Shahid Hanif, VD och medgrundare av Shufti – Intervjuserie

Shahid Hanif, VD och medgrundare av Shufti, är en teknisk entreprenör med omfattande erfarenhet av att bygga plattformar för identitetsverifiering, fintech, blockchain och decentraliserad programvara. Han co-founded Shufti 2017 och tillbringade mer än sju år som Chief Technology Officer, ledde den interna utvecklingen av dess artificiell intelligens-drivna biometri- och dokumentverifieringsteknologi innan han blev VD i december 2024. Hanif är också grundare av Developers Studio, ett blockchain-utvecklingsföretag med mer än 100 specialister, och har tidigare varit CTO på Quickbit, där han hjälpte till att utveckla dess kryptobetalningsteknologi före bolagets notering. Tidigare co-founded han Programmers Force och hjälpte till att expandera mjukvaru- och data science-företaget till mer än 500 anställda på tio kontor på tre kontinenter.

Shufti är en artificiell intelligens-baserad plattform för identitetsverifiering som hjälper organisationer att etablera förtroende, förhindra bedrägeri och uppfylla kraven för Know Your Customer, Know Your Business och Anti-Money Laundering. Dess plattform kombinerar dokument- och biometri-verifiering, elektronisk identitetsverifiering, NFC-baserade kontroller, företagsverifiering, åldersgaranti, bedrägeridetektering, kontinuerlig övervakning och ärendehantering genom en enhetlig infrastruktur. Företaget stöder tusentals dokumenttyper och mer än 150 språk i över 240 länder och territorier, vilket möjliggör för företag att verifiera kunder och organisationer genom en enda global integration. Dess teknologi undersöker dokumentets äkthet, biometrisk livskraft, enhetsintelligens och andra riskfaktorer för att upptäcka förfalskade dokument, deepfakes, kontomanipulation och koordinerade identitetsattacker.

När du co-founded Shufti 2017, ledde du initialt företagets teknikutveckling som Chief Technology Officer innan du blev VD 2024. Vilka brister i digital identitetsverifiering motiverade dig att bygga plattformen, och hur har din förståelse av problemet förändrats med framväxten av generativ AI?

När vi co-founded Shufti 2017, var de största utmaningarna långsamma verifieringar, för mycket manuellt arbete och system som inte fungerade bra över olika länder. Många identitetsverifieringslösningar var inkonsekventa, särskilt inom högriskindustrier. De hade också svårt att verifiera dokument på icke-latiniska språk och kunde inte tillförlitligt verifiera identiteter från hela världen.

Idag har generativ AI förändrat problemet. Det handlar inte längre bara om att läsa en ID-handling. Det handlar om att veta om dokumentet och personen som presenterar det är äkta. AI har gjort identitetsbedrägeri snabbare, billigare och mycket enklare att skala. Vi har lärt oss att verifiera någon en gång under onboarding inte längre räcker. Företag behöver nu AI som kan upptäcka även de mest avancerade falska dokument och identiteter.

Belgiska myndigheter varnade nyligen att mer än 10 000 personer blev offer för AI-aktiverat identitetsbedrägeri under det senaste året. Vad avslöjar detta fall om hur snabbt identitetsbrott utvecklas, och varför är AI-genererade kopior av legitima dokument särskilt svåra att upptäcka?

Varningen från belgiska myndigheter om 10 000 offer är bara toppen av isberget. Det avslöjar att kriminella har flyttat från grundläggande dokumentredigering till fullskalig identitetssyntes.

AI-genererade kopior är svåra att upptäcka eftersom de kan imitera regeringsmallar med pixelnoggrannhet. Traditionell OCR (Optical Character Recognition) fokuserar på att extrahera text, men ignorerar den visuella integriteten hos bilden. AI kan nu replikera säkerhetsfunktioner som tidigare krävde fysisk närvaro för att verifiera, vilket gör en platt bild av ett dokument till en skuld snarare än ett bevis på identitet.

Hur skiljer sig en AI-genererad kopia av ett stulet identitetsdokument från en konventionell förfalskning, en manipulerad handling och en fullständigt syntetisk identitet?

Det är viktigt att skilja mellan dessa metoder:

Konventionell förfalskning: En fysisk förfalskad handling.

Manipulerad handling: En legitim ID där specifika fält (som namn eller födelsedatum) har ändrats.

Syntetisk identitet: En “Frankenstein”-persona byggd genom att kombinera stulen verklig data (som ett personnummer) med fabricerade detaljer.

AI-genererad kopia: En deepfake-dokument skapad från scratch eller ett stulet mall med hjälp av Generative Adversarial Networks (GANs). Dessa saknar ofta digital historia och innehåller forensiska artefakter som sensorbrusinkonsekvenser som det mänskliga ögat inte kan se.

Shufti förutspår att dokumentdeepfakes kan öka med nästan 3 900 % i år. Vilken aktivitet driver denna prognos, och vilka antaganden eller begränsningar bör organisationer förstå när de tolkar den?

Vi förutspår en ökning på 3 900 % i dokumentdeepfakes eftersom AI har gjort bedrägeri mycket enklare att skapa och skala. Kriminella är inte längre bara utbytt ansikten i foton. De kan nu generera hela falska identitetsdokument som ofta slipper förbi äldre verifieringssystem.

Det är viktigt att förstå att denna prognos reflekterar hur snabbt AI-aktiverat bedrägeri växer, inte bara hur många falska dokument som finns. Den största utmaningen är att många identitetsverifieringssystem utvecklades för år sedan och kan inte upptäcka avancerade AI-genererade falska dokument, såsom realistiska hologram eller ansiktsmorfningsattacker. Som ett resultat kan falska identiteter komma igenom kontroller och förbli dolda i företagsdatabaser.

Många företag behandlar fortfarande en fotografi eller skanning av ett identitetsdokument som tillräckligt bevis på identitet. Vilka signaler bör ett modernt verifieringssystem undersöka utöver den synliga informationen på dokumentet?

Den största förändringen är att företag inte längre kan lita på traditionella dokumentkontroller. De behöver vad vi kallar en “Digital Eye”-ansats. Istället för att bara läsa informationen på en ID, måste systemet undersöka om dokumentet i sig är äkta.

Det innebär att leta efter subtila tecken som människor inte lätt kan upptäcka, som om bilden togs från en skärm, ovanliga pixelmönster, inkonsekvent belysning eller spår som lämnats av AI-bildgenererare. Vi undersöker också om delar av dokumentet har kopierats, flyttats eller digitalt ändrats, samt inkonsekvenser i metadata och bildkvalitet. När du kombinerar alla dessa signaler är du mycket mer benägen att upptäcka avancerade AI-genererade dokument som äldre verifieringssystem skulle acceptera som äkta.

Du har hävdat att identitetssäkerhet bör vara kontinuerlig snarare än begränsad till kundonboarding. Vad skulle kontinuerlig verifiering se ut i praktiken, och hur kan företag implementera den utan att införa överdriven övervakning, integritetsrisker eller kundfriction?

Eran för “en-gångs-kontrollen” är över. Kontinuerlig identitetssäkerhet innebär att uppdatera användarrisk mot 1 700+ övervakningslistor så ofta som var 15:e minut för att förhindra “retroaktiv icke-efterlevnad”.

För att implementera detta utan friktion eller integritetsrisker använder vi biometri-bundna återanvändbara identiteter (FastID). När en användare är verifierad kan de återverifiera för högriskåtgärder (som stora uttag) på under två sekunder med hjälp av endast en ansiktsavbild. Detta eliminerar behovet av upprepade dokumentuppladdningar samtidigt som det upprätthåller en hög säkerhetsnivå.

Bedragare kan nu kombinera syntetiska dokument med ansiktsbyten, deepfake-video, injektionsattacker och stulen personlig information. Hur bör identitetsplattformar koppla samman dokumentintegritet, biometrisk livskraft, enhetsintelligens och beteendeanalys för att identifiera dessa koordinerade attacker?

Bedragare blir alltmer sofistikerade. Istället för att använda en enda teknik kombinerar de nu AI-genererade dokument, ansiktsbyten och injektionsattacker för att kringgå identitetskontroller. Det är därför företag behöver se på helhetsbilden snarare än att lita på en enda verifieringssteg.

Hos Shufti gör vi detta genom kontextmedveten riskbedömning. Vi analyserar enheten som används för att upptäcka emulatorer eller headless-webbläsare, verifierar att användaren är fysiskt närvarande med iBeta Level 2-certifierad passiv livskraftsdetektering och letar efter misstänkta mönster över konton genom att analysera identitetsdata, enhetsfingeravtryck och användarbeteende. Att kombinera dessa signaler gör det mycket enklare att identifiera bedrägeri innan det orsakar skada.

Generativa modeller kommer att fortsätta förbättras, medan bedragare kan medvetet komprimera, skanna om eller ändra syntetisk media för att dölja manipuleringsartefakter. Hur testar verifieringsleverantörer om deras upptäktssystem förblir effektiva mot nya och tidigare osedda attackmetoder?

Utmaningen är att AI-genererat bedrägeri utvecklas mycket snabbare än traditionella säkerhetstestcykler. Verifieringsleverantörer behöver kontinuerligt utvärdera sina system mot nya attacktekniker snarare än att lita på historiska dataset. Det innebär att testa med syntetiska dokument, rekompilerade bilder, skärmåterfångster, injektionsattacker och annan manipulerad media som är utformad för att dölja uppenbara artefakter. Alltmer fokuseras på att identifiera inkonsekvenser över flera signaler, eftersom dessa tenderar att förbli svårare för angripare att replikera när generativ AI förbättras.

Identitetsverifieringssystem kan skapa allvarliga konsekvenser när de felaktigt avvisar legitima användare. Hur bör utvecklare mäta falska positiva, demografisk prestanda och tillgänglighet bredvid bedrägeridetekteringsnoggrannhet?

Noggrannhet bör inte bara handla om att fånga “de dåliga killarna”; det handlar om att säkerställa en friktionsfri väg för “de bra killarna”. I vår bransch fokuserar vi på Failure to Extract Rate (FTXR) – som mäter hur ofta ett system helt enkelt misslyckas med att “läsa” ett ansikte eller dokument – och False Non-Match Rate (FNMR), där äkta användare felaktigt avvisas. Enligt källorna visade Shuftis prestanda i DHS RIVR 2025 Benchmark en 0% extraktionsfel över flera enheter och en sämsta FNMR under 0,68%.

Utvecklare måste gå utöver “lab-genomsnitt” och mäta prestanda mot “sämsta” demografiska resultat. Det innebär att testa specifikt för konsekvens över olika hudtoner, ansiktsstrukturer och kulturell klädsel. Vi uppnår detta genom att träna vår AI på globalt diversifierade dataset som innehåller miljontals ramar. En robust utvärdering är inte komplett tills du har bevisat att ditt system är lika exakt för en användare i en rural region med dålig belysning som det är i en kontrollerad kontorsmiljö. Målet är ett enhetligt identitetslager som förblir rättvist, inkluderande och tillgängligt för alla.

Om man ser framåt, kommer teknologier som regeringsbackade digitala identitetsplånböcker, kryptografiskt verifierbara krediter och biometri-bundna identiteter att göra det möjligt att göra uppladdade dokumentbilder föråldrade, eller kommer de att skapa en ny uppsättning attackytor?

Vi är definitivt på väg mot en framtid där människor inte behöver ladda upp foton av sina identitetsdokument lika ofta. Regeringsbackade digitala identitetsplånböcker och betrodda digitala ID gör det möjligt att bevisa sin identitet mycket snabbare och säkrare eftersom de tillåter information att verifieras direkt, snarare än att lita på en bild av ett dokument. De skapar också en smidigare användarupplevelse genom att minska den tid det tar att slutföra verifieringen.

Det sagt, varje ny teknik skapar nya möjligheter för kriminella. Istället för att förfalska dokument kan angripare försöka stjäla digitala krediter, ta över konton eller kapning av betrodda identiteter. Det är därför digitala krediter inte räcker. Det är fortfarande viktigt att bekräfta att personen som använder identiteten är den legitima ägaren, till exempel genom biometrisk verifiering och livskraftskontroller. Framtiden för identitetsverifiering kommer sannolikt att kombinera betrodda digitala krediter med biometri, vilket skapar flera lager av skydd snarare än att lita på en enda metod. Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka Shufti.