18 maggio 2023
La trasformazione digitale ha ampliato in modo significativo il modo in cui le persone interagiscono con le banche e le società di servizi finanziari. La tecnologia ha reso possibile l'onboarding dal divano di casa di un consumatore proprio come la filiale locale.
Da un lato, lo sviluppo di tecnologie di verifica e autenticazione a distanza ha aperto le porte all'online banking e ad altre esperienze digitali più semplici e convenienti per gli individui. Dall'altro, ha anche aumentato la responsabilità delle frodi.
Inoltre, una tecnologia sofisticata in grado di creare identità online sintetiche ha generato nuove sfide. Deepfakes, documenti d'identità sintetici e attacchi di tipo digital injection hanno fornito ai malintenzionati gli strumenti per scatenare il caos su larga scala.
Per tenere testa ai truffatori, i fornitori di servizi finanziari devono rafforzare i loro flussi di onboarding e di autenticazione con una tecnologia di verifica efficace e accurata.
Le nuove tecnologie non regolamentate introducono compromissioni dell'identità sintetica
Mentre il furto d'identità tradizionale è in aumento, con 52 miliardi di dollari di perdite e 42 milioni di adulti colpiti. 42 milioni di adulti solo negli Stati Uniti nel 2021, le banche devono affrontare anche una nuova e più complessa minaccia: la frode di identità sintetica (SIF).
Mentre la frode d'identità tradizionale si basa tipicamente sull'utilizzo di informazioni rubate, la frode d'identità sintetica prevede la creazione di una "persona" - un'identità completamente nuova - che non esiste, mescolando informazioni personali identificabili (PII) rubate, fittizie o manipolate.
Come si creano le identità sintetiche:
- I truffatori creano un documento d'identità falso e dettagliato. Queste informazioni possono essere un mix di informazioni reali, rubate e false, ad esempio un numero di previdenza sociale rubato combinato con un nome completamente falsificato o un indirizzo leggermente modificato.
- Quindi creano immagini sintetiche che corrispondono alla foto del documento d'identità illegittimo. Utilizzeranno questa combinazione per cercare di aggirare il processo di verifica dell'identità di un'organizzazione.
I truffatori di solito accumulano una qualche forma di credito o di storia bancaria come parte del processo. Ciò può comportare, ad esempio, l'esaurimento delle linee di credito, rendendo quasi impossibile per le banche o le istituzioni finanziarie capire se si tratta di persone che stanno semplicemente affrontando difficoltà finanziarie (ad esempio, la perdita del lavoro) o se si tratta di un cattivo attore che sta commettendo attività illegali, fino a quando non è troppo tardi.
Questa variante emergente di frode è in grado di eludere i documenti d'identità e la tecnologia di verifica biometrica - l'attuale standard per la verifica dell'identità digitale - ed è quasi impossibile da catturare attraverso i soli controlli dei dati (ad esempio, la verifica dell'identità con un ufficio crediti). Per combattere questo tipo di frode è necessario un "uno-due pugni": un approccio di verifica dei documenti d'identità e tecnologie biometriche che lavorino insieme per prevenire questi tipi di minacce sofisticate.
Cosa sono le immagini sintetiche? Perché le minacce sintetiche, come l'intelligenza artificiale generativa e i deepfakes, sono una preoccupazione crescente?
Come accennato, un metodo comune per far sembrare reali le identità sintetiche è quello di utilizzare immagini sintetiche. I criminali possono utilizzare la tecnologia per creare foto o video realistici che sono stati manipolati digitalmente per sostituire le sembianze di una persona con un'altra, o addirittura per "creare" persone che non esistono. L'intelligenza artificiale generativa e le falsificazioni profonde sono strumenti estremamente potenti per aumentare il successo delle frodi di identità sintetiche.
Un deepfake è una registrazione video che è stata distorta, manipolata o creata sinteticamente utilizzando tecniche di deep learning per presentare una rappresentazione di qualcuno generata dall'intelligenza artificiale, come una maschera digitale. Alcune delle varianti più sofisticate di deepfake sono quasi indistinguibili da un volto reale, compreso il movimento naturale degli occhi e della bocca. L'uso della tecnologia deepfake nelle frodi di identità sintetiche spazia dagli attacchi di presentazione a quelli di iniezione digitale, che tentano entrambi di aggirare la verifica facciale.
Le banche di tutto il mondo hanno adottato rapidamente la verifica facciale in quanto è emersa come il metodo più sicuro per garantire l'identità online, rispetto a metodi più comuni, deboli e scomodi come le password e gli OTP. La verifica facciale si è intrecciata con l'esperienza bancaria digitale e secondo un'indagine di iProovil 64% dei consumatori globali che utilizzano il mobile banking utilizza già la verifica del volto per accedere ai propri conti o lo farebbe se potesse.
Ecco perché è essenziale che qualsiasi soluzione di onboarding digitale sia in grado di collegare in modo solido le identità digitali con gli individui del mondo reale. La soluzione Microblink-iProov conferma che una persona autentica sta verificando in tempo reale rispetto al proprio documento di identità attendibile e che il documento non è stato manomesso. Questo impedisce alle identità sintetiche di entrare nel sistema durante la fase di onboarding.
Attacchi di presentazione e attacchi di iniezione digitale
Esiste una varietà di attacchi di presentazione che i criminali possono mettere in atto per cercare di ottenere l'accesso illegale all'account o ai privilegi di un utente. Oltre a tentare fisicamente di impersonare un utente autentico, gli attacchi di presentazione possono anche comportare l'esposizione di un artefatto a una telecamera rivolta verso l'utente. Un malintenzionato potrebbe anche creare un deepfake e poi mostrare quel video, attraverso un altro schermo, al dispositivo che completa la verifica facciale.
Gli attacchi di tipo digital injection sfruttano lo stesso livello di tecnologia deepfake, ma prevedono che il truffatore reindirizzi il feed del video di verifica verso una telecamera basata su software, inietti un deepfake nel flusso di dati dell'applicazione o addirittura sfrutti un emulatore per imitare un dispositivo dell'utente.
Il recente rapporto di intelligence sulle minacce di iProov ha rivelato che nel 2022 gli attacchi a iniezione sono stati cinque volte più frequenti di quelli a presentazione persistente sul Web. Inoltre, la liveness detection (cioè le tecniche per determinare se la fonte di un campione biometrico è un essere umano in carne e ossa o una rappresentazione fittizia) è relativamente affidabile nel rilevare gli attacchi di presentazione tradizionali, rendendo gli attacchi di iniezione digitale l'obiettivo dei truffatori più abili.
I deepfake diventano ancora più pericolosi quando vengono impiegati in attacchi digitali iniettati, in quanto possono essere scalati e automatizzati molto rapidamente per causare danni significativi.
Come combattere gli attacchi di immagini sintetiche e di iniezione digitale
Sebbene la maggior parte delle tecnologie biometriche preveda un certo livello di rilevamento della vivacità per verificare l'identità di un individuo, il rilevamento della vivacità da solo non è in grado di rilevare un attacco di tipo digital injection. Per combattere la combinazione di deepfakes e attacchi di tipo digital injection, gli istituti di servizi finanziari hanno bisogno di un approccio robusto e multiforme, che sfrutti la creazione di un biometrico unico.
La soluzione di onboarding digitale di Microblink e iProov utilizza una tecnologia biometrica unica per garantire che chiunque cerchi di verificare la propria identità lo faccia in tempo reale e non utilizzando immagini sintetiche.
Come? Illuminando il volto dell'individuo con una sequenza unica di colori che non può essere riprodotta o manipolata sinteticamente. Questo assicura che l'utente si stia autenticando in questo momento: non si tratta di un attacco di presentazione che utilizza una foto o una maschera, né di un attacco iniettato digitalmente che utilizza un replay di un'autenticazione precedente o un video sintetico come un deepfake. Inoltre, analizza le informazioni multidimensionali derivate dal comportamento del volto e dal modo in cui la luce si riflette su di esso, che possono rivelare immagini sintetiche.
Gli ID sintetici aggiungono maggiore complessità e rischio
Prima dell'esplosione dell'online banking, le frodi d'identità tradizionali erano di portata limitata, con una persona che presentava un'identità rubata alla volta. Il processo era lento e la vigilanza dei dipendenti interni era fondamentale per combattere le frodi e mitigare i rischi.
Con gli ID sintetici e l'ascesa dei deepfake, i truffatori possono ampliare la portata dei loro tentativi e farlo a un ritmo più veloce che mai.
I documenti d'identità sintetici sono particolarmente pericolosi perché consentono di produrre innumerevoli "persone" che un truffatore può impersonare. In un esempio tratto dal rapporto di iProovsono stati lanciati circa 200-300 attacchi a livello globale dalla stessa postazione nell'arco di 24 ore, nel tentativo indiscriminato di aggirare i sistemi di sicurezza di un'organizzazione.
Gli attacchi degli attori delle minacce stanno diventando sempre più scalabili e automatizzati e le immagini sintetiche utilizzate per sostenere le verifiche fraudolente stanno diventando sempre più indistinguibili dalla realtà per l'occhio umano. Ecco perché le organizzazioni hanno bisogno delle tecnologie più all'avanguardia per la verifica dei documenti di identità e biometrici per combattere le minacce.
Combattere i documenti d'identità sintetici con una migliore scansione dei documenti d'identità
Con i malintenzionati che sfruttano una combinazione di informazioni reali e fraudolente per creare documenti d'identità sintetici, una semplice scansione non sarà più sufficiente.
È qui che un sistema di acquisizione, estrazione e verifica dei documenti d'identità basato sull'intelligenza artificiale può eccellere. Un approccio basato sull'intelligenza artificiale è in grado di comprendere l'intero contesto del documento d'identità che sta scansionando, fornendo controlli sulla coerenza dei dati e sulla convalida delle informazioni estratte e ricercando sistematicamente difetti visivi o anomalie per fornire un maggiore livello di garanzia.
Adottando un approccio basato sui dati che combina l'ispezione non forense e forense di diversi documenti di identità, nonché il rilevamento della vivacità che crea un biometrico unico, la vostra azienda può essere certa che i documenti di identità degli utenti siano autentici.
Infine, la flessibilità e l'apprendimento continuo di una soluzione basata sull'intelligenza artificiale garantiscono la possibilità di estrarre e verificare la maggior parte dei tipi di documenti d'identità e delle varietà geografiche, assicurando di non sacrificare la flessibilità e l'esperienza dell'utente finale o la facilità d'uso a favore della sicurezza e della fiducia.
La riduzione del rischio richiede i giusti partner tecnologici
La combinazione di identità sintetiche e dei relativi documenti di identità, insieme ai deepfake, sta introducendo maggiori rischi nei processi di onboarding digitale per le organizzazioni di ogni dimensione e settore.
Senza uno stack tecnologico che aiuti a proteggersi dalla sofisticazione di questi nuovi e migliori metodi di frode, i rischi per i fornitori di servizi finanziari includono la perdita di entrate, di avviamento dei clienti e di sanzioni normative.
Sfruttando le tecnologie di acquisizione, estrazione e verifica dei documenti d'identità basate sull'intelligenza artificiale, come quelle offerte da Microblink - insieme a soluzioni di scansione biometrica una tantum come iProov - consente un'esperienza di onboarding digitale più sicura. Combinare la sicurezza e la flessibilità di queste tecnologie collaudate può aiutare a combattere il crescente pericolo di frodi finanziarie.
