La nuova anatomia della frode d'identità

Come si sta evolvendo la frode

Nell'onboarding a distanza la frode d'identità era un tempo piuttosto rudimentale: la foto di un documento preso in prestito, o una scansione ritoccata con un programma di fotoritocco. Questi tentativi esistono ancora, ma non sono più tutto.

Oggi gli aggressori combinano più tecniche. A un documento contraffatto o alterato viene abbinato un volto che corrisponde, generato o scambiato con strumenti facilmente reperibili. L'immagine viene inserita nella sessione di verifica in modo da aggirare completamente la fotocamera del telefono. I dati personali provengono da violazioni precedenti, quindi nomi, indirizzi e date di nascita risultano coerenti con altri registri.

I flussi basati su un solo controllo non bastano più. Un flusso che legge soltanto un documento, o che confronta soltanto due foto, ha un unico punto debole, e la frode organizzata lo trova e ripete l'attacco su molti account.

Attacchi ai documenti

La frode documentale rientra in alcune grandi categorie, e ciascuna lascia tracce diverse.

• Contraffazioni. Un documento prodotto da zero per sembrare autentico. La qualità varia molto, dai falsi evidenti a modelli ben fatti venduti online.
• Documenti autentici alterati. Un documento vero con alcuni campi modificati, di solito nome, data di nascita, data di scadenza o ritratto. Il supporto fisico è autentico, ed è proprio questo a renderli convincenti.
• Documenti rubati o prestati. Autentici e non alterati, ma presentati da una persona diversa dal titolare.
• Documenti riutilizzati. Lo stesso documento, o la stessa immagine del documento, presentato su più account o servizi.

La verifica li intercetta in modi diversi. I controlli sul modello e sugli elementi di sicurezza confrontano il documento con ciò che l'emittente produce davvero. La zona a lettura ottica contiene cifre di controllo che devono concordare con i dati stampati, per cui una modifica fatta con poca cura spesso le invalida. Quando il documento ha un chip, la verifica NFC legge dati firmati dall'autorità emittente. Un aggressore può alterare la carta stampata, ma non può produrre una firma valida per dati del chip modificati. Il riutilizzo si scopre confrontando le nuove richieste con quelle già viste.

Un documento rubato ma autentico supera tutti questi controlli. Per questo il controllo del documento non è mai l'ultimo passaggio.

Attacchi con immagini e di presentazione

Documenti falsi, riproduzioni su schermo e volti sintetici prendono di mira i passaggi più deboli della verifica. Controlli su più livelli fanno salire il costo di ogni tentativo.

Sul fronte del volto, la tecnica più vecchia è l'attacco di presentazione: mostrare alla fotocamera qualcosa che non è una persona viva. Può essere una foto stampata, una foto o un video su un secondo schermo, una sagoma ritagliata con i fori al posto degli occhi o una maschera. Lo scopo è far corrispondere il selfie al ritratto del documento senza che il vero titolare sia presente.

Le riproduzioni su schermo sono frequenti perché costano poco: un video della vittima, spesso preso dai social media, viene riprodotto su un tablet tenuto davanti al telefono. Effetti moiré, bordi dello schermo, riflessi, una profondità innaturale e l'assenza di piccoli movimenti involontari sono i segnali tipici che la liveness detection cerca.

Il morphing è una variante più discreta. Due volti vengono fusi in un unico ritratto, così che il documento risultante possa essere usato da entrambe le persone. Un confronto facciale con un ritratto morphing può riuscire per tutte e due, ed è per questo che il rilevamento del morphing è un controllo a sé e non viene lasciato alla soglia del confronto.

Attacchi di iniezione e deepfake

Un attacco di iniezione salta la fotocamera. Invece di puntare un dispositivo verso uno schermo, l'aggressore inserisce immagini o video direttamente nella sessione di verifica, tramite una fotocamera virtuale, un'app modificata, un emulatore o un browser manipolato.

È un punto importante perché molti controlli contro gli attacchi di presentazione presuppongono che l'immagine provenga da un vero obiettivo puntato su una scena reale. Se è il flusso stesso a essere fabbricato, il contenuto può essere un deepfake che si muove, sbatte le palpebre e gira la testa su richiesta. Chiedere all'utente di sorridere o di guardare a sinistra serve a poco quando il volto viene generato in tempo reale. Riconoscere a occhio un deepfake ben fatto è più difficile di quanto si pensi: provate il nostro quiz vero o deepfake.

Difendersi dall'iniezione significa quindi controllare il canale di acquisizione tanto quanto l'immagine. Tra i segnali tipici: se la fotocamera è un dispositivo fisico, se la sessione mostra segni di emulazione o manomissione, e se la temporizzazione dei fotogrammi e le statistiche dell'immagine corrispondono a quelle di un vero sensore. Questi controlli affiancano la liveness, non la sostituiscono.

Identità sintetiche e riciclate

Un'identità sintetica viene costruita, non rubata. Mescola dati reali, come un indirizzo valido o l'identificativo di una persona esistente, con dettagli inventati. Col tempo può accumulare uno storico creditizio o una serie di account che la fanno sembrare consolidata.

Le identità sintetiche sono difficili da scoprire con i soli controlli sui dati, perché ogni singolo campo può risultare plausibile. Diventano più difficili da mantenere quando l'onboarding richiede un documento fisico autentico, un volto che corrisponde e la prova che è presente una persona reale. A quel punto l'aggressore ha bisogno di un documento vero per un'identità che non esiste, un ostacolo molto più alto.

Dove la verifica aiuta

Autenticità del documento, confronto facciale e liveness chiudono ciascuno una lacuna diversa. Insieme rendono molto più difficile organizzare frodi su larga scala.

Nessun livello è perfetto da solo. Il senso di combinarli è che un aggressore che supera un controllo deve comunque superare il successivo, e il costo di farlo su larga scala sale rapidamente. Per capire quanto vi costano oggi frodi e revisioni manuali, provate il calcolatore dei costi delle frodi.

Cosa decidere per il vostro flusso

Prima di scegliere strumenti o soglie, conviene mettersi d'accordo internamente su alcuni punti.

1. Quali attacchi vedete davvero. Analizzate i casi di frode passati. Un exchange di criptovalute e un gestore di parcheggi affrontano schemi diversi.
2. Quali controlli sono proporzionati. Un prelievo importante può giustificare un flusso più severo rispetto all'apertura di un account.
3. Cosa succede ai casi incerti. Decidete quali risultati passano alla revisione manuale e chi se ne occupa.
4. Come imparate dai rifiuti. Tenete traccia dei motivi per cui le sessioni falliscono, per distinguere uno schema di attacco da un problema di usabilità.
5. Per quanto tempo conservate le prove. Le indagini sulle frodi hanno bisogno di alcuni dati, ma conservare immagini più a lungo del necessario crea a sua volta un rischio.

secuveri esegue il controllo dei documenti con lettura del chip NFC dove disponibile, il confronto facciale, la liveness detection e segnali di frode per documenti manomessi e riutilizzati, riproduzioni su schermo, volti sintetici e flussi video iniettati o deepfake. Scegliete voi quali controlli eseguire in ogni flusso, e ogni risultato torna come approvato, da rivedere o respinto. I dati vengono trattati e conservati in Svizzera, con l'installazione on-premise come opzione.