Os principais riscos e oportunidades apontados pelo TCU
Experiência criada para apresentação. Use as setas do teclado ou a barra de espaço para navegar.
Uma identidade digital dá acesso a milhares de serviços públicos.
O que acontece quando a identidade digital se torna a porta de entrada para praticamente todo o Estado?
"A Conta Gov.br não é apenas uma senha. Ela representa quem você é no ambiente digital do Estado."
Por isso, proteger a identidade é tão importante quanto proteger o próprio serviço.
Panorama dos controles de identidade avaliados na auditoria.
O TCU apontou fragilidades em oito pontos do ecossistema Gov.br. Toque em um para conhecer cada uma.
"Quanto mais segurança, mais difícil pode ser o acesso."
Equilíbrio entre facilidade e segurança.
Ela é uma pessoa fictícia — mas a situação é comum na vida real.
Um dia, ela precisa acessar um benefício online.
Quando o sistema precisa responder a uma pergunta simples: [ É realmente você? ]
O desafio é bloquear o fraudador sem bloquear o cidadão.
Não é uma ferramenta de fraude — é uma ilustração de como o sistema precisa julgar o que vê.
"O TCU alerta que ataques baseados em IA aumentaram a complexidade da validação biométrica."
A Conta Gov.br tem três níveis de confiança.
"Temos algumas evidências sobre quem é você."
"Temos mais evidências."
"Temos um alto grau de confiança sobre sua identidade."
Uma conta Ouro significa, automaticamente, um login mais protegido?
"Identificar alguém com alta confiança e proteger cada novo acesso são problemas diferentes."
"Sabemos quem recebeu a chave."
"Precisamos confirmar quem está usando a chave agora."
As portas se abrem de formas diferentes.
E se a senha vazar?
"MFA moderno pode bloquear mais de 99% das tentativas de acesso não autorizado."
O segundo fator atual depende do aplicativo Gov.br.
"Uma proteção forte também precisa de uma recuperação segura e acessível."
Quem está usando essa identidade?
Quanto maior o nível de confiança da identidade, maior pode ser o impacto de seu uso indevido.
A primeira camada de proteção, nem sempre a mais forte.
"O tamanho não é o único problema."
O relatório também aponta ausência de verificação de senhas já expostas no momento da criação ou alteração.
"A senha é a prova de quem você é — mas ela funciona mal quando várias pessoas sabem dela."
"Quem tem dificuldade digital acaba, sem querer, enfraquecendo a própria segurança."
A inclusão digital não é só acessibilidade — é também uma camada de segurança.
"A biometria deveria separar pessoas reais de representações — mas tem limitações dos dois lados."
Quanto mais frágil a validação, maior o balanço difícil entre bloquear o fraudador e liberar o cidadão.
"Ter uma conta Ouro não garante que cada novo acesso esteja protegido por autenticação forte."
Quanto mais evidências, maior o nível (Bronze, Prata, Ouro).
O acesso pode seguir apenas com senha se o MFA não for exigido.
"Quando as bases não se falam, a identidade pode 'viver' mais do que a pessoa."
"Muita confiança na senha e pouco olhar para o que está acontecendo de estranho."
Quando ninguém olha para os acessos, um uso indevido pode passar despercebido por tempo demais.
Essa foi a menor avaliação entre os grupos analisados.
Como encontrar dois acessos suspeitos entre milhões de eventos?
"O TCU identificou ausência de processos automatizados para revisão dos logs de auditoria."
A segurança de uma identidade centralizada depende de quem a utiliza.
Cada serviço decide seu próprio nível de risco:
Quando as camadas se desalinharam, as conexões ficaram quebradas.
Uma fragilidade raramente existe sozinha. Toque em um nó para ver suas causas e consequências.
Indicado para telão. No celular, aparecem em sequência vertical.
Ative as medidas e veja como o ecossistema muda conceitualmente.
Visualização conceitual baseada nas relações descritas pela auditoria. Não representa cálculo científico nem percentuais.
Mudamos a pergunta: não é mais "onde estão os problemas?", mas "como melhorar?"
"A identidade digital também precisa ter um ciclo de vida."
Deslize para comparar a situação atual com a visão de evolução.
A síntese executiva da auditoria.
"Controles precisam proteger sem excluir."
"Uma boa regra não protege ninguém se não for aplicada corretamente."
"Os ataques evoluem continuamente — especialmente com IA."
A questão não é apenas provar quem você é.
É garantir que somente você continue podendo provar isso.
"Segurança de identidade não é uma única tecnologia.
É um ecossistema formado por pessoas, processos, dados e tecnologia."
Fonte: Acórdão 2019/2026 – TCU – Plenário · TC 015.635/2025-2
Uma segunda confirmação além da senha.
MFAUm teste para verificar se há uma pessoa real diante da câmera.
LivenessUm golpe que tenta convencer você a entregar suas informações.
PhishingImagem, áudio ou vídeo manipulado por inteligência artificial.
DeepfakeObservar continuamente os acessos para encontrar comportamentos estranhos.
MonitoramentoUma forma de entrar sem depender de uma senha tradicional.
Passkey