Faryam Asif, Directeur technologique chez Shufti – Série d’interviews

Faryam Asif, Directeur technologique chez Shufti est un cadre technologique spécialisé dans la vérification d’identité alimentée par l’IA, la prévention de la fraude et l’intégration numérique sécurisée. Depuis son arrivée chez Shufti en tant que développeur logiciel en 2018, il a occupé plusieurs postes de direction avant de devenir Directeur technologique en 2025, supervisant la stratégie technologique de l’entreprise et le développement de sa plateforme mondiale de vérification d’identité. Il occupe également le poste de Directeur du développement chez Programmers Force, apportant une vaste expérience en ingénierie logicielle, développement de produits et leadership technologique.

Shufti est une plateforme mondiale de vérification d’identité et de conformité qui fournit des solutions KYC, KYB, AML et de prévention de la fraude alimentées par l’IA pour les institutions financières, les fintechs, les plateformes de cryptomonnaies, les places de marché et d’autres industries réglementées. Opérant dans plus de 240 pays et territoires, l’entreprise combine vérification biométrique, authentification de documents, détection de vivacité, et analyse de risque pilotée par l’IA pour aider les organisations à rationaliser l’intégration des clients, répondre aux exigences réglementaires et se défendre contre une fraude numérique de plus en plus sophistiquée.

Vous avez rejoint Shufti en 2018 en tant que développeur logiciel et avez depuis contribué à construire et à faire évoluer l’infrastructure de vérification d’identité de l’entreprise en une plateforme mondiale. Comment la nature de la fraude d’identité a-t-elle évolué pendant cette période, et quels changements ont été les plus surprenants du point de vue du leadership technologique ?

Lorsque j’ai rejoint Shufti en 2018 en tant que développeur logiciel, la plupart des tentatives de fraude étaient encore relativement manuelles. Nous faisions face à des documents modifiés, des attaques de présentation et des techniques de falsification assez basiques. Au cours des sept dernières années, j’ai vu la fraude évoluer d’une activité nécessitant un effort et une expertise considérables à quelque chose qui peut être généré à la demande grâce à l’IA.

Ce qui m’a le plus surpris, ce n’est pas seulement le niveau de sophistication de la fraude, mais sa facilité d’accès. L’IA générative a effectivement démocratisé la fraude. Des capacités qui nécessitaient auparavant des compétences spécialisées sont désormais accessibles via des outils grand public. Comme nous le soulignons dans notre Deepfake Fraud Index, la fraude se comporte de plus en plus comme un logiciel: une fois automatisée, elle peut se développer rapidement.

Deux développements se démarquent. Le premier est les attaques d’injection, où les attaquants contournent complètement la caméra et injectent du contenu synthétique directement dans le flux de vérification. Le second est la montée des identités synthétiques, où des personas générés par l’IA sont créés à grande échelle pour abuser des systèmes d’intégration, obtenir des services financiers ou faciliter le blanchiment d’argent. La frontière entre le contenu authentique et le contenu synthétique est devenue nettement plus difficile à tracer, et ce changement a fondamentalement modifié la manière dont la vérification d’identité doit être abordée.

Le Deepfake Fraud Index de Shufti prévoit que les deepfakes de documents pourraient augmenter de près de 3 900 % en 2026, en faisant la catégorie de fraude alimentée par l’IA à la croissance la plus rapide. Quels facteurs alimentent cette croissance explosive, et pourquoi les fraudeurs ciblent-ils de plus en plus les documents plutôt que les visages ou les flux vidéo ?

Notre Deepfake Fraud Index prévoit que les deepfakes de documents augmenteront de près de 3 900 % en 2026, ce qui en fait la catégorie de fraude alimentée par l’IA à la croissance la plus rapide. Cette croissance est alimentée par deux forces: l’avancement rapide de l’IA générative et l’accessibilité croissante d’outils qui permettent à presque n’importe qui de créer des documents falsifiés convaincants.

Ce qui nécessitait auparavant des compétences spécialisées en retouche peut désormais être réalisé grâce à des outils alimentés par l’IA capables de générer des passeports, permis de conduire, factures de services publics, relevés bancaires et autres documents d’intégration réalistes. Parallèlement, de nombreux systèmes de vérification hérités reposent encore fortement sur l’OCR et la correspondance de modèles. Ils peuvent lire le texte et valider la mise en page, mais ils peinent souvent à déterminer si le document lui‑même est authentique.

Les fraudeurs ciblent les documents car ils représentent la voie de moindre résistance. Contourner un système de vivacité moderne nécessite de franchir plusieurs couches de détection, alors que de nombreux flux de travail de documents restent dépendants de techniques de validation relativement simples. De plus, un document manipulé peut souvent être réutilisé dans plusieurs institutions et processus d’intégration, offrant un retour sur investissement bien plus élevé pour les attaquants.

La croissance que nous observons reflète en fin de compte l’économie de la fraude. Les attaquants ciblent constamment le contrôle le plus faible d’un processus de vérification, et pour de nombreuses organisations, les documents restent ce maillon le plus vulnérable.

Le rapport identifie les identités synthétiques comme la plus grande catégorie de fraude alimentée par l’IA, représentant plus de 40 % de l’activité frauduleuse liée à l’IA. Pourquoi les identités synthétiques sont-elles devenues un vecteur d’attaque aussi efficace, et qu’est-ce qui les rend particulièrement dangereuses pour les institutions financières et les plateformes de cryptomonnaies ?

Les identités synthétiques sont devenues efficaces parce qu’elles exploitent une faiblesse fondamentale de nombreux systèmes de vérification: elles semblent légitimes lorsque les points de données individuels sont évalués isolément.

Historiquement, les identités synthétiques combinaient souvent des informations réelles et fabriquées. Ce que nous observons de plus en plus aujourd’hui, ce sont des identités générées par l’IA construites autour de visages et de personas synthétiques qui n’ont jamais existé. Notre Deepfake Fraud Index a constaté que les identités synthétiques représentent 42,3 % de l’activité frauduleuse alimentée par l’IA, en faisant la plus grande catégorie de fraude d’identité alimentée par l’IA aujourd’hui.

Pour les institutions financières, les fintechs et les plateformes de cryptomonnaies, le risque est important car une intégration réussie offre souvent un accès immédiat à de la valeur financière. Une fois qu’une identité synthétique pénètre dans l’écosystème, elle peut être utilisée pour ouvrir des comptes, accéder au crédit, réclamer des incitations, déplacer des fonds ou faciliter des activités de blanchiment d’argent.

Ce qui rend les identités synthétiques particulièrement dangereuses, c’est leur persistance. La fraude traditionnelle est souvent détectée rapidement car elle implique une victime réelle. Les identités synthétiques peuvent rester actives pendant des mois, voire des années, avant d’être découvertes. Au moment où elles sont détectées, des pertes financières importantes peuvent déjà s’être produites, et il n’existe souvent aucune personne réelle derrière le compte à poursuivre.

Les plateformes d’échange de cryptomonnaies, les plateformes d’actifs numériques et les entreprises fintech s’appuient souvent fortement sur l’intégration à distance. Quels secteurs, selon vous, sont actuellement les plus exposés à la fraude d’identité alimentée par l’IA, et où les organisations sous-estiment-elles encore la menace ?

Les secteurs les plus exposés sont ceux qui combinent une intégration entièrement à distance avec un accès immédiat à de la valeur financière. Cela inclut les plateformes d’échange de cryptomonnaies, les plateformes d’actifs numériques, les banques digitales, les fintechs, les prêteurs en ligne, les fournisseurs de paiement « acheter maintenant, payer plus tard » et les opérateurs iGaming.

Le facteur commun est que réussir l’intégration donne accès à de l’argent, du crédit, des portefeuilles, des infrastructures de paiement ou des actifs transférables. Cela crée une forte incitation pour les attaquants.

Les organisations continuent de sous‑estimer la menace en s’appuyant sur des hypothèses de vérification héritées. Beaucoup pensent encore que si un document correspond à un modèle connu, il doit être authentique. Cette hypothèse devient de plus en plus dangereuse à une époque où l’IA peut générer à grande échelle des documents très convaincants.

Au-delà des secteurs à haut risque traditionnels, je pense également que les places de marché, les plateformes de l’économie de gig et les fournisseurs de finance intégrée sous‑estiment leur exposition. À mesure que les outils de fraude deviennent plus accessibles, toute plateforme qui repose sur l’établissement de confiance à distance devient une cible potentielle.

De nombreuses entreprises continuent de s’appuyer sur la vérification basée sur les selfies comme mesure de sécurité principale. Votre rapport soutient qu’un seul contrôle selfie n’est plus suffisant. Quelles vulnérabilités existent dans les flux de travail d’intégration traditionnels, et à quoi devrait ressembler la vérification d’identité moderne en 2026 ?

Un seul selfie n’est plus suffisant car l’IA peut générer à la demande des visages humains réalistes. Si l’intégration repose principalement sur un contrôle selfie, les organisations peuvent avoir une visibilité limitée sur le fait qu’elles interagissent avec une vraie personne, une falsification ou une identité totalement synthétique.

Les flux de travail d’intégration traditionnels restent vulnérables aux attaques de présentation, aux replays vidéo, aux deepfakes, aux échanges de visage, aux attaques d’injection et aux identités synthétiques qui combinent des visages générés par l’IA avec des documents manipulés. Les attaquants ne cherchent plus à tromper un seul contrôle ; ils conçoivent des attaques spécifiquement pour exploiter les faiblesses tout au long du processus d’intégration.

La vérification d’identité moderne doit être à plusieurs niveaux. Au lieu de se fier à un seul signal, les organisations devraient combiner des technologies anti‑spoofing certifiées telles que la détection de vivacité iBeta Niveau 3, la correspondance faciale, la vérification de documents, la détection d’attaques d’injection, l’intelligence des appareils, l’analyse comportementale et la vérification de bases de données autoritaires lorsque cela est possible.

L’objectif n’est pas simplement de déterminer si quelqu’un a l’air réel. L’objectif est d’établir si l’identité elle‑même est authentique, fiable et constamment liée à une vraie personne à travers plusieurs signaux indépendants.

La technologie des deepfakes progresse rapidement parallèlement aux modèles d’IA générative. Les systèmes de détection de fraude suivent-ils le rythme, ou entrons‑nous dans une période où les attaquants ont un avantage temporaire sur les défenseurs ?

Il s’agit bel et bien d’une course aux armements, et je serais prudent face à quiconque prétend que la bataille est déjà gagnée.

Les attaquants bénéficient certainement du rythme rapide de l’innovation en IA et de la disponibilité croissante des outils génératifs. Les organisations qui s’appuient sur des technologies de vérification héritées sont déjà désavantagées. Dans ces environnements, les attaquants ont souvent l’avantage.

Parallèlement, les systèmes de détection modernes évoluent rapidement. Dans l’ensemble du secteur, les approches médico-légales avancées deviennent de plus en plus efficaces pour identifier le contenu généré par l’IA en analysant les artefacts de génération, les signaux d’intégrité de capture, les schémas de compression, les incohérences biométriques et la provenance cryptographique.

La réalité est qu’aucune des deux parties ne possède un avantage permanent. Le succès dépend de l’adaptabilité. La prévention de la fraude ne peut plus compter sur des contrôles statiques ; elle nécessite des modèles de détection en évolution continue capables de répondre aux nouvelles techniques d’attaque dès leur apparition.

Le rapport met en avant trois principales méthodes d’attaque: les attaques de présentation, les attaques d’injection et la création d’identités synthétiques. Lequel de ces vecteurs d’attaque vous préoccupe le plus, et pourquoi ?

Si je devais en choisir un, ce serait la création d’identités synthétiques.

Les attaques de présentation et les attaques d’injection sont des menaces sérieuses, mais les identités synthétiques créent un problème plus profond et plus persistant car elles ciblent la couche d’identité elle‑même. L’objectif n’est pas simplement de contourner une session de vérification ; il s’agit d’établir une identité frauduleuse capable d’opérer au sein de l’écosystème financier pendant une période prolongée.

Une fois qu’une identité synthétique est intégrée avec succès, elle peut être utilisée pour obtenir du crédit, créer des comptes mule, déplacer des fonds illicites, exploiter des incitations et faciliter une criminalité financière plus large. Dans de nombreux cas, ces identités restent non détectées pendant de longues périodes car il n’existe aucune victime réelle signalant la fraude.

Ce qui me préoccupe le plus, c’est l’évolutivité. Associées à l’IA générative et aux systèmes d’intégration automatisés, les identités synthétiques peuvent être créées et déployées en grand nombre, créant des risques systémiques pour les institutions financières, les fintechs et les plateformes de cryptomonnaies.

À mesure que les actifs numériques deviennent plus courants et que la surveillance réglementaire augmente à l’échelle mondiale, comment voyez‑vous la fraude d’identité alimentée par l’IA impacter les exigences de conformité Know Your Customer (KYC) et Anti‑Money Laundering (AML) ?

La fraude alimentée par l’IA accélère le passage d’une vérification ponctuelle à une évaluation continue de la confiance.

Historiquement, le KYC était souvent considéré comme un exercice d’intégration. Cette approche devient moins efficace lorsque les identités synthétiques, les deepfakes et les documents générés par l’IA peuvent potentiellement passer les contrôles de vérification initiaux. Les organisations ont de plus en plus besoin de surveiller la confiance tout au long du cycle de vie du client.

En pratique, cela signifie un accent plus fort sur l’analyse comportementale, la surveillance des transactions, l’intelligence des appareils, le filtrage continu des sanctions et des personnes politiquement exposées (PEP), ainsi que la corrélation des risques entre comptes. Les programmes de conformité devront évaluer en continu si un compte reste digne de confiance après l’intégration.

Je crois également que les régulateurs exigeront de plus en plus que les organisations démontrent non seulement qu’une identité a été vérifiée, mais comment elle a été vérifiée. L’auditabilité des contrôles d’identité, incluant les preuves que les risques de fraude générés par l’IA ont été activement pris en compte et atténués, deviendra une partie de plus en plus importante des cadres de conformité KYC et AML.

Les régulateurs du monde entier commencent à aborder les risques associés au contenu généré par l’IA et à la fraude d’identité numérique. Quels changements réglementaires prévoyez‑vous avoir le plus grand impact sur les institutions financières, les fintechs et les entreprises de cryptomonnaies au cours des prochaines années ?

Les régulateurs commencent à dépasser le traitement de la fraude générée par l’IA comme un problème général de cybersécurité et l’abordent directement. Un exemple important est le AI Act de l’UE, qui introduit des obligations de transparence concernant le contenu généré et manipulé par l’IA. Je m’attends à ce que des cadres similaires émergent à l’échelle mondiale à mesure que les régulateurs reconnaissent que les deepfakes et les identités synthétiques créent des risques qui dépassent la gestion traditionnelle de la fraude.

J’anticipe également des exigences plus strictes en matière de sécurité biométrique, de détection des attaques de présentation et de contrôles anti‑spoofing. Des normes telles que iBeta et les cadres d’évaluation liés au NIST joueront probablement un rôle plus important dans la démonstration de la conformité et de l’efficacité de la gestion des risques.

Parallèlement, des réglementations sur la confidentialité telles que le RGPD et le CCPA continueront à pousser l’industrie vers la minimisation des données et les modèles de vérification d’identité préservant la vie privée. Cela pourrait accélérer l’adoption de portefeuilles d’identité numériques, de justificatifs réutilisables et de modèles de vérification basés sur les attributs qui permettent aux organisations de vérifier des affirmations spécifiques sans collecter de données personnelles inutiles.

Le résultat sera un environnement réglementaire plus mature où la sécurité, la confidentialité et la confiance devront être abordées simultanément.

En regardant trois à cinq ans dans le futur, croyez‑vous que l’industrie de la vérification d’identité finira par gagner la course aux armements contre la fraude générée par l’IA, ou la confiance numérique nécessitera‑t‑elle un modèle entièrement nouveau au‑delà des contrôles d’identité traditionnels ?

Je ne crois pas que l’industrie puisse vaincre la fraude générée par l’IA en s’appuyant uniquement sur la vérification traditionnelle basée sur les documents. La technologie continuera de s’améliorer et les attaquants continueront de s’adapter. Se fier uniquement aux contrôles de documents et à la vérification par selfie est peu susceptible de rester suffisant.

Ce que je crois, c’est que la confiance numérique évolue vers un modèle plus large et plus résilient. Le KYC traditionnel restera important, mais il sera de plus en plus soutenu par des identités numériques fiables, la biométrie, l’intelligence des appareils, l’analyse comportementale, les justificatifs cryptographiques et la surveillance continue des risques.

Nous voyons déjà des éléments de cet avenir à travers les programmes d’identité numérique soutenus par les gouvernements, les justificatifs réutilisables et les écosystèmes d’identité numérique fiables. Au lieu de vérifier à plusieurs reprises le même individu à l’aide de documents papier, les organisations s’appuieront de plus en plus sur des réseaux d’identité fiables qui offrent une assurance plus forte avec moins de friction.

L’avenir de la confiance numérique sera construit sur plusieurs couches d’assurance travaillant ensemble. L’IA générative n’élimine pas la confiance numérique ; elle oblige l’industrie à construire une version plus forte et plus résiliente. Les organisations qui réussiront seront celles qui évaluent continuellement la confiance tout au long du cycle de vie du client plutôt que de se fier à un seul événement de vérification.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter Shufti.