Faryam Asif, Chief Technology Officer di Shufti – Seri Wawancara

Faryam Asif, Chief Technology Officer at Shufti adalah eksekutif teknologi yang berspesialisasi dalam verifikasi identitas berbasis AI, pencegahan penipuan, dan onboarding digital yang aman. Sejak bergabung dengan Shufti sebagai pengembang perangkat lunak pada tahun 2018, ia telah menempuh berbagai peran kepemimpinan sebelum menjadi Chief Technology Officer pada tahun 2025, mengawasi strategi teknologi perusahaan dan pengembangan platform verifikasi identitas globalnya. Ia juga menjabat sebagai Chief Development Officer di Programmers Force, membawa pengalaman luas dalam rekayasa perangkat lunak, pengembangan produk, dan kepemimpinan teknologi.

Shufti adalah platform verifikasi identitas dan kepatuhan global yang menyediakan solusi KYC, KYB, AML, dan pencegahan penipuan berbasis AI untuk lembaga keuangan, fintech, platform cryptocurrency, pasar, dan industri lain yang diatur. Beroperasi di lebih dari 240 negara dan wilayah, perusahaan menggabungkan verifikasi biometrik, otentikasi dokumen, deteksi keberlangsungan hidup, dan analisis risiko berbasis AI untuk membantu organisasi menyederhanakan proses onboarding pelanggan, memenuhi persyaratan regulasi, dan melindungi dari penipuan digital yang semakin canggih.

Anda bergabung dengan Shufti pada 2018 sebagai pengembang perangkat lunak dan sejak itu membantu membangun serta memperluas infrastruktur verifikasi identitas perusahaan menjadi platform global. Bagaimana sifat penipuan identitas telah berkembang selama periode tersebut, dan perubahan apa yang paling mengejutkan dari perspektif kepemimpinan teknologi?

Ketika saya bergabung dengan Shufti pada 2018 sebagai pengembang perangkat lunak, sebagian besar upaya penipuan masih relatif manual. Kami menangani dokumen yang diedit, serangan presentasi, dan teknik spoofing yang cukup dasar. Selama tujuh tahun terakhir, saya menyaksikan penipuan berkembang dari sesuatu yang memerlukan upaya dan keahlian signifikan menjadi sesuatu yang dapat dihasilkan secara permintaan menggunakan AI.

Yang paling mengejutkan saya bukan hanya seberapa canggih penipuan menjadi, tetapi seberapa mudah diaksesnya. AI generatif secara efektif mendemokratisasi penipuan. Kemampuan yang dulu memerlukan keahlian khusus kini tersedia melalui alat konsumen. Seperti yang kami soroti dalam Deepfake Fraud Index kami, penipuan semakin berperilaku seperti perangkat lunak: begitu dapat diotomatisasi, ia dapat berkembang dengan cepat.

Dua perkembangan menonjol. Yang pertama adalah serangan injeksi, di mana penyerang melewati kamera sepenuhnya dan memasukkan konten sintetis langsung ke aliran verifikasi. Yang kedua adalah meningkatnya identitas sintetis, di mana persona yang dihasilkan AI dibuat secara massal untuk menyalahgunakan sistem onboarding, memperoleh layanan keuangan, atau memfasilitasi pencucian uang. Garis antara konten asli dan sintetis menjadi jauh lebih sulit dibedakan, dan perubahan itu secara fundamental mengubah cara verifikasi identitas harus dilakukan.

Deepfake Fraud Index milik Shufti memperkirakan bahwa deepfake dokumen dapat melonjak hampir 3.900% pada 2026, menjadikannya kategori penipuan berbasis AI yang tumbuh paling cepat. Faktor apa yang mendorong pertumbuhan eksplosif ini, dan mengapa penipu semakin menargetkan dokumen daripada wajah atau aliran video?

Deepfake Fraud Index kami memperkirakan deepfake dokumen akan meningkat hampir 3.900% pada 2026, menjadikannya kategori penipuan berbasis AI yang tumbuh paling cepat. Pertumbuhan ini didorong oleh dua faktor: kemajuan cepat AI generatif dan meningkatnya aksesibilitas alat yang memungkinkan hampir siapa saja membuat dokumen palsu yang meyakinkan.

Apa yang dulu memerlukan keahlian penyuntingan khusus kini dapat dicapai melalui alat berbasis AI yang mampu menghasilkan paspor, SIM, tagihan utilitas, laporan bank, dan dokumen onboarding lainnya yang realistis. Pada saat yang sama, banyak sistem verifikasi lama masih sangat bergantung pada OCR dan pencocokan templat. Mereka dapat membaca teks dan memvalidasi tata letak, tetapi sering kesulitan menentukan apakah dokumen itu sendiri autentik.

Penipu menargetkan dokumen karena itu merupakan jalur dengan hambatan paling rendah. Mengalahkan sistem liveness modern memerlukan mengatasi banyak lapisan deteksi, sementara banyak alur kerja dokumen masih bergantung pada teknik validasi yang relatif sederhana. Selain itu, dokumen yang dimanipulasi sering dapat digunakan kembali di berbagai institusi dan alur onboarding, memberikan pengembalian investasi yang jauh lebih tinggi bagi penyerang.

Pertumbuhan yang kami lihat pada akhirnya mencerminkan ekonomi penipuan. Penyerang secara konsisten menargetkan kontrol terlemah dalam proses verifikasi, dan bagi banyak organisasi, dokumen tetap menjadi tautan terlemah tersebut.

Laporan mengidentifikasi identitas sintetis sebagai kategori terbesar penipuan berbasis AI, menyumbang lebih dari 40% aktivitas penipuan AI. Mengapa identitas sintetis menjadi vektor serangan yang begitu efektif, dan apa yang membuatnya terutama berbahaya bagi institusi keuangan dan platform kripto?

Identitas sintetis menjadi efektif karena mereka mengeksploitasi kelemahan mendasar dalam banyak sistem verifikasi: mereka tampak sah ketika poin data individu dievaluasi secara terpisah.

Secara historis, identitas sintetis sering menggabungkan informasi nyata dan fiktif. Apa yang semakin kami lihat sekarang adalah identitas yang dihasilkan AI dibangun di sekitar wajah dan persona sintetis yang tidak pernah ada. Deepfake Fraud Index kami menemukan bahwa identitas sintetis menyumbang 42,3% aktivitas penipuan berbasis AI, menjadikannya kategori terbesar penipuan identitas berbasis AI saat ini.

Bagi institusi keuangan, fintech, dan platform kripto, risikonya signifikan karena onboarding yang berhasil sering memberikan akses langsung ke nilai finansial. Begitu identitas sintetis masuk ke ekosistem, ia dapat digunakan untuk membuka akun, mengakses kredit, mengklaim insentif, memindahkan dana, atau memfasilitasi aktivitas pencucian uang.

Yang membuat identitas sintetis terutama berbahaya adalah keberlanjutannya. Penipuan tradisional sering terdeteksi dengan cepat karena melibatkan korban nyata. Identitas sintetis dapat tetap aktif selama berbulan-bulan atau bahkan bertahun-tahun sebelum terdeteksi. Pada saat mereka terdeteksi, kerugian finansial yang signifikan mungkin sudah terjadi, dan sering tidak ada individu nyata di balik akun tersebut untuk ditindak.

Bursa cryptocurrency, platform aset digital, dan perusahaan fintech sering sangat bergantung pada onboarding jarak jauh. Sektor mana yang Anda percaya saat ini paling rentan terhadap penipuan identitas berbasis AI, dan di mana organisasi masih meremehkan ancamannya?

Sektor yang paling rentan adalah yang menggabungkan onboarding sepenuhnya jarak jauh dengan akses langsung ke nilai finansial. Itu termasuk bursa cryptocurrency, platform aset digital, bank digital, fintech, pemberi pinjaman online, penyedia beli-sekarang-bayar-nanti, dan operator iGaming.

Faktor umum adalah bahwa berhasil melewati onboarding memberikan akses ke uang, kredit, dompet, infrastruktur pembayaran, atau aset yang dapat dipindahkan. Hal itu menciptakan insentif kuat bagi penyerang.

Di mana organisasi terus meremehkan ancaman adalah pada ketergantungan mereka pada asumsi verifikasi lama. Banyak masih beroperasi dengan keyakinan bahwa jika dokumen cocok dengan templat yang dikenal, maka harus asli. Asumsi itu semakin berbahaya di era di mana AI dapat menghasilkan dokumen yang sangat meyakinkan secara massal.

Selain sektor berisiko tinggi tradisional, saya juga percaya pasar daring, platform ekonomi gig, dan penyedia keuangan terintegrasi meremehkan eksposur mereka. Seiring alat penipuan menjadi lebih mudah diakses, setiap platform yang bergantung pada pembentukan kepercayaan jarak jauh menjadi target potensial.

Banyak bisnis terus mengandalkan verifikasi berbasis selfie sebagai langkah keamanan utama. Laporan Anda berargumen bahwa satu pemeriksaan selfie tidak lagi cukup. Kerentanan apa yang ada dalam alur kerja onboarding tradisional, dan seperti apa verifikasi identitas modern pada tahun 2026?

Satu selfie tidak lagi cukup karena AI dapat menghasilkan wajah manusia realistis secara permintaan. Jika onboarding terutama mengandalkan pemeriksaan selfie, organisasi mungkin memiliki visibilitas terbatas apakah mereka berinteraksi dengan orang nyata, spoof, atau identitas sintetis sepenuhnya.

Alur kerja onboarding tradisional tetap rentan terhadap serangan presentasi, pemutaran ulang video, deepfake, pertukaran wajah, serangan injeksi, dan identitas sintetis yang menggabungkan wajah AI dengan dokumen yang dimanipulasi. Penyerang tidak lagi mencoba menipu satu kontrol; mereka merancang serangan khusus untuk mengeksploitasi kelemahan di seluruh proses onboarding.

Verifikasi identitas modern harus berlapis. Alih-alih mengandalkan satu sinyal, organisasi harus menggabungkan teknologi anti-spoofing bersertifikat seperti deteksi liveness iBeta Level 3, pencocokan wajah, verifikasi dokumen, deteksi serangan injeksi, intelijen perangkat, analitik perilaku, dan verifikasi basis data otoritatif bila tersedia.

Tujuannya bukan sekadar menentukan apakah seseorang tampak nyata. Tujuannya adalah memastikan apakah identitas itu sendiri sah, dapat dipercaya, dan secara konsisten terhubung dengan individu nyata melalui berbagai sinyal independen.

Teknologi deepfake berkembang pesat bersamaan dengan model AI generatif. Apakah sistem deteksi penipuan dapat mengikuti, atau kita memasuki periode di mana penyerang memiliki keunggulan sementara atas para pembela?

Ini sangat merupakan perlombaan senjata, dan saya akan berhati-hati terhadap siapa pun yang mengklaim pertempuran sudah dimenangkan.

Penyerang tentu saja mendapat manfaat dari kecepatan inovasi AI yang cepat dan meningkatnya ketersediaan alat generatif. Organisasi yang mengandalkan teknologi verifikasi lama sudah berada pada posisi yang kurang menguntungkan. Dalam lingkungan tersebut, penyerang sering memiliki keunggulan.

Pada saat yang sama, sistem deteksi modern berkembang dengan cepat. Di seluruh industri, pendekatan forensik canggih semakin efektif dalam mengidentifikasi konten yang dihasilkan AI dengan menganalisis artefak generasi, sinyal integritas penangkapan, pola kompresi, inkonsistensi biometrik, dan asal kriptografis.

Kenyataannya, tidak ada pihak yang memiliki keunggulan permanen. Keberhasilan bergantung pada kemampuan beradaptasi. Pencegahan penipuan tidak lagi dapat mengandalkan kontrol statis; diperlukan model deteksi yang terus berkembang yang mampu merespons teknik serangan baru saat muncul.

Laporan menyoroti tiga metode serangan utama: serangan presentasi, serangan injeksi, dan penciptaan identitas sintetis. Vektor serangan mana yang paling mengkhawatirkan bagi Anda, dan mengapa?

Jika saya harus memilih satu, itu akan menjadi penciptaan identitas sintetis.

Serangan presentasi dan serangan injeksi adalah ancaman serius, tetapi identitas sintetis menciptakan masalah yang lebih dalam dan lebih persisten karena mereka menyerang lapisan identitas itu sendiri. Tujuannya bukan sekadar melewati sesi verifikasi; melainkan membangun identitas penipuan yang dapat beroperasi dalam ekosistem keuangan untuk jangka waktu yang lama.

Setelah identitas sintetis berhasil di-onboard, ia dapat digunakan untuk memperoleh kredit, membuat akun mule, memindahkan dana ilegal, memanfaatkan insentif, dan memfasilitasi kejahatan keuangan yang lebih luas. Dalam banyak kasus, identitas ini tetap tidak terdeteksi untuk waktu yang lama karena tidak ada korban nyata yang melaporkan penipuan.

Yang paling mengkhawatirkan bagi saya adalah skalabilitasnya. Dikombinasikan dengan AI generatif dan sistem onboarding otomatis, identitas sintetis dapat dibuat dan diterapkan dalam jumlah besar, menciptakan risiko sistemik bagi institusi keuangan, fintech, dan platform kripto.

Seiring aset digital menjadi lebih mainstream dan pengawasan regulasi meningkat secara global, bagaimana Anda melihat penipuan identitas berbasis AI memengaruhi persyaratan kepatuhan Know Your Customer (KYC) dan Anti-Money Laundering (AML)?

Penipuan berbasis AI mempercepat pergeseran dari verifikasi satu kali menuju penilaian kepercayaan berkelanjutan.

Secara historis, KYC sering dipandang sebagai latihan onboarding. Pendekatan itu menjadi kurang efektif ketika identitas sintetis, deepfake, dan dokumen yang dihasilkan AI dapat melewati pemeriksaan verifikasi awal. Organisasi semakin perlu memantau kepercayaan sepanjang siklus hidup pelanggan.

Dalam praktiknya, ini berarti penekanan lebih pada analitik perilaku, pemantauan transaksi, intelijen perangkat, penyaringan sanksi dan PEP yang berkelanjutan, serta korelasi risiko lintas akun. Program kepatuhan harus terus-menerus mengevaluasi apakah sebuah akun tetap dapat dipercaya setelah onboarding.

Saya juga percaya regulator akan semakin mengharapkan organisasi untuk menunjukkan tidak hanya bahwa identitas telah diverifikasi, tetapi bagaimana cara verifikasinya. Auditabilitas kontrol identitas, termasuk bukti bahwa risiko penipuan yang dihasilkan AI secara aktif dipertimbangkan dan diatasi, akan menjadi bagian yang semakin penting dalam kerangka kepatuhan KYC dan AML.

Regulator di seluruh dunia mulai menangani risiko yang terkait dengan konten yang dihasilkan AI dan penipuan identitas digital. Perubahan regulasi apa yang Anda harapkan akan memiliki dampak terbesar pada institusi keuangan, fintech, dan perusahaan kripto dalam beberapa tahun ke depan?

Regulator mulai melampaui perlakuan penipuan yang dihasilkan AI sebagai masalah keamanan siber umum dan langsung menanganinya. Salah satu contoh penting adalah EU AI Act, yang memperkenalkan kewajiban transparansi terkait konten yang dihasilkan dan dimanipulasi AI. Saya mengharapkan kerangka serupa muncul secara global saat regulator menyadari bahwa deepfake dan identitas sintetis menciptakan risiko yang melampaui manajemen penipuan tradisional.

Saya juga mengharapkan persyaratan yang lebih kuat terkait keamanan biometrik, deteksi serangan presentasi, dan kontrol anti-spoofing. Standar seperti iBeta dan kerangka evaluasi terkait NIST kemungkinan akan memainkan peran lebih besar dalam menunjukkan kepatuhan dan efektivitas manajemen risiko.

Pada saat yang sama, regulasi privasi seperti GDPR dan CCPA akan terus mendorong industri menuju minimisasi data dan model verifikasi identitas yang melindungi privasi. Hal ini dapat mempercepat adopsi dompet identitas digital, kredensial yang dapat digunakan kembali, dan model verifikasi berbasis atribut yang memungkinkan organisasi memverifikasi klaim spesifik tanpa mengumpulkan data pribadi yang tidak diperlukan.

Hasilnya akan menjadi lingkungan regulasi yang lebih matang di mana keamanan, privasi, dan kepercayaan harus ditangani secara bersamaan.

Melihat ke depan tiga hingga lima tahun, apakah Anda percaya industri verifikasi identitas pada akhirnya akan memenangkan perlombaan senjata melawan penipuan AI generatif, atau apakah kepercayaan digital memerlukan model baru yang sepenuhnya di luar pemeriksaan identitas tradisional?

Saya tidak percaya industri akan mengalahkan penipuan AI generatif hanya dengan verifikasi berbasis dokumen tradisional. Teknologi akan terus berkembang, dan penyerang akan terus beradaptasi. Mengandalkan semata pemeriksaan dokumen dan verifikasi selfie tidak mungkin tetap cukup.

Yang saya percayai adalah bahwa kepercayaan digital berkembang menuju model yang lebih luas dan lebih tahan. KYC tradisional akan tetap penting, tetapi semakin didukung oleh identitas digital tepercaya, biometrik, intelijen perangkat, analitik perilaku, kredensial kriptografis, dan pemantauan risiko berkelanjutan.

Kami sudah melihat elemen masa depan ini melalui program identitas digital yang didukung pemerintah, kredensial yang dapat digunakan kembali, dan ekosistem identitas digital tepercaya. Alih-alih terus-menerus memverifikasi individu yang sama menggunakan dokumen berbasis kertas, organisasi akan semakin mengandalkan jaringan identitas tepercaya yang memberikan jaminan lebih kuat dengan gesekan lebih sedikit.

Masa depan kepercayaan digital akan dibangun di atas beberapa lapisan jaminan yang bekerja bersama. AI generatif tidak menghilangkan kepercayaan digital; ia memaksa industri membangun versi yang lebih kuat dan lebih tahan. Organisasi yang berhasil adalah yang terus-menerus mengevaluasi kepercayaan sepanjang siklus hidup pelanggan daripada mengandalkan satu peristiwa verifikasi.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut sebaiknya mengunjungi Shufti.