4 agosto 2026
Le nuove norme antilavaggio dell’UE, che entreranno in vigore il 10 luglio 2027, rivoluzioneranno il modo in cui gli istituti finanziari, le società operanti nel settore delle criptovalute e altri soggetti gestiscono le procedure di onboarding, la conformità e la gestione dei rischi. Il pacchetto normativo mira a ridurre la frammentazione tra gli Stati membri, alleggerire gli oneri amministrativi e migliorare la sicurezza e l’esperienza utente (UX) attraverso la verifica elettronica dell’identità.
Un elemento fondamentale del nuovo pacchetto normativo è costituito dagli standard tecnici di regolamentazione (RTS), attualmente in fase di elaborazione. Gli RTS definiranno i requisiti relativi alle modalità con cui gli istituti finanziari operanti nell’Unione europea dovranno effettuare l’adeguata verifica della clientela, la valutazione dei rischi e l’onboarding digitale.
Questo blog analizza i fattori alla base dei cambiamenti normativi, cosa comportano tali requisiti per le imprese dell’UE e quali misure le organizzazioni possono adottare fin da ora per evitare il rischio di non conformità nel prossimo futuro.
Fattori che determinano controlli antiriciclaggio più rigorosi
Tali modifiche sono state introdotte in risposta alla crescente sofisticazione delle attività di riciclaggio di denaro e finanziamento del terrorismo nell’UE e al di fuori di essa. Grazie all’intelligenza artificiale generativa, agli strumenti di deepfake e alle reti di “crime-as-a-service”, i criminali aggirano i controlli tradizionali sull’identità e aprono conti fraudolenti.
Le identità fraudolente all’interno del perimetro KYC possono essere utilizzate per il riciclaggio di denaro, il finanziamento del terrorismo e l’elusione delle sanzioni. I criminali possono ampliare la portata di questo fenomeno: un singolo individuo può aprire numerosi conti utilizzando diverse identità rubate o sintetiche.
Le vulnerabilità di un sistema di verifica dell'identità inadeguato sono state messe in luce all'inizio del 2026, quando un singolo malintenzionato ha aperto 46 conti bancari presso ABM AMRO, utilizzando dati di identità rubati e deepfake per aggirare i controlli di identità basati su "ID + Selfie".
Il passaggio a una procedura di onboarding conforme alla direttiva eIDAS
La risposta delle autorità di regolamentazione a questa situazione consiste nel rendere obbligatori controlli più rigorosi sull’identità in fase di onboarding, in linea con il regolamento eIDAS. La bozza di RTS definisce l’eID come il mezzo predefinito per la verifica dell’identità dell’utente, relegando i documenti cartacei e la verifica dell’identità tramite videochiamata a un’opzione di ripiego — che gli istituti devono giustificare alle autorità di vigilanza ogni volta che la utilizzano.
Il regolamento relativo ai servizi di identificazione elettronica, autenticazione e fiducia (eIDAS) definisce il quadro normativo per l’utilizzo delle identificazioni elettroniche (eID) nell’ambito dell’onboarding a distanza. I suoi livelli di garanzia (LoA) indicano il grado di affidabilità di un’identità dichiarata: l’AMLR accetta le eID con livelli di garanzia “Sostanziale” e “Elevato”. Il livello “Elevato” rappresenta lo standard di verifica dell’identità più rigoroso nell’UE.
Con la scadenza del luglio 2027 che si avvicina, le aziende dell’UE sono sotto pressione per modernizzare i propri sistemi di gestione delle identità al fine di soddisfare i requisiti. I cicli di certificazione richiedono mesi, pertanto l’adozione di soluzioni di gestione delle identità non ancora certificate per soddisfare i livelli di garanzia previsti dall’eIDAS comporta il rischio di non conformità e delle conseguenti sanzioni una volta raggiunta la scadenza.
La collaborazione con un fornitore di soluzioni per la gestione delle identità già certificato secondo i livelli “High” e “Substantial” non solo elimina questo rischio, ma consente anche di adeguare il livello di garanzia al rischio associato alla transazione, all’identità o ai fattori contestuali, garantendo un equilibrio tra velocità, esperienza utente e sicurezza.
La resilienza di fronte alle minacce all’identità è fondamentale
Sebbene la bozza delle RTS stabilisca che la verifica dell’identità debba essere conforme al regolamento eIDAS, non definisce ancora requisiti specifici per le funzionalità anti-spoofing. L’assenza di uno standard minimo di sicurezza comporta il rischio che gli istituti finanziari adottino soluzioni incapaci di contrastare le principali minacce attuali alla sicurezza dell’identità. Gli attacchi ai sistemi di verifica dell’identità da remoto si presentano in due forme:
- Attacco di tipo “presentation”: L'autore dell'attacco acquista, ruba o falsifica un documento d'identità fisico per eludere il controllo dei documenti, quindi mostra davanti alla telecamera una stampa, una maschera o un deepfake riprodotto su uno schermo.
- Attacco di iniezione: L'autore dell'attacco aggira completamente la telecamera, inserendo immagini di documenti falsificati e un volto sintetico direttamente nel flusso di dati, solitamente utilizzando una telecamera virtuale o un ambiente virtualizzato.
Sebbene gli attacchi di tipo “presentation” rimangano numerosi, sono ben compresi, di portata limitata e molte soluzioni sono state validate per il rilevamento di tali attacchi (PAD). Al contrario, gli attacchi di tipo “injection” si stanno diffondendo rapidamente e si stanno evolvendo in modi che mettono in difficoltà le difese preesistenti. Nel 2026, iProov Threat Intelligence ha segnalato un aumento del 1.151% degli attacchi di tipo “injection” diretti contro i sistemi iOS, una piattaforma precedentemente considerata sicura grazie all’ecosistema a circuito chiuso di Apple.
In combinazione con i deepfake generati dall'intelligenza artificiale e le identità sintetiche, gli attacchi di tipo "injection" si stanno rivelando il metodo principale utilizzato dagli hacker per aggirare i sistemi di protezione dell'identità — molti dei quali si basano su un modello PAD di base — e aprire conti fraudolenti, compromettendo i controlli antiriciclaggio.
Rilevamento degli attacchi di tipo “injection”
Le soluzioni di gestione delle identità possono dimostrare le proprie capacità di rilevamento degli attacchi di tipo “injection” (IAD) attraverso test e validazioni indipendenti e conformi agli standard. La norma CEN TS 18099 è l’attuale standard tecnico per il rilevamento degli attacchi di tipo “injection”, che classifica l’IAD nei livelli “Sostanziale” e “Elevato”. Ingenium, un laboratorio di test, si spinge ancora oltre, definendo 5 livelli di IAD, dove il Livello 2 corrisponde al livello “Elevato” della norma CEN.
Sebbene l’AMLR RTS non abbia ancora specificato il rilevamento degli attacchi di iniezione come requisito, il passaggio a un IAD dimostrabile rappresenta la direzione da seguire per la conformità globale in materia di identità. Il NIST SP 800-63-4, finalizzato nel 2025, richiede esplicitamente che i sistemi di verifica remota dell’identità implementino controlli contro i contenuti generati dall’intelligenza artificiale e gli attacchi di iniezione.
Pertanto, sebbene l’IAD non sia ancora un requisito esplicito delle normative antiriciclaggio, gli istituti finanziari possono anticipare i requisiti di conformità collaborando con fornitori di soluzioni di identificazione in grado di dimostrare la conformità sia all’IAD che al PAD secondo standard riconosciuti.
Come iProov può aiutarti a prepararti per il prossimo pacchetto AML
iProov detiene la certificazione modulare eIDAS ai livelli di garanzia “High” (iProov Dynamic Liveness) e “Substantial” (iProov Express Liveness). La soluzione Dynamic Liveness è stata convalidata secondo lo standard Ingenium Livello 4 (CEN TS 18099), il più elevato IAD convalidato in modo indipendente tra tutti i fornitori di soluzioni biometriche al momento della stesura del presente documento.
Prenota una demo per scoprire come possiamo aiutarti.
