Faryam Asif, Chief Technology Officer bij Shufti – Interviewserie

Faryam Asif, Chief Technology Officer bij Shufti is een technologie-executive die zich specialiseert in AI-gestuurde identiteitsverificatie, fraudepreventie en veilige digitale onboarding. Sinds hij in 2018 bij Shufti als softwareontwikkelaar begon, heeft hij verschillende leiderschapsrollen bekleed voordat hij in 2025 Chief Technology Officer werd, waarbij hij de technologische strategie van het bedrijf en de ontwikkeling van het wereldwijde identiteitsverificatieplatform overziet. Hij is ook Chief Development Officer bij Programmers Force, en brengt uitgebreide ervaring mee in software‑engineering, productontwikkeling en technologische leiding.

Shufti is een wereldwijd identiteitsverificatie‑ en compliance‑platform dat AI‑gestuurde KYC-, KYB-, AML- en fraude‑preventieoplossingen biedt voor financiële instellingen, fintechs, cryptovalutaplatformen, marktplaatsen en andere gereguleerde sectoren. Het bedrijf opereert in meer dan 240 landen en territoria en combineert biometrische verificatie, documentauthenticatie, levendigheiddetectie en AI‑gedreven risico‑analyse om organisaties te helpen de klant‑onboarding te stroomlijnen, te voldoen aan regelgeving en zich te verdedigen tegen steeds verfijndere digitale fraude.

Je bent in 2018 bij Shufti begonnen als softwareontwikkelaar en hebt sindsdien geholpen de identiteitsverificatie‑infrastructuur van het bedrijf op te bouwen en op te schalen tot een wereldwijd platform. Hoe is de aard van identiteitsfraude in die periode geëvolueerd, en welke veranderingen waren het meest verrassend vanuit een technologisch leiderschapsperspectief?

Toen ik in 2018 bij Shufti begon als softwareontwikkelaar, waren de meeste fraudepogingen nog relatief handmatig. We hadden te maken met bewerkte documenten, presentatie‑aanvallen en vrij eenvoudige spoofing‑technieken. In de afgelopen zeven jaar heb ik gezien hoe fraude is geëvolueerd van iets dat aanzienlijke inspanning en expertise vereiste naar iets dat op aanvraag kan worden gegenereerd met AI.

Wat mij het meest heeft verrast, is niet alleen hoe geavanceerd fraude is geworden, maar ook hoe toegankelijk het is geworden. Generatieve AI heeft fraude effectief gedemocratiseerd. Mogelijkheden die vroeger specialistische vaardigheden vereisten, zijn nu beschikbaar via consumentgerichte tools. Zoals we benadrukken in onze Deepfake Fraud Index, gedraagt fraude zich steeds meer als software: zodra het geautomatiseerd kan worden, kan het snel opschalen.

Twee ontwikkelingen springen eruit. De eerste zijn injectie‑aanvallen, waarbij aanvallers de camera volledig omzeilen en synthetische inhoud rechtstreeks in een verificatiestroom injecteren. De tweede is de opkomst van synthetische identiteiten, waarbij AI‑gegenereerde persona’s op grote schaal worden gecreëerd om onboarding‑systemen te misbruiken, financiële diensten te verkrijgen of witwassen te faciliteren. De grens tussen echte en synthetische inhoud is aanzienlijk moeilijker te trekken, en die verschuiving heeft fundamenteel veranderd hoe identiteitsverificatie moet worden benaderd.

Shufti’s Deepfake Fraud Index voorspelt dat document‑deepfakes in 2026 kunnen stijgen met bijna 3.900%, waardoor ze de snelst groeiende categorie AI‑gestuurde fraude worden. Welke factoren drijven deze explosieve groei, en waarom richten fraudeurs zich steeds meer op documenten in plaats van gezichten of videostreams?

Onze Deepfake Fraud Index voorspelt dat document‑deepfakes in 2026 met bijna 3.900% zullen toenemen, waardoor ze de snelst groeiende categorie AI‑gestuurde fraude worden. De groei wordt aangedreven door twee krachten: de snelle vooruitgang van generatieve AI en de toenemende toegankelijkheid van tools die bijna iedereen in staat stellen overtuigende vervalste documenten te maken.

Wat vroeger specialistische bewerkingsvaardigheden vereiste, kan nu worden bereikt met AI‑gestuurde tools die realistische paspoorten, rijbewijzen, energierekeningen, bankafschriften en andere onboarding‑documenten kunnen genereren. Tegelijkertijd vertrouwen veel verouderde verificatiesystemen nog sterk op OCR en sjabloon‑matching. Ze kunnen de tekst lezen en een lay‑out valideren, maar hebben vaak moeite om te bepalen of het document zelf authentiek is.

Fraudeurs richten zich op documenten omdat dit de route van minste weerstand is. Het omzeilen van een modern levendigheidssysteem vereist het overwinnen van meerdere detectielagen, terwijl veel document‑workflows afhankelijk blijven van relatief eenvoudige validatietechnieken. Bovendien kan een gemanipuleerd document vaak opnieuw worden gebruikt bij meerdere instellingen en onboarding‑processen, wat een veel hoger rendement op investering voor aanvallers oplevert.

De groei die we zien is uiteindelijk een weerspiegeling van de economie van fraude. Aanvallers richten zich consequent op de zwakste controle in een verificatieproces, en voor veel organisaties blijven documenten die zwakste schakel.

Het rapport identificeert synthetische identiteiten als de grootste categorie AI‑gedreven fraude, goed voor meer dan 40% van de AI‑fraude‑activiteit. Waarom zijn synthetische identiteiten zo’n effectief aanvalsmiddel geworden, en wat maakt ze bijzonder gevaarlijk voor financiële instellingen en crypto‑platformen?

Synthetische identiteiten zijn effectief geworden omdat ze een fundamentele zwakte in veel verificatiesystemen exploiteren: ze lijken legitiem wanneer individuele gegevenspunten afzonderlijk worden geëvalueerd.

Historisch gezien combineerden synthetische identiteiten vaak echte en gefabriceerde informatie. Wat we nu steeds vaker zien, zijn AI‑gegenereerde identiteiten die zijn opgebouwd rond synthetische gezichten en persona’s die nooit hebben bestaan. Onze Deepfake Fraud Index heeft vastgesteld dat synthetische identiteiten 42,3% van de AI‑gedreven fraude‑activiteit uitmaken, waardoor ze de grootste categorie AI‑gestuurde identiteitsfraude van vandaag zijn.

Voor financiële instellingen, fintechs en crypto‑platformen is het risico aanzienlijk omdat succesvolle onboarding vaak directe toegang tot financiële waarde biedt. Zodra een synthetische identiteit het ecosysteem binnenkomt, kan deze worden gebruikt om rekeningen te openen, krediet te verkrijgen, incentives te claimen, geld te verplaatsen of witwasactiviteiten te faciliteren.

Wat synthetische identiteiten bijzonder gevaarlijk maakt, is hun persistentie. Traditionele fraude wordt vaak snel gedetecteerd omdat er een echt slachtoffer bij betrokken is. Synthetische identiteiten kunnen maanden of zelfs jaren actief blijven voordat ze worden ontdekt. Tegen de tijd dat ze worden opgespoord, kunnen aanzienlijke financiële verliezen al hebben plaatsgevonden, en er is vaak geen echt individu achter de rekening om te vervolgen.

Cryptocurrency‑beurzen, digitale‑asset‑platformen en fintech‑bedrijven vertrouwen vaak sterk op remote onboarding. Welke sectoren denk je dat momenteel het meest blootgesteld zijn aan AI‑gestuurde identiteitsfraude, en waar onderschatten organisaties nog steeds de dreiging?

De sectoren die het meest blootgesteld zijn, combineren volledig remote onboarding met directe toegang tot financiële waarde. Dat omvat cryptocurrency‑beurzen, digitale‑asset‑platformen, digitale banken, fintechs, online kredietverstrekkers, buy‑now‑pay‑later‑providers en iGaming‑operators.

De gemeenschappelijke factor is dat het succesvol doorlopen van onboarding toegang geeft tot geld, krediet, wallets, betalingsinfrastructuur of overdraagbare activa. Dat creëert een sterke prikkel voor aanvallers.

Waar organisaties de dreiging blijven onderschatten, is in hun afhankelijkheid van verouderde verificatie‑assumpties. Veel organisaties gaan nog steeds uit van de veronderstelling dat als een document overeenkomt met een bekend sjabloon, het authentiek moet zijn. Die veronderstelling wordt steeds gevaarlijker in een tijdperk waarin AI op grote schaal zeer overtuigende documenten kan genereren.

Naast de traditionele high‑risk sectoren geloof ik ook dat marktplaatsen, gig‑economieplatformen en embedded‑finance‑providers hun blootstelling onderschatten. Naarmate fraude‑tools toegankelijker worden, wordt elk platform dat afhankelijk is van remote trust‑opbouw een potentieel doelwit.

Veel bedrijven blijven vertrouwen op selfie‑gebaseerde verificatie als primaire beveiligingsmaatregel. In jouw rapport wordt betoogd dat één enkele selfie‑check niet langer voldoende is. Welke kwetsbaarheden bestaan er in traditionele onboarding‑workflows, en hoe zou moderne identiteitsverificatie er in 2026 uit moeten zien?

Een enkele selfie is niet langer voldoende omdat AI realistische menselijke gezichten op aanvraag kan genereren. Als onboarding voornamelijk afhankelijk is van een selfie‑check, hebben organisaties mogelijk beperkte zichtbaarheid of ze interactie hebben met een echt persoon, een nep of een volledig synthetische identiteit.

Traditionele onboarding‑workflows blijven kwetsbaar voor presentatie‑aanvallen, video‑replays, deepfakes, gezichts‑swaps, injectie‑aanvallen en synthetische identiteiten die AI‑gegenereerde gezichten combineren met gemanipuleerde documenten. Aanvallers proberen niet langer één enkele controle te misleiden; ze ontwerpen aanvallen specifiek om zwaktes in het gehele onboarding‑proces te exploiteren.

Moderne identiteitsverificatie moet gelaagd zijn. In plaats van te vertrouwen op één signaal, moeten organisaties gecertificeerde anti‑spoofing‑technologieën combineren, zoals iBeta Level 3 levendigheiddetectie, gezichts‑matching, documentverificatie, detectie van injectie‑aanvallen, apparaat‑intelligentie, gedragsanalyse en, waar beschikbaar, verificatie via autoritaire databanken.

Het doel is niet simpelweg bepalen of iemand er echt uitziet. Het doel is vaststellen of de identiteit zelf authentiek, betrouwbaar en consistent gekoppeld is aan een echt individu via meerdere onafhankelijke signalen.

Deepfake‑technologie ontwikkelt zich snel naast generatieve AI‑modellen. Houden fraude‑detectiesystemen het tempo bij, of betreden we een periode waarin aanvallers een tijdelijk voordeel hebben ten opzichte van verdedigers?

Dit is duidelijk een wapenwedloop, en ik zou voorzichtig zijn met iedereen die beweert dat de strijd al gewonnen is.

Aanvallers profiteren zeker van het snelle tempo van AI‑innovatie en de groeiende beschikbaarheid van generatieve tools. Organisaties die afhankelijk zijn van verouderde verificatietechnologieën staan al op een achterstand. In die omgevingen hebben aanvallers vaak de overhand.

Tegelijkertijd evolueren moderne detectiesystemen snel. In de hele sector worden geavanceerde forensische benaderingen steeds effectiever in het identificeren van AI‑gegenereerde content door generatie‑artefacten, integriteitssignalen van opnames, compressiepatronen, biometrische inconsistenties en cryptografische herkomst te analyseren.

De realiteit is dat geen van beide partijen een permanent voordeel heeft. Succes hangt af van aanpassingsvermogen. Fraude‑preventie kan niet langer vertrouwen op statische controles; het vereist continu evoluerende detectiemodellen die in staat zijn te reageren op nieuwe aanvalstechnieken zodra ze opduiken.

Het rapport belicht drie belangrijke aanvalsmethoden: presentatie‑aanvallen, injectie‑aanvallen en het creëren van synthetische identiteiten. Welke van deze aanvalsvectoren baart jou de meeste zorgen, en waarom?

Als ik er één moet kiezen, zou het het creëren van synthetische identiteiten zijn.

Presentatie‑aanvallen en injectie‑aanvallen zijn serieuze bedreigingen, maar synthetische identiteiten veroorzaken een dieper en meer persistent probleem omdat ze de identiteitslaag zelf aanvallen. Het doel is niet simpelweg een verificatiesessie te omzeilen; het is een frauduleuze identiteit op te zetten die gedurende een langere periode binnen het financiële ecosysteem kan opereren.

Zodra een synthetische identiteit succesvol is geonboard, kan deze worden gebruikt om krediet te verkrijgen, mule‑rekeningen te creëren, illegale gelden te verplaatsen, incentives te exploiteren en bredere financiële criminaliteit te faciliteren. In veel gevallen blijven deze identiteiten lange tijd onopgemerkt omdat er geen echt slachtoffer is dat de fraude meldt.

Wat mij het meest zorgen baart, is de schaalbaarheid. In combinatie met generatieve AI en geautomatiseerde onboarding‑systemen kunnen synthetische identiteiten in grote aantallen worden gecreëerd en ingezet, wat systemische risico’s oplevert voor financiële instellingen, fintechs en crypto‑platformen.

Naarmate digitale assets meer mainstream worden en de regulatoire controle wereldwijd toeneemt, hoe zie je AI‑gestuurde identiteitsfraude de Know Your Customer (KYC) en Anti-Money Laundering (AML) compliance‑eisen beïnvloeden?

AI‑gestuurde fraude versnelt de verschuiving van eenmalige verificatie naar continue trust‑evaluatie.

Historisch werd KYC vaak gezien als een onboarding‑oefening. Deze aanpak wordt minder effectief wanneer synthetische identiteiten, deepfakes en AI‑gegenereerde documenten mogelijk de initiële verificatiecontroles doorstaan. Organisaties moeten steeds vaker het vertrouwen gedurende de hele klantlevenscyclus monitoren.

In de praktijk betekent dit meer nadruk op gedragsanalyse, transactiemonitoring, apparaat‑intelligentie, voortdurende sanctie‑ en PEP‑screening, en cross‑account risicocorrelatie. Compliance‑programma’s zullen continu moeten evalueren of een account na onboarding betrouwbaar blijft.

Ik geloof ook dat toezichthouders steeds vaker zullen verwachten dat organisaties niet alleen aantonen dat een identiteit is geverifieerd, maar ook hoe deze is geverifieerd. De auditbaarheid van identiteitscontroles, inclusief bewijs dat AI‑gegenereerde frauderisico’s actief zijn overwogen en gemitigeerd, zal een steeds belangrijker onderdeel worden van KYC‑ en AML‑compliance‑kaders.

Regulators wereldwijd beginnen de risico’s die gepaard gaan met AI‑gegenereerde content en digitale identiteitsfraude aan te pakken. Welke regelgevende veranderingen verwacht je dat de grootste impact zullen hebben op financiële instellingen, fintechs en crypto‑bedrijven in de komende jaren?

Regulators beginnen verder te gaan dan AI‑gegenereerde fraude te behandelen als een algemeen cybersecurity‑probleem en pakken het direct aan. Een belangrijk voorbeeld is de EU AI Act, die transparantie‑verplichtingen introduceert rond AI‑gegenereerde en gemanipuleerde content. Ik verwacht dat soortgelijke kaders wereldwijd zullen ontstaan naarmate toezichthouders erkennen dat deepfakes en synthetische identiteiten risico’s creëren die verder gaan dan traditioneel fraudemanagement.

Ik verwacht ook strengere eisen rond biometrische beveiliging, detectie van presentatie‑aanvallen en anti‑spoofing‑controles. Normen zoals iBeta en NIST‑gerelateerde evaluatiekaders zullen waarschijnlijk een grotere rol spelen bij het aantonen van compliance en de effectiviteit van risicobeheer.

Tegelijkertijd zullen privacy‑reguleringen zoals GDPR en CCPA de industrie blijven aansporen tot dataminimalisatie en privacy‑behoudende identiteitsverificatiemodellen. Dit kan de adoptie van digitale identiteits‑wallets, herbruikbare credentials en attribuut‑gebaseerde verificatiemodellen versnellen, waarmee organisaties specifieke claims kunnen verifiëren zonder onnodige persoonsgegevens te verzamelen.

Het resultaat zal een meer volwassen regelgevingsomgeving zijn waarin veiligheid, privacy en vertrouwen gelijktijdig moeten worden aangepakt.

Kijkend naar drie tot vijf jaar vooruit, geloof je dat de identiteitsverificatie‑industrie uiteindelijk de wapenwedloop tegen generatieve AI‑fraude zal winnen, of zal digitale trust een geheel nieuw model vereisen dat verder gaat dan traditionele identiteitscontroles?

Ik geloof niet dat de industrie generatieve AI‑fraude zal verslaan met alleen traditionele document‑gebaseerde verificatie. De technologie zal blijven verbeteren en aanvallers zullen zich blijven aanpassen. Vertrouwen uitsluitend op documentcontroles en selfie‑verificatie zal waarschijnlijk niet langer voldoende zijn.

Wat ik wel geloof, is dat digitale trust evolueert naar een breder en veerkrachtiger model. Traditionele KYC blijft belangrijk, maar zal steeds meer worden ondersteund door vertrouwde digitale identiteiten, biometrie, apparaat‑intelligentie, gedragsanalyse, cryptografische credentials en continue risicobewaking.

We zien al elementen van deze toekomst via door de overheid gesteunde digitale identiteit‑programma’s, herbruikbare credentials en vertrouwde digitale identiteits‑ecosystemen. In plaats van herhaaldelijk dezelfde persoon te verifiëren met papieren documenten, zullen organisaties steeds meer vertrouwen op vertrouwde identiteitsnetwerken die sterkere zekerheid bieden met minder frictie.

De toekomst van digitale trust zal worden gebouwd op meerdere lagen van zekerheid die samenwerken. Generatieve AI elimineert digitale trust niet; het dwingt de industrie om een sterkere en veerkrachtigere versie ervan te bouwen. De organisaties die slagen, zullen diegene zijn die continu trust evalueren gedurende de volledige klantlevenscyclus in plaats van te vertrouwen op één enkele verificatie‑gebeurtenis.

Bedankt voor het geweldige interview, lezers die meer willen weten, kunnen Shufti bezoeken.