Brezilya 263 milyon mobil kullanıcısına yüz tanıma taraması zorunluluğu getirdi

Brezilya’nın kişisel mobil hizmet sağlayıcılarının her biri, artık yüz tanıma ve canlılık tespitini abone kayıt ve yeniden kayıt iş akışlarına entegre etmek zorunda kalacak. Kural, şirket büyüklüğüne bakılmaksızın tüm sağlayıcılara uygulanacak.

Yüz doğrulamasının, uluslararası canlılık tespiti standardındaki üç seviyeden ikincisi olan ISO/IEC 30107-3 Seviye 2’ye uygun olması gerekecek.

Bu durum, sistemlerin yalnızca düz bir fotoğraf tekrarına değil, aynı zamanda gerçekçi üç boyutlu maskeler, yüksek kaliteli basılı resimler ve yüksek çözünürlüklü video tekrarları gibi karmaşık saldırılara karşı da dirençli olması gerektiği anlamına geliyor.

Eşleştirme için kullanılan herhangi bir özel biyometrik veri tabanının da aynı eşik seviyesindeki canlılık kontrolleri kullanılarak oluşturulmuş olması gerekecek. Her doğrulama olayı, zaman damgasını, kişinin biyometrik bir veri tabanıyla eşleşip eşleşmediğini ve işlemi hangi kimlik doğrulama sağlayıcısının yürüttüğünü yakalayan denetlenebilir bir kayıt oluşturacak.

Uygulama takvimi belirlendi

Anatel’in belirlediği takvime göre, Eylül 2027 itibarıyla tüm yeni ön ödemeli hat aktivasyonları yüz biyometrik doğrulaması gerektirecek. 31 Aralık 2027 tarihine kadar tüm yeni faturalı hat aktivasyonlarında da aynı şart aranacak.

31 Aralık 2028 tarihine kadar henüz doğrulanmamış mevcut tüm abonelerin kayıtları operatörleri tarafından yenilenecek. Ocak 2029 itibarıyla yüz doğrulamasını tamamlamayan kullanıcılara ait hatlar askıya alınacak ve nihayetinde iptal edilecek.

Kural ayrıca, operatörlerin biyometrik kontrolü tamamlayamayan aboneler için alternatif prosedürler oluşturmasını zorunlu kılıyor. Gizlilik gerekçesiyle reddeden kullanıcılar için kuralda herhangi bir hüküm bulunmuyor, bu kişiler için sonuç hatların askıya alınması olacak.

Anatel’in çözmeye çalıştığı dolandırıcılık sorunu

Düzenleme, Brezilya’nın kronik mobil dolandırıcılık ortamına doğrudan bir yanıt olarak Anatel’in kamu güvenliği destek teknik grubu bünyesinde onaylandı.

Suçluların, operatörleri bir kurbanın telefon numarasını kendi kontrolleri altındaki bir SIM karta aktarmaya ikna ettiği SIM değiştirme saldırıları, dolandırıcılara kısa mesaj tabanlı iki faktörlü kimlik doğrulamasına erişim sağlıyor. Bu durum banka hesaplarının boşaltılmasına, sosyal medya hesaplarının ele geçirilmesine ve kimlik taklidine olanak tanıyor.

Brezilya’da SIM değiştirme vakalarına ilişkin resmi bir hükümet istatistiği bulunmuyor ancak sektör tahminleri her yıl on binlerce Brezilyalının bu durumdan etkilendiğini gösteriyor. Kuralın hedef aldığı daha derin yapısal güvenlik açığı, Brezilya mobil hatlarının sahte kimliklerle veya başka bir kişinin adına kaydedilmesinin kolaylığı olarak öne çıkıyor. Anatel, bir hattın etkinleştirilmesinden önce canlı bir biyometrik eşleşme talep ederek bu kayıt boşluğunu tamamen kapatmayı hedefliyor.

Biyometri mobil dolandırıcılığı durduruyor mu?

Güney Kore, Temmuz 2026’da yeni mobil abonelikler için birincil doğrulama yöntemi olarak yüz tanımayı başlattı ve sivil haklar grupları derhal rıza ve veri ihlali riski hakkında itirazlarda bulundu.

Nisan 2025’te gerçekleşen ve yaklaşık 27 milyon abonenin SIM ile ilgili verilerini açığa çıkaran bir ihlal, Kore sivil toplumu tarafından biyometrik verilerin operatör altyapısı içinde yoğunlaşmasının saldırganlar için büyük değerli bir hedef yarattığının kanıtı olarak gösterildi.

Zorunlu biyometrik SIM planlarını eleştirenler, dolandırıcılık karşıtı mantığın yapısal bir sınırına da dikkat çekiyor. SIM değiştirme yalnızca bir kimlik sorunu değil, en azından kısmen bir kimlik doğrulama sorunu olarak değerlendiriliyor.

Altyapı ve gizlilik endişeleri

Brezilya’nın biyometrik eşleştirme altyapısının büyük bir kısmı zaten inşa edilmiş durumda. Federal hükümetin bilgi teknolojisi şirketi Serpro, sürücü belgelerinden, ulusal kimlik kartlarından ve seçmen kayıt verilerinden alınan yaklaşık 376 milyon yüz kaydını tutan bir yüz biyometrik platformu işletiyor.

Brezilya’nın 2018 yılında yürürlüğe giren genel veri koruma yasası, biyometrik verileri açıkça hassas kişisel veriler olarak sınıflandırıyor. Biyometrik verileri yanlış işleyen şirketler, Brezilya gelirinin yüzde ikisine kadar hesaplanan ihlal başına ciddi para cezalarıyla karşı karşıya kalıyor.

Zorunlu biyometrik toplama uygulamasının, mobil hizmetin bir koşulu olması ve gerçek bir seçim olmaması, anlamlı rızayı yasal olarak şüpheli hale getiriyor. Yasayı eleştirenler, bu zorunluluğun her yıl on binlerce kişiyi etkileyen dolandırıcılığı ele alma mekanizması olarak 263 milyon abonenin tamamına uygulanmasının orantılılık ve gereklilik ilkelerini karşılayıp karşılamadığını sorguluyor.

Belgelenmiş sistem arızaları mevcut boşlukları ortaya koyuyor

Mevcut hükümet yüz tanıma altyapısının, denemelerin yalnızca yüzde 64,32’sini doğruladığı, yani her üç doğrulama denemesinden birinden fazlasının başarısız olduğu ifade ediliyor. Bu durum, kişinin görünümündeki herhangi bir önemli değişikliğin, puanı eşleşme eşiğinin altına düşürebileceği ve kişinin hizmetlerin dışında kalmasına neden olabileceği anlamına geliyor.

Araştırmacılar, yüz tanıma sistemlerinde iyi bilinen önyargıyı yansıtacak şekilde siyah Brezilyalılar için daha yüksek yanlış negatif oranları belgeledi.

Operatörler zorlu bir uyum süreciyle karşı karşıya

Brezilya’nın büyük operatörleri için yeni kural, sertifikalı canlılık tespitini mağaza içi ve dijital olmak üzere her abone odaklı kanala entegre etmek anlamına geliyor. Bu durum, tüm abone tabanlarındaki her doğrulama olayını kapsayan denetlenebilir kayıt sistemleri oluşturmayı ve kimlik doğrulama sağlayıcılarıyla veri işleme anlaşmaları müzakere etmeyi gerektiriyor.

Gereksinim, büyük operatörlerin kaynaklarına, mühendislik personeline ve satıcı ilişkilerine genellikle sahip olmayan bayileri ve sanal ağ operatörlerini de kapsıyor.

Anatel modelinin yasal bir emsal olarak kabul edilmesi halinde bankacılık ve sağlık gibi diğer Brezilya sektörel düzenleyicilerinin de aynı gerekçelerle kendi biyometrik kayıtlarını zorunlu kılabileceği belirtiliyor.