MITRE ATLAS™ veröffentlicht kritische Schwachstelle im KYC-Identitätsprozess, die von iProov entdeckt wurde

iProov schließt sich führenden Cybersicherheits- und Technologieorganisationen an und leistet einen Beitrag im Kampf gegen KI-gesteuerte Bedrohungen.

 

LONDON, Großbritannien – 17. Dezember 2025 – Heute hat iProov, der weltweit führende Anbieter von wissenschaftlich fundierten Lösungen zur biometrischen Identitätsprüfung, bekannt gegeben, dass ein vom internen Red Team von iProov demonstriertes Angriffsszenario von MITRE ATLAS™, der globalen Wissensdatenbank zur Förderung von KI-Sicherheit, Bedrohungsabwehr, Robustheit und Datenschutz, veröffentlicht wurde. Die Fallstudie bestätigt eine kritische, hochriskante Schwachstelle im Fernidentitätsprüfungsprozess „Know Your Customer“ (KYC), die Nutzer weltweit gefährdet. 

Der Beitrag von iProov, der eine Übersicht über das Verfahren, zeigt, wie leicht verfügbare Angriffe mit ausgetauschten Gesichtsbildern mobile KYC-Verfahren umgehen können. Die Fallstudie stellt iProov neben Beiträgen von führenden Cybersicherheits- und Technologieführern wie Microsoft, NVIDIA, IBM, Intel, Cisco, Palo Alto Networks, Kaspersky, CrowdStrike und Trend Micro, die alle gemeinsam daran arbeiten, zukünftige Verteidigungsinstrumente und -rahmenwerke zu gestalten.

„Die Stärke von MITRE ATLAS liegt in der Breite und Qualität der Community, die dahintersteht. Beiträge aus Industrie, Wissenschaft und Regierung – von Erkenntnissen des Red Teams bis hin zu Einblicken in operative Bedrohungen – sind unerlässlich, um die Genauigkeit und Vollständigkeit der MITRE ATLAS-Wissensdatenbank zu verbessern. Wenn Organisationen Daten und Fachwissen offen teilen, verbessern wir gemeinsam die Sicherheit und Widerstandsfähigkeit von KI-gestützten Systemen und der Nation“, sagte Doug Robbins, Vizepräsident von MITRE Labs.

„In den letzten 12 Monaten haben wir eine explosionsartige Zunahme von Angriffsvektoren im Zusammenhang mit der Identitätsprüfung beobachtet, die vor allem auf Fortschritte in der generativen KI und die breite Verfügbarkeit kostengünstiger Tools zurückzuführen ist“, so Andrew Newell, Chief Scientific Officer bei iProov. „Die Veröffentlichung dieser aktuellen MITRE ATLAS-Fallstudie ist Teil des wichtigen Prozesses der Identifizierung und Dokumentation solcher Methoden. Das Tempo der Entwicklung wird wahrscheinlich nur noch zunehmen, weshalb es unerlässlich ist, dass alle Organisationen unverzüglich ihre eigenen Abwehrmaßnahmen gegen diese neuen Taktiken überprüfen.“

Diese Fallstudie bestätigt, wie wichtig es für Unternehmen ist, Anbieter zu suchen, die nach der aktuellen europäischen Norm CEN 18099 geprüft wurden. Diese Norm legt strenge Testprotokolle für Injektionsangriffe fest und stellt einen bedeutenden Fortschritt bei den Sicherheitsstandards für die Fernidentitätsprüfung dar.

Die Schwachstellen verstehen

Diese Validierung durch MITRE unterstreicht eine kritische Sicherheitslücke in den Bereichen Finanzdienstleistungen, Bankwesen und Kryptowährungen, wo die Identitätsprüfung aus der Ferne für die Registrierung und Authentifizierung von Benutzern obligatorisch ist.

Die Untersuchung zeigt, warum aktive Liveness-Lösungen besonders anfällig sind:

• Die aktive Lebendigkeitserkennung basiert auf der Analyse von Bildartefakten und Benutzerbewegungen, die hochentwickelte, KI-generierte Deepfakes mittlerweile überzeugend nachbilden können.
• Durch das Ersetzen der Kamera eines Mobilgeräts durch eine virtuelle Kamera-Anwendung können Angreifer die Sicherheitskontrollen auf Geräteebene umgehen.

Zusammenfassung des Angriffs und Auswirkungen auf die Branche

Die vom Leiter des iProov Red Teams, Dr. Panos Papadopoulos, durchgeführte Sicherheitsübung zielte speziell auf den entscheidenden Identitätsprüfungsprozess ab, der als „Know Your Customer“ (KYC) bekannt ist und häufig von mobilen Anwendungen in den Bereichen Finanzdienstleistungen, Bankwesen und Kryptowährungen verwendet wird.

Der Angriff umfasste mehrere komplexe Schritte:

1. Aufklärung und Ressourcenentwicklung: Das iProov Red Team sammelte Informationen zur Identität von Nutzern und hochauflösende Gesichtsbilder aus Online-Quellen. Sie beschafften sich Faceswap, eine Desktop-Anwendung, die generative KI nutzt, um Gesichter in einem Video in Echtzeit auszutauschen.
2. Tool-Erwerb: Anschließend verwendeten sie Open Broadcaster Software (OBS), um ein Video zu streamen. Entscheidend war dabei der Erwerb von Virtual Camera: Live Assist, einer Android-Anwendung, mit der Benutzer den Standard-Kamerafeed des Geräts durch einen Videostream ersetzen können und die auf echten, nicht gerooteten Android-Geräten erfolgreich funktioniert.
3. Deepfake-Generierung: Anhand der gesammelten Bilder der Opfer erstellte das Red Team mit Faceswap Live-Deepfake-Videos, die das Aussehen der Opfer imitierten.
4. Erster Zugriff und Umgehung: Während der Identitätsprüfung bei einer Finanzdienstleistungsanwendung streamte das Team den Deepfake-Videofeed mithilfe von OBS und der Virtual Camera App. Mit dieser Methode gelang es, das Lebendigkeitserkennungssystem zu umgehen. 
5. Identitätsdiebstahl: Diese Umgehung ermöglichte es Dr. Panos Papadopoulos, sich unter einer fiktiven Identität zu authentifizieren, was zeigt, dass Angreifer Zugriff auf die privilegierten Systeme eines Opfers erhalten oder gefälschte Konten in Banking- oder Kryptowährungs-Apps erstellen können, was zu erheblichen finanziellen Schäden führen kann.

Die Bedeutung kontinuierlicher Überprüfung und fortschrittlicher Standards

 Der Beitrag von iProov, veröffentlicht von MITRE ATLAS, bietet eine unabhängige Validierung kritischer Schwachstellen in mobilen KYC-Identitätsprüfungssystemen durch Dritte. Diese Untersuchung bestätigt, wie wichtig es ist, über anfällige, nicht konforme Lebendigkeitsprüfungen hinauszugehen. Die neue europäische Norm CEN 18099, die strenge Testprotokolle für die Lebendigkeitserkennung festlegt, stellt einen bedeutenden Fortschritt bei den biometrischen Sicherheitsstandards dar.

Aufruf zur Zusammenarbeit

Die Arbeit des iProov Red Teams informiert Sicherheitsanalysten und KI-Entwickler aus verschiedenen Branchen über realistische Bedrohungen für KI-gestützte Systeme und ermöglicht so fundiertere Bedrohungsanalysen und ein effektives internes Red Teaming. MITRE fördert die Zusammenarbeit zwischen Regierung, Industrie und Wissenschaft, um die zukünftige Entwicklung von Tools und Frameworks in den Bereichen KI-Sicherheit, Bedrohungsabwehr, Robustheit, Datenschutz und anderen kritischen Aspekten der KI-Sicherheit mitzugestalten.

Über MITRE ATLAS™

Das MITRE ATLAS™ (Adversarial Threat Landscape for AI Systems) Framework ist eine weltweit zugängliche, dynamische Wissensdatenbank über Taktiken und Techniken von Angreifern, die auf realen Angriffen basiert und dem renommierten MITRE ATT&CK® Framework nachempfunden ist. iProov-Fallstudie: „Deepfake-Injektion umgeht mobile KYC-Lebendigkeitsprüfung” und ist zur Veröffentlichung freigegeben; unbegrenzte Verbreitung (Fallnummer 21-2363). MITRE ATLAS™ und MITRE ATT&CK® sind Marken und eingetragene Marken der MITRE Corporation.