Deepfake-urile pot păcăli verificarea video la deschiderea contului. Biometria singură nu oprește frauda

Verificarea video folosită la deschiderea online a unui cont bancar poate fi păcălită cu un deepfake integrat într-o identitate sintetică, potrivit Playtech. Riscul nu se limitează la falsificarea feței: atacul poate combina date reale furate cu un document modificat, un telefon controlat de atacator, o adresă creată pentru fraudă și o imagine generată.

Deschiderea de la distanță a redus procesul de la câteva zile la câteva minute. Solicitantul fotografiază actul de identitate, face un selfie sau participă la un apel video, după care aplicația validează datele și compară fețele. Viteza procesului transformă însă fiecare etapă într-un posibil punct de intrare pentru fraudă.

Traseul are patru componente: colectarea datelor, validarea documentului, verificarea persoanei și activarea contului. Atacatorul poate căuta veriga cu cele mai slabe controale și poate folosi date provenite din breșe, imagini publice ori documente falsificate sau alterate.

Standardele moderne de identitate digitală tratează verificarea ca pe un ansamblu: rezoluția identității, validarea dovezilor, verificarea atributelor, legarea persoanei de dovezi și măsuri împotriva fraudei. Când una dintre piese ajunge să fie tratată ca probă decisivă, atacul nu mai trebuie să reproducă tot traseul, ci doar să treacă de semnalul în care sistemul are cea mai multă încredere.

Identitatea sintetică poate combina datele mai multor persoane

Furtul de identitate reproduce în principal profilul unei victime reale. Identitatea sintetică este fabricată, chiar dacă include fragmente autentice de la una sau mai multe persoane. O fotografie reală poate fi asociată unei adrese noi, iar datele dintr-un document pot fi legate de un număr de telefon și de o adresă de e-mail controlate de atacator.

În etapa de verificare video, deepfake-ul poate anima o fotografie, poate înlocui fața sau o poate suprapune peste imaginea celui care controlează sesiunea. Materialul nu trebuie să aibă calitatea unei producții video. Este suficient să reziste câteva secunde, în condițiile de compresie ale camerei, și să transmită algoritmului semnalele pe care acesta le așteaptă.

Primele verificări de prezență cereau solicitantului să clipească, să întoarcă capul sau să rostească o frază. Aceste probe pot opri folosirea unei fotografii statice, dar modelele video pot genera mișcări, sincroniza buzele și adapta iluminarea. Instrucțiunile previzibile îi permit materialului fals să ofere răspunsul cerut fără participarea persoanei din document.

Lecția identității sintetice este că o imagine convingătoare nu este o persoană. În finanțele digitale, identitatea trebuie demonstrată prin dovezi care se confirmă reciproc și continuă să aibă sens după apăsarea butonului de activare.

Fluxul fals poate ocoli camera telefonului

Atacurile de prezentare și cele de injecție folosesc trasee diferite. În primul caz, camera înregistrează un ecran, o fotografie sau o mască. În al doilea, fluxul video fals este introdus direct între punctul de captură și server, printr-o cameră virtuală sau printr-un dispozitiv compromis.

Injecția poate ocoli controalele construite pe presupunerea că fiecare cadru provine direct de la senzorul telefonului. Din acest motiv, asemănarea biometrică dintre două fețe nu demonstrează că persoana este prezentă, că actul este autentic sau că sesiunea nu a fost manipulată. Scorul biometric arată doar cât de asemănătoare sunt reprezentările faciale pentru modelul folosit.

Nici verificarea umană nu elimină riscul. Lumina slabă, compresia video și presiunea procesării rapide pot ascunde defectele imaginii. Pe măsură ce deepfake-urile se schimbă, operatorul are nevoie și de informații despre dispozitiv, canalul de transmisie, document și istoricul sesiunii, nu doar de fereastra apelului video.

Controlul trebuie să înceapă de la dispozitiv și document

O verificare în mai multe straturi urmărește atât persoana, cât și originea datelor transmise. Principalele controale descrise pentru etapa de dinaintea activării sunt:

• verificarea integrității dispozitivului și confirmarea că aplicația nu rulează pe un telefon compromis;
• confirmarea faptului că imaginile provin de la o cameră reală și circulă printr-un canal protejat;
• verificarea documentului ca obiect, prin structura sa, elementele optice și consistența câmpurilor;
• citirea cipului actului, atunci când documentul permite, pentru confirmarea datelor semnate criptografic și a fotografiei stocate de emitent;
• folosirea unor provocări faciale dinamice și variate, urmată de analiză umană când scorurile sunt la limită sau apar inconsecvențe.

O fotografie clară a unei cărți de identitate poate părea autentică, dar nu dovedește singură autenticitatea suportului. Din același motiv, algoritmii trebuie testați periodic cu forme actuale de atac, nu doar cu fotografii și înregistrări vechi. Un control eficient la lansare poate deveni insuficient după evoluția tehnicilor de falsificare.

Datele solicitantului pot fi confruntate cu surse autorizate și cu logica economică a cererii. Un număr de telefon foarte nou, o adresă utilizată de numeroase identități, neconcordanțele dintre locație și document sau un dispozitiv asociat mai multor solicitări sunt semnale care pot justifica verificări suplimentare. Niciunul nu ar trebui să provoace automat refuzul în toate cazurile.

Riscul continuă după activarea contului

Un cont obținut fraudulos nu este folosit obligatoriu pentru retrageri imediate. Atacatorul îl poate testa prin operațiuni mici și îl poate lăsa să acumuleze vechime, pentru ca profilul să pară legitim în relația cu alte servicii.

Ulterior, contul poate primi fonduri provenite din alte fraude, poate intermedia transferuri sau poate susține o solicitare de credit. Monitorizarea post-activare trebuie să urmărească abaterile față de scopul declarat, încasările rapide din numeroase surse și transferarea imediată a banilor către destinații riscante.

Evaluarea controalelor nu se poate opri la rata de aprobare a cererilor. Instituțiile financiare și furnizorii de verificare trebuie să urmărească mai mulți indicatori operaționali:

• fraudele descoperite după deschiderea contului;
• numărul persoanelor legitime respinse;
• durata procesului de revizuire;
• tipurile de atac care trec de fiecare furnizor.

Testarea prin scenarii realiste și evaluarea independentă pot arăta dacă soluția de verificare funcționează și dincolo de demonstrațiile comerciale. Contractele cu furnizorii trebuie să permită accesul la rezultate și la procedura prin care modelele sunt actualizate.

Controalele trebuie să permită revizuirea refuzurilor

Măsurile antifraudă trebuie aplicate proporțional și fără a transforma orice abatere tehnică într-un refuz. Persoanele cu dizabilități, camere slabe sau conexiuni instabile pot întâmpina dificultăți la verificare fără ca acestea să indice o fraudă. Modelele biometrice pot avea performanțe diferite între grupuri, iar deciziile de respingere trebuie să poată fi revizuite.

Un traseu alternativ, asistat de un operator și susținut de alte dovezi, păstrează accesul legitim la serviciile bancare. Operatorul trebuie să poată escalada o sesiune neobișnuită chiar și atunci când scorul automat este ridicat, deoarece biometria reprezintă un semnal, nu o dovadă infailibilă.

Dacă banca descrie verificarea facială drept dovadă infailibilă, clienții și angajații pot acorda prea multă încredere rezultatului. Asta mută atenția de la întregul lanț de verificare la un singur scor și deschide exact tipul de breșă pe care îl exploatează identitatea sintetică.

Semnalele pot veni și din afara sectorului bancar. Operatorii telecom pot identifica anumite schimbări riscante ale cartelei, furnizorii de identitate pot detecta reutilizarea dispozitivelor, iar platformele comerciale pot observa conturi care folosesc aceleași date logistice. Schimbul trebuie făcut în limitele legale și cu protejarea vieții private, deoarece colectarea nelimitată poate crea un risc suplimentar dacă informațiile sunt compromise.

Clienții pot limita expunerea datelor folosite la falsificare

Pentru utilizatori, riscul începe frecvent prin colectarea datelor și imaginilor necesare fraudei. Un mesaj care solicită refacerea urgentă a verificării printr-un link trebuie verificat direct în aplicația oficială a băncii sau prin numărul publicat de instituție. Copiile actelor, selfie-urile și înregistrările video nu trebuie trimise persoanelor care le solicită prin rețele sociale, deoarece materialul poate fi reutilizat după încheierea conversației.

Când există suspiciunea folosirii datelor personale, simpla schimbare a parolei nu acoperă riscul. Persoana afectată trebuie să anunțe banca, să verifice notificările și rapoartele disponibile pentru produsele financiare, să păstreze mesajele suspecte și să reclame documentul pierdut sau furat prin procedurile oficiale. Banca poate consemna posibilitatea unei uzurpări de identitate, ceea ce creează o urmă documentară și poate împiedica folosirea contului în alte fraude.

Datele biometrice cer un regim de protecție mai strict decât parolele. Instituțiile trebuie să limiteze perioada de păstrare, să protejeze șabloanele biometrice, să separe accesul la acestea și să explice scopul prelucrării. O parolă compromisă poate fi înlocuită, însă trăsăturile feței nu pot fi schimbate.

Parteneri

Articole recomandate din rețeaua noastră

News24Horoscop 24 septembrie 2026. Leu și Fecioară au de luat o decizie aziDolce SportASA Târgu Mureș a revenit de la 0-2 și a învins-o pe CS Dinamo cu 4-3 în Liga 2GetPonyUn plin de 50 de litri de motorină ajunge la 526 de lei în România, iar unul de benzină la 497 de leiBravonetHoroscop 24 septembrie 2026. Taur și Gemeni țin ritmul zilei din mersLylaHoroscop 24 septembrie 2026. Scorpion și Săgetător țin ritmul zileiRevista IoanaHoroscop 24 septembrie 2026. Vărsător și Pești au azi o decizie de luat