Faryam Asif, Chief Technology Officer hos Shufti – Intervjuserie

Faryam Asif, Chief Technology Officer hos Shufti er en teknologileder som spesialiserer seg på AI-drevet identitetsverifisering, svindelforebygging og sikker digital onboarding. Siden han begynte i Shufti som programvareutvikler i 2018, har han avansert gjennom flere lederroller før han ble Chief Technology Officer i 2025, og har ansvaret for selskapets teknologistrategi og utviklingen av den globale identitetsverifiseringsplattformen. Han fungerer også som Chief Development Officer hos Programmers Force, og bringer med seg omfattende erfaring innen programvareutvikling, produktutvikling og teknologiledelse.

Shufti er en global plattform for identitetsverifisering og overholdelse som tilbyr AI-drevne KYC-, KYB-, AML- og svindelforebyggingsløsninger for finansinstitusjoner, fintech-selskaper, kryptovaluta-plattformer, markedsplasser og andre regulerte industrier. Plattformen opererer i mer enn 240 land og territorier, og kombinerer biometrisk verifisering, dokumentautentisering, liveness-detektering og AI-drevet risikaanalyse for å hjelpe organisasjoner med å strømlinjeforme kundens onboarding, oppfylle regulatoriske krav og forsvare seg mot stadig mer sofistikert digital svindel.

Du begynte i Shufti i 2018 som programvareutvikler og har siden bidratt til å bygge og skalere selskapets infrastruktur for identitetsverifisering til en global plattform. Hvordan har karakteren av identitetssvindel utviklet seg i løpet av den perioden, og hvilke endringer har vært mest overraskende fra et teknologiledelsesperspektiv?

Da jeg begynte i Shufti i 2018 som programvareutvikler, var de fleste svindelforsøk fortsatt relativt manuelle. Vi håndterte redigerte dokumenter, presentasjonsangrep og ganske enkle etterligningsmetoder. I løpet av de siste syv årene har jeg sett svindel utvikle seg fra noe som krevde betydelig innsats og ekspertise til noe som kan genereres på forespørsel ved hjelp av AI.

Det som har overrasket meg mest er ikke bare hvor sofistikert svindelen har blitt, men hvor tilgjengelig den har blitt. Generativ AI har effektivt demokratisert svindel. Evner som tidligere krevde spesialiserte ferdigheter er nå tilgjengelige gjennom forbrukerverktøy. Som vi fremhever i vår Deepfake Fraud Index, oppfører svindel seg i økende grad som programvare: når den kan automatiseres, kan den skaleres raskt.

To utviklinger skiller seg ut. Den første er injeksjonsangrep, der angripere helt omgår kameraet og mater syntetisk innhold direkte inn i en verifiseringsstrøm. Den andre er fremveksten av syntetiske identiteter, der AI-genererte personaer skapes i stor skala for å misbruke onboarding-systemer, skaffe finansielle tjenester eller legge til rette for hvitvasking. Grensen mellom ekte og syntetisk innhold har blitt betydelig vanskeligere å trekke, og dette skiftet har fundamentalt endret hvordan identitetsverifisering må tilnærmes.

Deepfake Fraud Index forutsier at dokument‑deepfakes kan øke med nesten 3 900 % i 2026, noe som gjør dem til den raskest voksende kategorien av AI-drevet svindel. Hvilke faktorer driver denne eksplosive veksten, og hvorfor retter svindlere seg i økende grad mot dokumenter i stedet for ansikter eller videostrømmer?

Vår Deepfake Fraud Index forutsier at dokument‑deepfakes vil øke med nesten 3 900 % i 2026, og dermed bli den raskest voksende kategorien av AI-drevet svindel. Veksten drives av to krefter: den raske utviklingen av generativ AI og den økende tilgjengeligheten av verktøy som gjør det mulig for nesten hvem som helst å lage overbevisende falske dokumenter.

Det som tidligere krevde spesialiserte redigeringsferdigheter, kan nå oppnås med AI-drevne verktøy som kan generere realistiske pass, førerkort, strømregninger, kontoutskrifter og andre onboarding‑dokumenter. Samtidig er mange eldre verifiseringssystemer fortsatt sterkt avhengige av OCR og malmatching. De kan lese teksten og validere et oppsett, men de sliter ofte med å avgjøre om selve dokumentet er autentisk.

Svindlere retter seg mot dokumenter fordi de representerer den letteste veien. Å overvinne et moderne liveness‑system krever at man passerer flere lag med deteksjon, mens mange dokumentarbeidsflyter fortsatt er avhengige av relativt enkle valideringsteknikker. I tillegg kan et manipulert dokument ofte gjenbrukes på tvers av flere institusjoner og onboarding‑prosesser, noe som gir en mye høyere avkastning på investeringen for angripere.

Veksten vi ser er i bunn og grunn en refleksjon av svindeløkonomi. Angripere retter seg konsekvent mot den svakeste kontrollen i en verifiseringsprosess, og for mange organisasjoner er dokumenter fortsatt den svakeste lenken.

Rapporten identifiserer syntetiske identiteter som den største kategorien av AI‑drevet svindel, og utgjør mer enn 40 % av AI‑svindelaktiviteten. Hvorfor har syntetiske identiteter blitt en så effektiv angrepsvektor, og hva gjør dem spesielt farlige for finansinstitusjoner og kryptoplattformer?

Syntetiske identiteter har blitt effektive fordi de utnytter en grunnleggende svakhet i mange verifiseringssystemer: de fremstår som legitime når individuelle datapunkter vurderes isolert.

Historisk sett kombinerte syntetiske identiteter ofte ekte og konstruert informasjon. Det vi i økende grad ser nå, er AI‑genererte identiteter bygget rundt syntetiske ansikter og personaer som aldri har eksistert. Vår Deepfake Fraud Index fant at syntetiske identiteter utgjør 42,3 % av AI‑drevet svindelaktivitet, og dermed er den største kategorien av AI‑drevet identitetssvindel i dag.

For finansinstitusjoner, fintech‑selskaper og kryptoplattformer er risikoen betydelig fordi vellykket onboarding ofte gir umiddelbar tilgang til økonomisk verdi. Når en syntetisk identitet kommer inn i økosystemet, kan den brukes til å åpne kontoer, få kreditt, kreve insentiver, flytte penger eller legge til rette for hvitvasking.

Det som gjør syntetiske identiteter spesielt farlige er deres vedvarende natur. Tradisjonell svindel oppdages ofte raskt fordi den involverer et ekte offer. Syntetiske identiteter kan forbli aktive i måneder eller til og med år før de oppdages. Når de først blir oppdaget, kan betydelige økonomiske tap allerede ha skjedd, og det finnes ofte ingen ekte person bak kontoen som kan forfølges.

Kryptovalutabørser, digitale aktivaplattformer og fintech‑selskaper er ofte sterkt avhengige av fjern‑onboarding. Hvilke sektorer mener du er mest utsatt for AI‑drevet identitetssvindel i dag, og hvor undervurderer organisasjoner fortsatt trusselen?

De mest utsatte sektorene er de som kombinerer fullstendig fjern‑onboarding med umiddelbar tilgang til økonomisk verdi. Det inkluderer kryptovalutabørser, digitale aktivaplattformer, digitale banker, fintech‑selskaper, nettbaserte långivere, kjøp‑nå‑betal‑senere‑leverandører og iGaming‑operatører.

Den felles faktoren er at vellykket onboarding gir tilgang til penger, kreditt, lommebøker, betalingsinfrastruktur eller overførbare eiendeler. Dette skaper et sterkt insentiv for angripere.

Hvor organisasjoner fortsatt undervurderer trusselen, er i deres avhengighet av eldre verifiseringsantakelser. Mange opererer fortsatt under troen på at hvis et dokument samsvarer med en kjent mal, må det være ekte. Denne antakelsen blir stadig farligere i en tid der AI kan generere svært overbevisende dokumenter i stor skala.

Utover tradisjonelle høy‑risiko sektorer tror jeg også at markedsplasser, gig‑økonomiplattformer og leverandører av innebygd finans undervurderer sin eksponering. Etter hvert som svindelverktøy blir mer tilgjengelige, blir enhver plattform som er avhengig av fjern‑tillitsetablering et potensielt mål.

Mange bedrifter fortsetter å stole på selfie‑basert verifisering som et primært sikkerhetstiltak. Rapporten din hevder at en enkelt selfie‑kontroll ikke lenger er tilstrekkelig. Hvilke sårbarheter finnes i tradisjonelle onboarding‑arbeidsflyter, og hvordan bør moderne identitetsverifisering se ut i 2026?

En enkelt selfie er ikke lenger nok fordi AI kan generere realistiske menneskelige ansikter på forespørsel. Hvis onboarding primært baserer seg på en selfie‑kontroll, kan organisasjoner ha begrenset innsikt i om de interagerer med en ekte person, en etterligning eller en fullstendig syntetisk identitet.

Tradisjonelle onboarding‑arbeidsflyter forblir sårbare for presentasjonsangrep, videogjennomspill, deepfakes, ansiktsbytter, injeksjonsangrep og syntetiske identiteter som kombinerer AI‑genererte ansikter med manipulerte dokumenter. Angripere prøver ikke lenger å lure én kontroll; de designer angrep spesifikt for å utnytte svakheter i hele onboarding‑prosessen.

Moderne identitetsverifisering må være lagdelt. I stedet for å stole på ett enkelt signal, bør organisasjoner kombinere sertifiserte anti‑spoofing‑teknologier som iBeta Level 3 liveness‑deteksjon, ansiktsmatching, dokumentverifisering, injeksjonsangrepsdeteksjon, enhetsintelligens, atferdsanalyse og autoritativ databaseverifisering der det er tilgjengelig.

Målet er ikke bare å fastslå om noen ser ekte ut. Målet er å fastslå om selve identiteten er genuin, pålitelig og konsekvent knyttet til en ekte person gjennom flere uavhengige signaler.

Deepfake‑teknologi utvikler seg raskt i takt med generative AI‑modeller. Holder svindeldeteksjonssystemene tritt med utviklingen, eller går vi inn i en periode der angripere har en midlertidig fordel over forsvarerne?

Dette er i høy grad et våpenkappløp, og jeg vil være forsiktig med å tro at noen påstår at kampen allerede er vunnet.

Angripere drar definitivt nytte av den raske utviklingen innen AI og den økende tilgjengeligheten av generative verktøy. Organisasjoner som er avhengige av eldre verifiseringsteknologier er allerede i en ulempe. I slike miljøer har angripere ofte overtaket.

Samtidig utvikler moderne deteksjonssystemer seg raskt. På tvers av bransjen blir avanserte rettsmedisinske tilnærminger stadig mer effektive til å identifisere AI‑generert innhold ved å analysere generasjonsartefakter, signaler for opptaksintegritet, kompresjonsmønstre, biometriske inkonsistenser og kryptografisk opprinnelse.

Realiteten er at ingen av sidene har en permanent fordel. Suksess avhenger av tilpasningsevne. Svindelforebygging kan ikke lenger stole på statiske kontroller; den krever kontinuerlig utviklende deteksjonsmodeller som kan reagere på nye angrepsteknikker etter hvert som de dukker opp.

Rapporten fremhever tre hovedangrepsmetoder: presentasjonsangrep, injeksjonsangrep og opprettelse av syntetiske identiteter. Hvilken av disse angrepsvektorene bekymrer deg mest, og hvorfor?

Hvis jeg måtte velge én, ville det være opprettelse av syntetiske identiteter.

Presentasjonsangrep og injeksjonsangrep er alvorlige trusler, men syntetiske identiteter skaper et dypere og mer vedvarende problem fordi de angriper selve identitetslaget. Målet er ikke bare å omgå en verifiseringssesjon; det er å etablere en falsk identitet som kan operere i det finansielle økosystemet over en lengre periode.

Når en syntetisk identitet er vellykket onboardet, kan den brukes til å få kreditt, opprette mule‑kontoer, flytte ulovlige midler, utnytte insentiver og legge til rette for bredere økonomisk kriminalitet. I mange tilfeller forblir disse identitetene uoppdaget over lange perioder fordi det ikke finnes et ekte offer som rapporterer svindelen.

Det som bekymrer meg mest er skalerbarheten. Kombinert med generativ AI og automatiserte onboarding‑systemer kan syntetiske identiteter opprettes og distribueres i stort antall, noe som skaper systemiske risikoer for finansinstitusjoner, fintech‑selskaper og kryptoplattformer.

Etter hvert som digitale eiendeler blir mer mainstream og regulatorisk gransking øker globalt, hvordan ser du AI‑drevet identitetssvindel påvirke Know Your Customer (KYC) og Anti‑Money Laundering (AML) etterlevelseskrav?

AI‑drevet svindel akselererer overgangen fra engangssjekk til kontinuerlig tillitsvurdering.

Historisk sett ble KYC ofte sett på som en onboarding‑øvelse. Denne tilnærmingen blir mindre effektiv når syntetiske identiteter, deepfakes og AI‑genererte dokumenter potensielt kan bestå de innledende verifiseringskontrollene. Organisasjoner må i økende grad overvåke tillit gjennom hele kundens livssyklus.

I praksis betyr dette større vekt på atferdsanalyse, transaksjonsovervåking, enhetsintelligens, løpende sanksjons- og PEP‑screening, samt kryss‑konto risikokorrelasjon. Etterlevelsesprogrammer må kontinuerlig vurdere om en konto forblir pålitelig etter onboarding.

Jeg tror også at regulatorer i økende grad vil forvente at organisasjoner demonstrerer ikke bare at en identitet ble verifisert, men hvordan den ble verifisert. Sporbarheten av identitetskontroller, inkludert bevis på at AI‑genererte svindelrisikoer ble aktivt vurdert og dempet, vil bli en stadig viktigere del av KYC‑ og AML‑rammeverk.

Regulatorer over hele verden begynner å ta tak i risikoene knyttet til AI‑generert innhold og digital identitetssvindel. Hvilke regulatoriske endringer forventer du vil ha størst innvirkning på finansinstitusjoner, fintech‑selskaper og kryptoselskaper i løpet av de neste årene?

Regulatorer begynner å gå utover å behandle AI‑generert svindel som et generelt cybersikkerhetsproblem og takler det direkte. Et viktig eksempel er EU AI Act, som innfører krav om åpenhet rundt AI‑generert og manipulert innhold. Jeg forventer at lignende rammeverk vil dukke opp globalt etter hvert som regulatorer innser at deepfakes og syntetiske identiteter skaper risikoer som går utover tradisjonell svindelhåndtering.

Jeg forventer også strengere krav til biometrisk sikkerhet, deteksjon av presentasjonsangrep og anti‑spoofing‑kontroller. Standarder som iBeta og NIST‑relaterte evalueringsrammeverk vil sannsynligvis spille en større rolle i å demonstrere etterlevelse og effektivitet i risikostyring.

Samtidig vil personvernreguleringer som GDPR og CCPA fortsette å presse bransjen mot dataminimering og personvern‑bevarende identitetsverifiseringsmodeller. Dette kan fremskynde adopsjonen av digitale identitets‑lommebøker, gjenbrukbare legitimasjoner og attributt‑baserte verifiseringsmodeller som gjør det mulig for organisasjoner å verifisere spesifikke påstander uten å samle inn unødvendige personopplysninger.

Resultatet vil bli et mer modent regulatorisk miljø hvor sikkerhet, personvern og tillit må håndteres samtidig.

Ser vi fremover tre til fem år, tror du identitetsverifiseringsbransjen til slutt vil vinne våpenkappløpet mot generativ AI‑svindel, eller vil digital tillit kreve en helt ny modell utover tradisjonelle identitetssjekker?

Jeg tror ikke bransjen vil beseire generativ AI‑svindel kun ved tradisjonell dokumentbasert verifisering. Teknologien vil fortsette å forbedres, og angripere vil fortsette å tilpasse seg. Å kun stole på dokumentkontroller og selfie‑verifisering vil sannsynligvis ikke være tilstrekkelig.

Det jeg tror er at digital tillit utvikler seg mot en bredere og mer robust modell. Tradisjonell KYC vil fortsatt være viktig, men den vil i økende grad støttes av pålitelige digitale identiteter, biometrikk, enhetsintelligens, atferdsanalyse, kryptografiske legitimasjoner og kontinuerlig risikoomonitorering.

Vi ser allerede elementer av denne fremtiden gjennom statlig støttede digitale identitetsprogrammer, gjenbrukbare legitimasjoner og pålitelige digitale identitetsekosystemer. I stedet for å gjentatte ganger verifisere den samme personen med papirbaserte dokumenter, vil organisasjoner i økende grad stole på pålitelige identitetsnettverk som gir sterkere sikkerhet med mindre friksjon.

Fremtiden for digital tillit vil bli bygget på flere lag med sikkerhet som arbeider sammen. Generativ AI eliminerer ikke digital tillit; den tvinger bransjen til å bygge en sterkere og mer robust versjon av den. Organisasjonene som lykkes vil være de som kontinuerlig evaluerer tillit gjennom hele kundens livssyklus i stedet for å stole på én enkelt verifiseringshendelse.

Takk for det flotte intervjuet, lesere som ønsker å lære mer bør besøke Shufti.