques com câmera virtual nativa, 2.665% [6]. Examinar uma imagem com mais atenção perde terreno a cada nova geração de modelos.
• Uma prova não se degrada. O chip da cédula com chip do Equador (o documento nacional de identidade) e dos passaportes eletrônicos ICAO traz a assinatura do Estado emissor. Validá-la — a Passive Authentication — não é um julgamento sobre uma imagem, e falsificá-la exige a chave privada do Estado, não um modelo generativo melhor. Comparar o rosto ao vivo com o retrato dentro desse chip assinado prova que a pessoa é a titular do documento.

A lei resolve o resto. Desde maio de 2023, a LOPDP multa as infrações leves em 0,1%–0,7% e as graves em 0,7%–1% do faturamento do ano anterior [8], o que transforma um arquivo guardado de cópias de documentos em um passivo permanente. A melhor forma de lidar com dados sensíveis é não guardá-los: receber fatos, não arquivos.