Cum se apără o companie românească de tehnologie împotriva deepfake-urilor din onboarding

Din 2024 încoace, problema centrală a devenit alta: persoana.

Motivul este că uneltele de generare a imaginii și a vocii au ieșit din laborator. Un chip credibil se poate genera de pe un laptop, iar un flux video fals poate fi introdus direct într-o aplicație de verificare, fără să treacă vreodată prin camera dispozitivului. Această a doua categorie, cunoscută drept atac prin injecție, este cea care a schimbat cel mai mult calculele furnizorilor de tehnologie.

Este și punctul în care se află acum Qoobiss, companie de RegTech din București, care operează ONTRACE, o soluție de verificare a identității la distanță folosită de instituții financiare, fintechuri, asigurători, operatori de telecomunicații și platforme digitale, în special din Europa Centrală și de Est.

„Perioada în care verificarea biometrică era tratată ca o problemă rezolvată s-a încheiat. Inteligența artificială generativă a mutat fundamental modelul de amenințare de la atacurile de prezentare la atacurile prin injecție, iar orice organizație care nu și-a adaptat apărarea funcționează pe timp împrumutat", spunea Teodor Rogojina, CEO al Qoobiss, în iunie 2026, când compania a anunțat că își supune platforma unei evaluări independente de nivel Extended.

Merită explicată distincția, pentru că de ea depinde tot restul.

Un atac de prezentare înseamnă că cineva arată camerei ceva fals: o fotografie tipărită, un ecran, o mască. Apărarea împotriva lui se numește Presentation Attack Detection și există în industrie de ani buni.

Un atac prin injecție înseamnă că nu se mai arată nimic camerei. Fluxul video fals este livrat direct aplicației, printr-o cameră virtuală sau prin manipularea intrărilor dispozitivului. Camera reală nu este niciodată folosită. Apărarea se numește Injection Attack Detection și este considerabil mai nouă și mai dificilă, pentru că nu mai poate analiza o scenă fizică: trebuie să stabilească dacă semnalul în sine este autentic.

Rapoartele internaționale publicate în 2026 arată creșteri de ordinul zecilor de procente pe an pentru acest tip de atac. Pentru un furnizor de eKYC, asta transformă detecția injecției dintr-o funcționalitate opțională într-o condiție de intrare pe piață.

Traseul companiei arată destul de clar cum s-a mutat ștacheta în patru ani.

Decembrie 2022. Qoobiss intră pe lista furnizorilor acreditați de Autoritatea pentru Digitalizarea României pentru servicii de verificare a identității la distanță prin mijloace video. Decizia ADR prin care au fost aprobate normele acestor proceduri a fost publicată în Monitorul Oficial, introducând metoda în legislația românească. La momentul respectiv, subiectul era în principal unul de conformitate cu eIDAS și cu legislația AML.

Martie 2024. Compania anunță că soluția sa devine prima din România care permite validarea la distanță, prin mijloace video, a noilor cărți de identitate cu cip. Aici apare deja a doua generație de documente, cea în care verificarea nu mai este vizuală, ci criptografică.

Iunie 2026. Qoobiss anunță că pregătește ONTRACE pentru evaluare independentă PAD și IAD la nivel Extended, conform standardelor aliniate cerințelor eIDAS 2.0, respectiv ETSI TS 119 461 și CEN/TS 18099, cu componenta de detecție a injecției vizată la Level High. Evaluarea de nivel Extended se bazează pe cadrul ISO/IEC 30107-3 și supune sistemul unei game mult mai largi de instrumente de atac decât nivelul Basic: măști de calitate ridicată, fețe sintetice, injecții de tip deepfake.

August 2026. România trece la cartea electronică de identitate ca document standard, în timp ce buletinele fără cip rămân valabile până cel târziu la 3 august 2031. Furnizorii ajung, astfel, să opereze simultan cu două generații de documente, într-un singur flux.

Distincția dintre Basic și Extended nu este academică.

Arhitectura de referință a Portofelului European de Identitate Digitală face trimitere la ISO 30107-3 în cerințele de securitate pentru identificarea la distanță, iar mai multe state membre sunt așteptate să solicite conformitate de nivel Extended pentru serviciile de verificare a identității care vor participa în ecosistemul portofelului.

Calendarul face restul. Pe 6 decembrie 2026 expiră termenul la care statele membre trebuie să pună la dispoziție portofelul, iar pe 6 decembrie 2027 entitățile obligate să folosească autentificare puternică pentru identificarea online, între care băncile, trebuie să îl accepte.

Pentru un furnizor de tehnologie, asta înseamnă că fereastra în care evaluarea independentă reprezintă un avantaj competitiv se închide și devine, treptat, o condiție minimă. Iar evaluările de acest tip nu se obțin într-un trimestru.

Contextul local adaugă încă un strat. Cea mai recentă estimare publică indică un grad de adopție de aproximativ 35% în rândul companiilor din România pentru soluțiile de verificare a identității la distanță. Restul pieței va ajunge la acest subiect nu ca la un proiect de eficientizare, ci ca la o obligație cu termen fix, ceea ce comprimă cererea într-un interval scurt.

Rezultatele evaluării urmează să fie comunicate la finalizarea procesului. Până atunci, provocarea tehnică rămâne aceeași și este, în fond, o cursă între două curbe de cost: cât costă generarea unui atac credibil și cât costă detectarea lui.

Prima curbă a scăzut abrupt în ultimii doi ani. A doua, deocamdată, nu.