Shahid Hanif, CEO e Co-Fondatore di Shufti – Serie di Interviste

Shahid Hanif, CEO e Co-Fondatore di Shufti, è un imprenditore tecnologico con una vasta esperienza nella costruzione di piattaforme di verifica dell’identità, fintech, blockchain e software decentralizzati. Ha co-fondato Shufti nel 2017 e ha trascorso più di sette anni come Chief Technology Officer, guidando lo sviluppo interno della tecnologia di verifica dei documenti e biometrica basata sull’intelligenza artificiale prima di diventare CEO nel dicembre 2024. Hanif è anche il fondatore di Developers Studio, una società di sviluppo blockchain con oltre 100 specialisti, e in precedenza ha ricoperto il ruolo di CTO di Quickbit, dove ha aiutato a sviluppare la tecnologia di pagamento con criptovalute prima dell’offerta pubblica iniziale della società. In precedenza, ha co-fondato Programmers Force e ha aiutato a espandere la società di software e data science a oltre 500 dipendenti in dieci uffici su tre continenti.

Shufti è una piattaforma di verifica dell’identità basata sull’intelligenza artificiale che aiuta le organizzazioni a stabilire la fiducia, prevenire le frodi e soddisfare i requisiti di Know Your Customer, Know Your Business e Anti-Money Laundering. La sua piattaforma combina la verifica dei documenti e biometrica, la verifica dell’identità elettronica, i controlli NFC, la verifica aziendale, la garanzia dell’età, la rilevazione delle frodi, il monitoraggio continuo e la gestione dei casi attraverso un’infrastruttura unificata. La società supporta migliaia di tipi di documenti e oltre 150 lingue in oltre 240 paesi e territori, consentendo alle aziende di verificare i clienti e le organizzazioni attraverso un’unica integrazione globale. La sua tecnologia esamina l’autenticità dei documenti, la vitalità biometrica, l’intelligenza del dispositivo e altri segnali di rischio per rilevare documenti contraffatti, deepfake, manipolazione di account e attacchi di identità coordinati.

Quando hai co-fondato Shufti nel 2017, hai inizialmente guidato lo sviluppo tecnologico della società come Chief Technology Officer prima di diventare CEO nel 2024. Quali carenze nella verifica dell’identità digitale ti hanno originariamente motivato a costruire la piattaforma, e come è cambiata la tua comprensione del problema con l’avanzare dell’intelligenza artificiale generativa?

Quando abbiamo co-fondato Shufti nel 2017, le principali sfide erano la verifica lenta, il lavoro manuale eccessivo e i sistemi che non funzionavano bene in diversi paesi. Molti sistemi di verifica dell’identità erano inconsistenti, soprattutto in settori ad alto rischio. Avevano anche difficoltà a verificare i documenti in lingue non latine e non potevano verificare in modo affidabile le identità provenienti da tutto il mondo.

Oggi, l’intelligenza artificiale generativa ha cambiato il problema. Non si tratta più solo di leggere un documento di identità. Si tratta di sapere se il documento e la persona che lo presenta sono reali. L’AI ha reso la frode di identità più veloce, più economica e più facile da scalare. Abbiamo imparato che verificare qualcuno una volta durante l’onboarding non è più sufficiente. Le aziende hanno bisogno di un’AI che possa rilevare anche i documenti e le identità false più avanzati.

Le autorità belghe hanno recentemente avvertito che oltre 10.000 persone sono state vittime di frodi di identità abilitate dall’AI nell’ultimo anno. Cosa rivela questo caso sulla rapidità con cui la criminalità di identità sta evolvendo, e perché le copie generate dall’AI di documenti legittimi sono particolarmente difficili da rilevare?

L’avvertimento delle autorità belghe riguardo alle 10.000 vittime è solo la punta dell’iceberg. Rivela che i criminali sono passati dalla semplice modifica dei documenti alla sintesi completa di identità.

Le copie generate dall’AI sono difficili da rilevare perché possono mimare i modelli di governo con precisione al livello dei pixel. La tecnologia di riconoscimento ottico dei caratteri (OCR) tradizionale si concentra sull’estrazione del testo, ma ignora l’integrità visiva dell’immagine. L’AI può ora replicare le caratteristiche di sicurezza che in precedenza richiedevano una presenza fisica per la verifica, rendendo un’immagine piatta di un documento una responsabilità piuttosto che una prova di identità.

Come si differenzia una copia generata dall’AI di un documento di identità rubato da una contraffazione convenzionale, un documento manipolato e un’identità completamente sintetica?

È importante distinguere tra questi metodi:

Contraffazione convenzionale: un documento di identità fisico contraffatto.

Documento manipolato: un documento di identità legittimo in cui sono stati alterati specifici campi (come un nome o una data di nascita).

Identità sintetica: una “persona di Frankenstein” costruita combinando dati reali rubati (come un numero di sicurezza sociale) con dettagli fabbricati.

Copia generata dall’AI: un documento deepfake creato da zero o da un modello rubato utilizzando reti avversarie generate (GAN). Questi spesso mancano di storia digitale e contengono artefatti forensi come le incoerenze del rumore del sensore che l’occhio umano non può vedere.

Shufti prevede che le copie deepfake dei documenti possano aumentare di quasi il 3.900% quest’anno. Quale attività sta guidando questa previsione, e quali assunzioni o limitazioni le organizzazioni dovrebbero comprendere quando interpretano i dati?

Ci aspettiamo un aumento del 3.900% nelle copie deepfake dei documenti perché l’AI ha reso la frode molto più facile da creare e scalare. I criminali non stanno più solo scambiando i volti nelle foto. Ora possono generare interi documenti di identità falsi che spesso sfuggono ai sistemi di verifica più vecchi.

È importante capire che questa previsione riflette quanto rapidamente la frode abilitata dall’AI sta crescendo, non solo quanti documenti falsi esistono. La sfida più grande è che molti sistemi di verifica dell’identità sono stati progettati anni fa e non possono rilevare le copie false generate dall’AI, come ologrammi realistici o morphing del viso. Di conseguenza, le identità false possono superare i controlli e rimanere nascoste nei database aziendali.

Molte aziende trattano ancora una fotografia o una scansione di un documento di identità come prova sufficiente di identità. Quali segnali dovrebbe esaminare un sistema di verifica moderno oltre le informazioni visibili sul documento?

Il cambiamento più grande è che le aziende non possono più affidarsi alle verifiche dei documenti tradizionali. Hanno bisogno di ciò che chiamiamo un approccio “Digital Eye”. Invece di leggere solo le informazioni sul documento, il sistema deve esaminare se il documento stesso è autentico.

Ciò significa cercare segnali sottili che gli esseri umani non possono facilmente rilevare, come se l’immagine è stata catturata da uno schermo, modelli di pixel insoliti, illuminazione incoerente o tracce lasciate dai generatori di immagini AI. Verifichiamo anche se parti del documento sono state copiate, spostate o alterate digitalmente, insieme a incoerenze nei metadati e nella qualità dell’immagine. Quando si combinano tutti questi segnali, si è molto più probabile rilevare documenti avanzati generati dall’AI che i sistemi di verifica più vecchi semplicemente accetterebbero come reali.

Hai sostenuto che la garanzia dell’identità dovrebbe essere continua e non limitata al processo di onboarding del cliente. Cosa significherebbe la verifica continua nella pratica, e come le aziende possono implementarla senza introdurre sorveglianza eccessiva, rischi per la privacy o attrito per il cliente?

L’era del “controllo una tantum” è finita. La garanzia continua dell’identità significa aggiornare il rischio dell’utente contro oltre 1.700 elenchi di controllo con la stessa frequenza di ogni 15 minuti per prevenire la “non conformità retroattiva”.

Per implementare questo senza attrito o rischi per la privacy, utilizziamo identità riutilizzabili legate ai dati biometrici (FastID). Una volta che un utente è stato verificato, può rivedere la verifica per azioni ad alto rischio (come ritiri di grandi somme) in meno di due secondi utilizzando solo una scansione facciale. Ciò elimina la necessità di caricare ripetutamente documenti mentre mantiene un alto livello di sicurezza.

I truffatori possono ora combinare documenti sintetici con scambi di volti, video deepfake, attacchi di iniezione e informazioni personali rubate. Come le piattaforme di identità dovrebbero collegare l’integrità del documento, la vitalità biometrica, l’intelligenza del dispositivo e l’analisi del comportamento per identificare questi attacchi coordinati?

I truffatori stanno diventando molto più sofisticati. Invece di utilizzare una sola tecnica, ora combinano documenti generati dall’AI, scambi di volti e attacchi di iniezione per bypassare i controlli di identità. È per questo che le aziende devono guardare all’intero quadro invece di affidarsi a un singolo passaggio di verifica.

Shufti fa questo attraverso la valutazione del rischio consapevole del contesto. Analizziamo il dispositivo utilizzato per rilevare emulatori o browser senza testa, verifichiamo che l’utente sia fisicamente presente con la rilevazione passiva della vitalità certificata iBeta Level 2, e cerchiamo modelli sospetti tra gli account analizzando i dati di identità, le impronte digitali del dispositivo e il comportamento dell’utente. Combinando questi segnali, è molto più facile identificare la frode prima che causi danni.

I modelli generativi continueranno a migliorare, mentre i truffatori possono deliberatamente comprimere, scansionare di nuovo o alterare i media sintetici per nascondere gli artefatti di manipolazione. Come i fornitori di verifica testano se i loro sistemi di rilevamento rimangono efficaci contro nuovi e precedentemente sconosciuti metodi di attacco?

La sfida è che la frode generata dall’AI evolve molto più velocemente dei cicli di testing della sicurezza tradizionale. I fornitori di verifica devono valutare continuamente i loro sistemi contro nuove tecniche di attacco invece di affidarsi ai dati storici. Ciò significa testare con documenti sintetici, immagini ricompressate, catture di schermo, attacchi di iniezione e altri media manipolati progettati per nascondere artefatti ovvi. L’attenzione si sta sempre più spostando dal rilevamento di un tipo specifico di deepfake all’identificazione di incoerenze tra più segnali, poiché tendono a rimanere più difficili per gli attaccanti da replicare man mano che l’AI generativa migliora.

I sistemi di verifica dell’identità possono creare conseguenze gravi quando rifiutano erroneamente utenti legittimi. Come gli sviluppatori dovrebbero misurare i falsi positivi, le prestazioni demografiche e l’accessibilità accanto all’accuratezza della rilevazione delle frodi?

L’accuratezza non dovrebbe essere solo questione di catturare i “cattivi”; è anche garantire un percorso senza attrito per i “buoni”. Nel nostro settore, ci concentriamo sul tasso di fallimento dell’estrazione (FTXR), che misura quanto spesso un sistema semplicemente non riesce a “leggere” un volto o un documento, e il tasso di non corrispondenza falsa (FNMR), dove gli utenti reali vengono rifiutati erroneamente. Secondo le fonti, le prestazioni di Shufti nel benchmark RIVR 2025 del DHS hanno dimostrato un tasso di fallimento dell’estrazione dello 0% su più dispositivi e un FNMR peggiore dello 0,68%.

Gli sviluppatori devono andare oltre le “medie di laboratorio” e misurare le prestazioni rispetto ai risultati demografici “peggiori”. Ciò significa testare specificamente per la coerenza tra diverse tonalità di pelle, strutture facciali e abbigliamento culturale. Raggiungiamo questo obiettivo addestrando la nostra AI su dataset globalmente diversificati contenenti milioni di frame. Una valutazione robusta non è completa fino a quando non si è dimostrato che il sistema è altrettanto preciso per un utente in una regione rurale con poca illuminazione quanto in un ambiente di laboratorio controllato. L’obiettivo è un Layer di Identità Unificato che rimane equo, inclusivo e accessibile a tutti.

Guardando avanti, tecnologie come i portafogli di identità digitali supportati dal governo, le credenziali verificabili criptograficamente e le identità legate ai dati biometrici renderanno eventualmente obsolete le immagini dei documenti caricati, o creeranno semplicemente un nuovo set di superfici di attacco?

Stiamo sicuramente andando verso un futuro in cui le persone non avranno bisogno di caricare foto dei loro documenti di identità così spesso. I portafogli di identità digitali supportati dal governo e le identità digitali attendibili rendono la verifica dell’identità molto più veloce e sicura perché consentono di verificare le informazioni direttamente, invece di affidarsi a un’immagine di un documento. Creano anche un’esperienza utente più fluida riducendo il tempo necessario per completare la verifica.

Tuttavia, ogni nuova tecnologia crea nuove opportunità per i criminali. Invece di contraffare documenti, gli attaccanti potrebbero cercare di rubare credenziali digitali, prendere il controllo degli account o dirottare identità attendibili. È per questo che le credenziali digitali da sole non sono sufficienti. È ancora importante confermare che la persona che utilizza l’identità è il legittimo proprietario, ad esempio attraverso la verifica biometrica e i controlli di vitalità. Il futuro della verifica dell’identità probabilmente combinerà credenziali digitali attendibili con i dati biometrici, creando più livelli di protezione invece di affidarsi a un singolo metodo. Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Shufti.