Shahid Hanif, CEO e Co-Fundador da Shufti – Série de Entrevistas

Shahid Hanif, CEO e Co-Fundador da Shufti, é um empreendedor de tecnologia com experiência extensa em construir plataformas de verificação de identidade, fintech, blockchain e software descentralizado. Ele co-fundou a Shufti em 2017 e passou mais de sete anos como Diretor de Tecnologia, liderando o desenvolvimento interno de sua tecnologia de verificação de biometria e documento impulsionada por inteligência artificial antes de se tornar CEO em dezembro de 2024. Hanif também é o fundador da Developers Studio, uma empresa de desenvolvimento de blockchain com mais de 100 especialistas, e anteriormente atuou como CTO da Quickbit, onde ajudou a desenvolver sua tecnologia de pagamento de criptomoedas antes da oferta pública inicial da empresa. Anteriormente, ele co-fundou a Programmers Force e ajudou a expandir a empresa de software e ciência de dados para mais de 500 funcionários em dez escritórios em três continentes.

Shufti é uma plataforma de verificação de identidade impulsionada por inteligência artificial que ajuda as organizações a estabelecer confiança, prevenir fraude e atender aos requisitos de Conheça Seu Cliente, Conheça Seu Negócio e Combate à Lavagem de Dinheiro. Sua plataforma reúne verificação de documento e biometria, verificação de identidade eletrônica, verificações baseadas em NFC, verificação de negócios, garantia de idade, detecção de fraude, monitoramento contínuo e gerenciamento de casos por meio de uma infraestrutura unificada. A empresa suporta milhares de tipos de documentos e mais de 150 idiomas em mais de 240 países e territórios, permitindo que as empresas verifiquem clientes e organizações por meio de uma única integração global. Sua tecnologia examina a autenticidade do documento, a vivacidade biométrica, a inteligência do dispositivo e outros sinais de risco para detectar documentos forjados, deepfakes, manipulação de contas e ataques de identidade coordenados.

Quando você co-fundou a Shufti em 2017, você inicialmente liderou o desenvolvimento de tecnologia da empresa como Diretor de Tecnologia antes de se tornar CEO em 2024. Quais foram as deficiências na verificação de identidade digital que originalmente o motivaram a construir a plataforma, e como sua compreensão do problema mudou com o surgimento da inteligência artificial geradora?

Quando co-fundamos a Shufti em 2017, os principais desafios eram a verificação lenta, o trabalho manual excessivo e os sistemas que não funcionavam bem em diferentes países. Muitas soluções de verificação de identidade eram inconsistentes, especialmente em setores de alto risco. Elas também lutavam para verificar documentos em idiomas não latinos e não podiam verificar identidades de todo o mundo de forma confiável.

Hoje, a inteligência artificial geradora mudou o problema. Já não é apenas sobre ler um documento de identidade. É sobre saber se o documento e a pessoa que o apresenta são reais. A IA tornou a fraude de identidade mais rápida, mais barata e muito mais fácil de escalar. Aprendemos que verificar alguém uma vez durante o processo de onboarding não é mais suficiente. As empresas agora precisam de IA que possa detectar até os documentos e identidades falsas mais avançados.

As autoridades belgas recentemente alertaram que mais de 10.000 pessoas foram vítimas de fraude de identidade habilitada por IA nos últimos 12 meses. O que esse caso revela sobre como a fraude de identidade está evoluindo rapidamente, e por que as cópias de documentos legítimos geradas por IA são especialmente difíceis de detectar?

O alerta das autoridades belgas sobre 10.000 vítimas é apenas a ponta do iceberg. Isso revela que os criminosos mudaram da edição básica de documentos para a síntese de identidade em larga escala.

As cópias geradas por IA são difíceis de detectar porque podem imitar modelos de governo com precisão de pixel. A OCR (Reconhecimento Óptico de Caracteres) tradicional se concentra em extrair texto, mas ignora a integridade visual da imagem. A IA agora pode replicar recursos de segurança que anteriormente exigiam presença física para verificar, tornando uma imagem plana de um documento uma responsabilidade em vez de uma prova de identidade.

Como uma cópia gerada por IA de um documento de identidade roubado difere de uma falsificação convencional, um documento manipulado e uma identidade totalmente sintética?

É importante distinguir entre esses métodos:

Falsificação Convencional: Um documento físico falsificado.

Documento Manipulado: Um ID legítimo onde campos específicos (como nome ou data de nascimento) foram alterados.

Identidade Sintética: Uma “persona” de “Frankenstein” construída combinando dados reais roubados (como um número de seguridade social) com detalhes fabricados.

Cópia Gerada por IA: Um documento deepfake criado do zero ou a partir de um modelo roubado usando Redes Adversárias Geradoras (GANs). Esses frequentemente carecem de história digital e contêm artefatos forenses como inconsistências de ruído do sensor que o olho humano não pode ver.

A Shufti projeta que as cópias de documentos deepfakes podem aumentar quase 3.900% este ano. Qual atividade está impulsionando essa projeção, e quais suposições ou limitações as organizações devem entender ao interpretá-la?

Expectamos um aumento de 3.900% nas cópias de documentos deepfakes porque a IA tornou a fraude muito mais fácil de criar e escalar. Os criminosos não estão apenas trocando faces em fotos. Eles agora podem gerar documentos de identidade falsos inteiros que frequentemente passam por sistemas de verificação mais antigos.

É importante entender que essa projeção reflete como a fraude impulsionada por IA está crescendo rapidamente, e não apenas quantos documentos falsos existem. O maior desafio é que muitos sistemas de verificação de identidade foram projetados anos atrás e não podem detectar falsos avançados gerados por IA, como hologramas realistas ou morphing de faces. Como resultado, identidades falsas podem passar por verificações e permanecer ocultas em bancos de dados de empresas.

Muitas empresas ainda tratam uma fotografia ou digitalização de um documento de identidade como prova suficiente de identidade. Quais sinais um sistema de verificação moderno deve examinar além das informações visíveis no documento?

A maior mudança é que as empresas não podem mais confiar em verificações de documento tradicionais. Elas precisam do que chamamos de abordagem “Olho Digital”. Em vez de apenas ler as informações no ID, o sistema deve examinar se o documento em si é genuíno.

Isso significa procurar sinais sutis que os humanos não podem facilmente detectar, como se a imagem foi capturada de uma tela, padrões de pixels incomuns, iluminação inconsistente ou vestígios deixados por geradores de imagem de IA. Também verificamos se partes do documento foram copiadas, movidas ou alteradas digitalmente, juntamente com inconsistências em metadados e qualidade de imagem. Quando você combina todos esses sinais, é muito mais provável detectar documentos avançados gerados por IA que sistemas de verificação mais antigos simplesmente aceitariam como reais.

Você argumentou que a garantia de identidade deve ser contínua e não limitada ao onboarding do cliente. Como a verificação contínua funcionaria na prática, e como as empresas podem implementá-la sem introduzir vigilância excessiva, riscos de privacidade ou fricção para o cliente?

A era da “verificação única” acabou. A Garantia de Identidade Contínua significa atualizar o risco do usuário contra 1.700+ listas de vigilância com tanta frequência quanto a cada 15 minutos para prevenir a “não conformidade retroativa”.

Para implementar isso sem fricção ou riscos de privacidade, usamos identidades reutilizáveis vinculadas a biometria (FastID). Uma vez que um usuário é verificado, ele pode reverificar para ações de alto risco (como grandes retiradas) em menos de dois segundos usando apenas uma digitalização facial. Isso elimina a necessidade de uploads repetidos de documentos enquanto mantém uma postura de segurança alta.

Os fraudadores agora podem combinar documentos sintéticos com trocas de faces, vídeos deepfakes, ataques de injeção e informações pessoais roubadas. Como as plataformas de identidade devem conectar a integridade do documento, a vivacidade biométrica, a inteligência do dispositivo e a análise comportamental para identificar esses ataques coordenados?

Os fraudadores estão se tornando muito mais sofisticados. Em vez de usar apenas uma técnica, eles agora combinam documentos gerados por IA, trocas de faces e ataques de injeção para bypassar verificações de identidade. É por isso que as empresas precisam olhar para o quadro completo em vez de confiar em um único passo de verificação.

Na Shufti, fazemos isso por meio de pontuação de risco consciente do contexto. Analisamos o dispositivo sendo usado para detectar emuladores ou navegadores headless, verificamos que o usuário está fisicamente presente com detecção de vivacidade passiva certificada iBeta Nível 2, e procuramos padrões suspeitos em contas analisando dados de identidade, impressões digitais de dispositivos e comportamento do usuário. Combinar esses sinais torna muito mais fácil identificar a fraude antes que cause danos.

Os modelos geradores continuarão a melhorar, enquanto os fraudadores podem comprimir, digitalizar ou alterar mídia sintética para esconder artefatos de manipulação. Como os provedores de verificação testam se seus sistemas de detecção permanecem eficazes contra novos e anteriormente não vistos métodos de ataque?

O desafio é que a fraude gerada por IA evolui muito mais rápido do que os ciclos de teste de segurança tradicionais. Os provedores de verificação precisam avaliar continuamente seus sistemas contra novas técnicas de ataque em vez de confiar em conjuntos de dados históricos. Isso significa testar com documentos sintéticos, imagens recomprimidas, capturas de tela, ataques de injeção e outros meios de comunicação manipulados projetados para esconder artefatos óbvios. Cada vez mais, o foco está mudando de detectar um tipo específico de deepfake para identificar inconsistências em vários sinais, pois esses tendem a permanecer mais difíceis para os atacantes replicar à medida que a IA geradora melhora.

Os sistemas de verificação de identidade podem criar consequências graves quando rejeitam incorretamente usuários legítimos. Como os desenvolvedores devem medir falsos positivos, desempenho demográfico e acessibilidade ao lado da precisão de detecção de fraude?

A precisão não deve ser apenas sobre capturar os “maus caras”; é sobre garantir um caminho sem fricção para os “bons caras”. Em nossa indústria, nos concentramos na Taxa de Falha de Extração (FTXR) – que mede com que frequência um sistema simplesmente falha em “ler” um rosto ou documento – e a Taxa de Falsa Não-Coincidência (FNMR), onde usuários genuínos são rejeitados incorretamente. De acordo com as fontes, o desempenho da Shufti no Benchmark RIVR 2025 do DHS demonstrou uma taxa de falha de extração de 0% em vários dispositivos e uma FNMR pior caso abaixo de 0,68%.

Os desenvolvedores devem ir além das “médias de laboratório” e medir o desempenho contra resultados demográficos “pior caso”. Isso significa testar especificamente para consistência em tons de pele diversificados, estruturas faciais e trajes culturais. Conseguimos isso treinando nossa IA em conjuntos de dados globalmente diversificados que contêm milhões de frames. Uma avaliação robusta não está completa até que você tenha provado que seu sistema é tão preciso para um usuário em uma região rural com iluminação pobre quanto em um ambiente de escritório controlado. O objetivo é uma Camada de Identidade Unificada que permaneça justa, inclusiva e acessível a todos.

Olhando para o futuro, tecnologias como carteiras de identidade digital apoiadas pelo governo, credenciais verificáveis criptograficamente e identidades vinculadas a biometria eventualmente tornarão as imagens de documentos carregados obsoletas, ou simplesmente criarão um novo conjunto de superfícies de ataque?

Definitivamente estamos nos movendo em direção a um futuro onde as pessoas não precisarão carregar fotos de seus documentos de identidade com tanta frequência. As carteiras de identidade digital apoiadas pelo governo e as identidades digitais confiáveis tornam provar a identidade muito mais rápido e seguro porque permitem que as informações sejam verificadas diretamente, em vez de confiar em uma imagem de um documento. Elas também criam uma experiência de usuário mais suave, reduzindo o tempo necessário para concluir a verificação.

No entanto, toda nova tecnologia cria novas oportunidades para os criminosos. Em vez de forjar documentos, os atacantes podem tentar roubar credenciais digitais, tomar conta de contas ou sequestrar identidades confiáveis. É por isso que as credenciais digitais por si só não são suficientes. Ainda é importante confirmar que a pessoa usando a identidade é o proprietário legítimo, por exemplo, por meio de verificação biométrica e verificações de vivacidade. O futuro da verificação de identidade provavelmente combinará credenciais digitais confiáveis com biometria, criando múltiplas camadas de proteção em vez de confiar em um único método. Obrigado pela ótima entrevista, leitores que desejam aprender mais devem visitar Shufti.