EPFO da Índia torna obrigatória autenticação facial do Aadhaar para UAN: Impactos na segurança

A Organização de Previdência dos Empregados (EPFO) da Índia implementou uma mudança política significativa ao tornar obrigatória a autenticação facial via Aadhaar para gerar e acessar Números de Conta Universal (UAN). Essa medida, que visa reduzir fraudes e agilizar a gestão de fundos de pensão, desencadeou um intenso debate entre defensores da eficiência e especialistas em privacidade.

O novo sistema exige que usuários registrem seus dados biométricos faciais pelo aplicativo UMANG, vinculando-os ao seu ID Aadhaar de 12 dígitos. Enquanto o governo promove isso como um passo para a transformação digital, profissionais de cibersegurança alertam para múltiplas preocupações:

1. Risco centralizado: Armazenar templates faciais em um banco de dados nacional cria um alvo valioso para hackers. Um relatório de 2023 da CERT-In mostrou aumento de 300% em ataques a portais governamentais indianos.
2. Exposição irreversível: Diferente de senhas, dados biométricos não podem ser alterados após vazamentos. O vazamento do Aadhaar em 2018 afetou 1,1 bilhão de registros.
3. Expansão funcional: Inicialmente limitado ao acesso UAN, a infraestrutura pode ser expandida para outros serviços sem consentimento adicional.

Compare-se com a abordagem da Administração de Segurança em Transportes (TSA) dos EUA: reconhecimento facial em aeroportos permanece opcional, com procedimentos claros de opt-out. Passageiros podem solicitar verificação manual sem penalidades—um contraste marcante com a obrigatoriedade indiana.

Análises técnicas revelam que o sistema EPFO usa algoritmos de reconhecimento facial compatíveis com ISO/IEC 19794-5 com detecção de vivacidade para evitar fraudes. Porém, estudos do IIT Delhi indicam que esses sistemas têm taxas de erro mais altas (até 8,7%) para pessoas de pele escura e idosos comparado a digitais (2,3% de erro).

Juristas apontam conflitos potenciais com a Lei de Proteção de Dados Pessoais Digitais (2023) da Índia, que exige 'limitação de finalidade' para coleta biométrica. O EPFO argumenta que autenticação facial se enquadra em 'interesse legítimo' para prevenção de fraudes.

Para empresas na Índia, isso exige:

• Atualizar protocolos de compliance para gestão de dados biométricos
• Treinar funcionários em fluxos seguros de autenticação
• Planos de contingência para possíveis violações do sistema

A comunidade de cibersegurança recomenda:

• Armazenamento descentralizado de templates biométricos
• Auditorias regulares por terceiros do sistema
• Procedimentos claros de notificação de violações

À medida que a autenticação biométrica se torna onipresente, este caso destaca o equilíbrio delicado entre conveniência de segurança e direitos fundamentais de privacidade. Organizações globais devem monitorar a implementação indiana como referência para sistemas biométricos em larga escala.