Falsos positivos e falsos negativos, porque medir só acurácia não é suficiente?

Esses são dois termos muito negligenciados pela comunidade, embora o interesse venha crescendo nos últimos anos, os Falsos Positivos e Falsos Negativos. Mais comum ouvir falar e acurácia e precisão: sendo que a acurácia mede a capacidade geral do sistema de tomar a decisão correta (ou seja, a taxa global de acertos ao validar usuários legítimos e rejeitar impostores), enquanto a precisão mede a confiabilidade de um resultado positivo, indicando a probabilidade de uma correspondência apontada pelo algoritmo ser real e não um falso positivo.

O que realmente significa falar em falsos positivos e falsos negativos?

A ideia central por trás de qualquer sistema de identificação, seja cadastro biometria facial, identidade digital, prova de vida INSS, ou processos de onboarding de clientes,  é simples: reconhecer corretamente quem é a pessoa. Na prática, isso não é tão trivial. Dois conceitos fundamentais explicam por quê: falsos positivos e falsos negativos.

Um falso positivo ocorre quando o sistema identifica alguém como sendo outra pessoa (ou seja, deixa passar um impostor, como se fosse a outra). Já o falso negativo acontece quando o sistema não reconhece alguém que deveria reconhecer (ou seja, a pessoa é a verdadeira e o sistema não consegue reconhecer). Esses erros são comuns em tecnologias de reconhecimento facial, especialmente quando o ambiente é não ideal, seja porque a iluminação varia ou porque o algoritmo (ou a IA) não foi treinado com diversidade de pessoas suficiente.

Em outras palavras: não basta dizer que um sistema tem “alta acurácia” (ex. acerta 99 das vezes em 100). É preciso entender como ele se comporta nos csos extremos, nas exceções e nos cenários reais.

Por que o reconhecimento facial não funciona perfeitamente em todos os cenários?

A promessa do reconhecimento facial é tentadora: processos contactless (sem contato), rápidos, seguros e automatizados. Mas a realidade é que essa tecnologia ainda enfrenta desafios importantes.

Alguns fatores que prejudicam o desempenho:

• Iluminação inadequada Ambientes escuros ou com luz excessiva podem distorcer características faciais (ex. exposto à luz do sol ou no escuro).
• Mudanças naturais no rosto Envelhecimento, barba, maquiagem, óculos, procedimentos estéticos ou até expressões faciais podem afetar o resultado.
• Diversidade insuficiente no treinamento do algoritmo Bases de dados pouco diversas geram sistemas que funcionam bem para alguns grupos e mal para outros (ex. treinado em culturas que tem mais pessoas caucasianas e menos afrodescendentes ou asiáticos).
• Ataques de apresentação (spoofing) Fotos, vídeos ou máscaras podem enganar sistemas que não possuem mecanismos de liveness (prova de vida).

É justamente nesses cenários que os falsos positivos e falsos negativos se tornam críticos.

Como falsos positivos e falsos negativos afetam o cadastro biométrico?

Quando falamos em o que é cadastro biométrico, estamos falando de um processo que deveria garantir que a pessoa cadastrada é realmente quem diz ser. Mas imagine estes cenários:

• Falso positivo no cadastro O sistema aceita o rosto de um fraudador como sendo o de um cliente legítimo. Consequência: a pessoa consegue abrir contas fraudulentas e aplicar golpes financeiros, roubo de identidade, apossar-se de uma conta e fazer aquisições em nome da pessoa verdadeisa.
• Falso negativo no cadastro O sistema rejeita o rosto de um cliente verdadeiro. Consequência: insatisfação, frustração, abandono da transação, aumento de custos de suporte, reclamações, perda de confiança na instituição.

Em ambos os casos, a experiência do usuário é prejudicada e a segurança fica comprometida.

Como isso impacta a prova de vida e a identidade digital?

Na prova de vida INSS, por exemplo, um falso negativo pode impedir que um beneficiário receba seu pagamento. Já um falso positivo pode permitir que outra pessoa se passe pelo beneficiário, causando prejuízo ao sistema público e a beneficiário verdadeiro.

Na identidade digital, o impacto é ainda maior: um erro pode comprometer toda a cadeia de confiança. Se o sistema identifica erroneamente um usuário na abertura de conta (onboarding), todas as transações subsequentes podem ser afetadas, já que as barreiras de segurança tendem a ser menores.

Por isso, tecnologias modernas incorporam mecanismos de liveness (prova de vida), que verificam se há uma pessoa real diante da câmera, reduzindo o risco de ataques com fotos ou vídeos.

Por que medir apenas acurácia não é suficiente?

Acurácia é uma métrica sedutora: “meu sistema acerta 99% das vezes”. Mas ela esconde nuances importantes.

Imagine um sistema com 99% de acurácia, mas que apresenta:

• 1% de falsos positivos em um banco com milhões de clientes
• 1% de falsos negativos em um processo de prova de vida

Esses 1% representam milhares de pessoas impactadas.

Além disso, acurácia não mostra:

• Como o sistema se comporta com diferentes grupos demográficos
• Como reage a tentativas de fraude
• Como lida com variações naturais do rosto
• Como se sai em ambientes reais, fora do laboratório

Profissionais de cybersegurança precisam olhar para métricas como:

• FMR (False Match Rate) — taxa de falsos positivos (também conhecida como FAR – False Acceptance Rate)
• FNMR (False Non-Match Rate) — taxa de falsos negativos (também conhecida como FRR – False rejection rate)
• TPR / FPR — taxas de verdadeiros positivos e falsos positivos
• ROC Curve (Received Operator Characteristics) — curva que mostra o equilíbrio entre segurança e usabilidade

Quer uma ajuda para entender esses conceitos e saber como medir ? Entre em contato com um especialista.

Isso acontece porque a acurácia mede apenas a proporção geral de acertos, o que pode mascarar falhas graves quando as classes são desbalanceadas — como em testes em que a maioria das tentativas é de impostores —, permitindo que um sistema com 99% de acurácia bloqueie todos os usuários legítimos e ainda pareça eficiente. Além disso, a decisão biométrica depende de um limiar de similaridade (threshold): calibrá-lo para ser extremamente rigoroso evita Falsos Positivos (FAR/impostores aceitos), mas dispara os Falsos Negativos (FRR/usuários legítimos rejeitados), e vice-versa; logo, mesmo modelos altamente acurados continuam sujeitos a esse trade-off inevitável entre segurança e usabilidade.

A acurácia é apenas a superfície. A segurança está nos detalhes.

Como medir corretamente falsos positivos e falsos negativos?

Para medir esses indicadores, é necessário testar o sistema em condições variadas:

• Ambientes diferentes: luz natural, artificial, baixa iluminação.
• Diversidade de usuários: idade, gênero, etnia, características faciais.
• Cenários de fraude: fotos impressas, vídeos, deepfakes.
• Situações reais de uso: pressa, movimento, distância da câmera.

Além disso, é essencial avaliar o sistema continuamente. A biometria facial evolui, mas também evoluem os ataques. O que funciona hoje pode não funcionar amanhã.

Por que todo profissional de cybersegurança precisa dominar esses conceitos?

A segurança digital moderna depende cada vez mais de biometria, identidade digital e processos automatizados de verificação. Entender falsos positivos e falsos negativos é fundamental porque:

• Permite identificar vulnerabilidades antes que fraudadores o façam
• Ajuda a calibrar sistemas para equilibrar segurança e experiência do usuário
• Evita decisões baseadas em métricas incompletas
• Garante que soluções de onboarding sejam realmente confiáveis
• Reduz riscos em processos críticos como prova de vida e autenticação contínua

Em um mundo onde o contactless se torna padrão e a identidade digital é cada vez mais central, ignorar esses conceitos é abrir espaço para falhas graves.

Como reduzir falsos positivos e falsos negativos na prática?

Algumas estratégias incluem:

• Melhorar o algoritmo com bases de dados diversas
• Implementar liveness robusto
• Usar múltiplos fatores de autenticação quando necessário
• Monitorar continuamente o desempenho do sistema
• Ajustar o threshold de decisão conforme o risco da operação (prática muito comum, pois os thresholds para uma aplicação sem risco financeiro ou criminal (que nem a entrada de um parque) não é o mesmo que o de uma aplicação crítica nesses fatores (ex. acesso a um cofre de banco)

Cada contexto exige um equilíbrio diferente.

Conclusão: acurácia é só o começo

Acurácia alta não garante segurança. Sem entender falsos positivos, falsos negativos, liveness, onboarding seguro, identidade digital e os desafios reais do reconhecimento facial, qualquer solução biométrica corre o risco de falhar justamente onde deveria ser mais forte. Profissionais de cybersegurança precisam ir além das métricas superficiais e enxergar o impacto real desses indicadores no mundo físico, nas pessoas e nas instituições e se acostumar a pedir essas informações aos fornecedores e realizar estas medidas dentro de suas empresas.

Leia mais em O que fazer quando o reconhecimento facial não funciona