Faryam Asif, Diretor de Tecnologia da Shufti – Série de Entrevistas

Faryam Asif, Diretor de Tecnologia da Shufti é um executivo de tecnologia especializado em verificação de identidade impulsionada por IA, prevenção de fraudes e integração digital segura. Desde que ingressou na Shufti como desenvolvedor de software em 2018, ele progrediu por várias funções de liderança antes de se tornar Diretor de Tecnologia em 2025, supervisionando a estratégia tecnológica da empresa e o desenvolvimento de sua plataforma global de verificação de identidade. Ele também atua como Diretor de Desenvolvimento na Programmers Force, trazendo ampla experiência em engenharia de software, desenvolvimento de produtos e liderança tecnológica.

Shufti é uma plataforma global de verificação de identidade e conformidade que oferece soluções de KYC, KYB, AML e prevenção de fraudes impulsionadas por IA para instituições financeiras, fintechs, plataformas de criptomoedas, marketplaces e outras indústrias reguladas. Operando em mais de 240 países e territórios, a empresa combina verificação biométrica, autenticação de documentos, detecção de vivacidade e análise de risco baseada em IA para ajudar as organizações a simplificar a integração de clientes, atender aos requisitos regulatórios e defender-se contra fraudes digitais cada vez mais sofisticadas.

Você ingressou na Shufti em 2018 como desenvolvedor de software e, desde então, ajudou a construir e escalar a infraestrutura de verificação de identidade da empresa em uma plataforma global. Como a natureza da fraude de identidade evoluiu durante esse período, e quais mudanças foram mais surpreendentes do ponto de vista da liderança tecnológica?

Quando entrei na Shufti em 2018 como desenvolvedor de software, a maioria das tentativas de fraude ainda era relativamente manual. Lidávamos com documentos editados, ataques de apresentação e técnicas de falsificação bastante básicas. Nos últimos sete anos, observei a fraude evoluir de algo que exigia esforço e expertise significativos para algo que pode ser gerado sob demanda usando IA.

O que mais me surpreendeu não é apenas o quão sofisticada a fraude se tornou, mas o quão acessível ela se tornou. A IA generativa democratizou efetivamente a fraude. Capacidades que antes exigiam habilidades especializadas agora estão disponíveis por meio de ferramentas de nível consumidor. Como destacamos em nosso Deepfake Fraud Index, a fraude está se comportando cada vez mais como software: uma vez que pode ser automatizada, pode escalar rapidamente.

Dois desenvolvimentos se destacam. O primeiro são os ataques de injeção, onde os invasores contornam totalmente a câmera e inserem conteúdo sintético diretamente em um fluxo de verificação. O segundo é a ascensão das identidades sintéticas, onde personas geradas por IA são criadas em escala para abusar de sistemas de integração, obter serviços financeiros ou facilitar a lavagem de dinheiro. A linha entre conteúdo genuíno e sintético tornou-se significativamente mais difícil de traçar, e essa mudança alterou fundamentalmente a forma como a verificação de identidade deve ser abordada.

O Deepfake Fraud Index da Shufti projeta que os deepfakes de documentos podem disparar em quase 3.900% em 2026, tornando-os a categoria de fraude impulsionada por IA que mais cresce. Quais fatores estão impulsionando esse crescimento explosivo e por que os fraudadores estão cada vez mais mirando documentos em vez de rostos ou fluxos de vídeo?

Nosso Deepfake Fraud Index projeta que os deepfakes de documentos aumentem em quase 3.900% em 2026, tornando-os a categoria de fraude impulsionada por IA que mais cresce. O crescimento está sendo impulsionado por duas forças: o rápido avanço da IA generativa e a crescente acessibilidade de ferramentas que permitem quase a qualquer pessoa criar documentos falsos convincentes.

O que antes exigia habilidades especializadas de edição agora pode ser alcançado por meio de ferramentas impulsionadas por IA capazes de gerar passaportes, carteiras de motorista, contas de serviços públicos, extratos bancários e outros documentos de integração realistas. Ao mesmo tempo, muitos sistemas de verificação legados ainda dependem fortemente de OCR e correspondência de modelos. Eles podem ler o texto e validar um layout, mas frequentemente têm dificuldade em determinar se o próprio documento é autêntico.

Os fraudadores estão mirando documentos porque eles representam o caminho de menor resistência. Vencer um sistema moderno de vivacidade requer superar múltiplas camadas de detecção, enquanto muitos fluxos de documentos permanecem dependentes de técnicas de validação relativamente simples. Além disso, um documento manipulado pode ser reutilizado em várias instituições e fluxos de integração, proporcionando um retorno sobre investimento muito maior para os atacantes.

O crescimento que estamos vendo é, em última análise, um reflexo da economia da fraude. Os atacantes consistentemente visam o controle mais fraco em um processo de verificação, e para muitas organizações, os documentos permanecem esse elo mais fraco.

O relatório identifica identidades sintéticas como a maior categoria de fraude impulsionada por IA, representando mais de 40% da atividade de fraude de IA. Por que as identidades sintéticas se tornaram um vetor de ataque tão eficaz e o que as torna particularmente perigosas para instituições financeiras e plataformas de criptomoedas?

As identidades sintéticas tornaram-se eficazes porque exploram uma fraqueza fundamental em muitos sistemas de verificação: elas parecem legítimas quando pontos de dados individuais são avaliados isoladamente.

Historicamente, as identidades sintéticas frequentemente combinavam informações reais e fabricadas. O que estamos vendo cada vez mais agora são identidades geradas por IA construídas em torno de rostos e personas sintéticos que nunca existiram. Nosso Deepfake Fraud Index constatou que as identidades sintéticas representam 42,3% da atividade de fraude impulsionada por IA, tornando-as a maior categoria de fraude de identidade impulsionada por IA atualmente.

Para instituições financeiras, fintechs e plataformas de criptomoedas, o risco é significativo porque a integração bem-sucedida costuma proporcionar acesso imediato a valor financeiro. Uma vez que uma identidade sintética entra no ecossistema, ela pode ser usada para abrir contas, acessar crédito, reivindicar incentivos, movimentar fundos ou facilitar atividades de lavagem de dinheiro.

O que torna as identidades sintéticas particularmente perigosas é sua persistência. Fraudes tradicionais são frequentemente detectadas rapidamente porque envolvem uma vítima real. Identidades sintéticas podem permanecer ativas por meses ou até anos antes de serem descobertas. Quando são detectadas, perdas financeiras substanciais já podem ter ocorrido, e muitas vezes não há um indivíduo real por trás da conta para ser perseguido.

As exchanges de criptomoedas, plataformas de ativos digitais e empresas fintech costumam depender fortemente da integração remota. Quais setores você acredita que estão atualmente mais expostos à fraude de identidade impulsionada por IA e onde as organizações ainda subestimam a ameaça?

Os setores mais expostos são aqueles que combinam integração totalmente remota com acesso imediato a valor financeiro. Isso inclui exchanges de criptomoedas, plataformas de ativos digitais, bancos digitais, fintechs, credores online, provedores de compra agora, pague depois, e operadores de iGaming.

O fator comum é que passar com sucesso na integração fornece acesso a dinheiro, crédito, carteiras, infraestrutura de pagamentos ou ativos transferíveis. Isso cria um forte incentivo para os atacantes.

Onde as organizações continuam a subestimar a ameaça é na sua dependência de suposições de verificação legadas. Muitas ainda operam sob a crença de que, se um documento corresponde a um modelo conhecido, ele deve ser genuíno. Essa suposição está se tornando cada vez mais perigosa em uma era em que a IA pode gerar documentos altamente convincentes em escala.

Além dos setores de alto risco tradicionais, também acredito que marketplaces, plataformas da economia de gig e provedores de finanças incorporadas estão subestimando sua exposição. À medida que as ferramentas de fraude se tornam mais acessíveis, qualquer plataforma que dependa do estabelecimento de confiança remota torna-se um alvo potencial.

Muitas empresas continuam a depender da verificação baseada em selfie como medida de segurança principal. Seu relatório argumenta que uma única verificação de selfie não é mais suficiente. Quais vulnerabilidades existem nos fluxos de integração tradicionais e como a verificação de identidade moderna deve ser em 2026?

Uma única selfie não é mais suficiente porque a IA pode gerar rostos humanos realistas sob demanda. Se a integração depende principalmente de uma verificação de selfie, as organizações podem ter visibilidade limitada sobre se estão interagindo com uma pessoa real, uma falsificação ou uma identidade completamente sintética.

Os fluxos de integração tradicionais permanecem vulneráveis a ataques de apresentação, reproduções de vídeo, deepfakes, trocas de rosto, ataques de injeção e identidades sintéticas que combinam rostos gerados por IA com documentos manipulados. Os atacantes não estão mais tentando enganar um único controle; eles estão projetando ataques especificamente para explorar fraquezas em todo o processo de integração.

A verificação de identidade moderna deve ser em camadas. Em vez de depender de um único sinal, as organizações devem combinar tecnologias certificadas anti-spoofing, como detecção de vivacidade iBeta Level 3, correspondência facial, verificação de documentos, detecção de ataques de injeção, inteligência de dispositivos, análise comportamental e verificação de bancos de dados autoritativos, quando disponíveis.

O objetivo não é simplesmente determinar se alguém parece real. O objetivo é estabelecer se a própria identidade é genuína, confiável e consistentemente vinculada a um indivíduo real através de múltiplos sinais independentes.

A tecnologia de deepfake está avançando rapidamente juntamente com os modelos de IA generativa. Os sistemas de detecção de fraude estão acompanhando o ritmo, ou estamos entrando em um período em que os atacantes têm uma vantagem temporária sobre os defensores?

Isso é, de fato, uma corrida armamentista, e eu seria cauteloso em relação a quem afirma que a batalha já foi vencida.

Os atacantes certamente se beneficiam do ritmo rápido da inovação em IA e da crescente disponibilidade de ferramentas generativas. Organizações que dependem de tecnologias de verificação legadas já estão em desvantagem. Nesses ambientes, os atacantes frequentemente têm a vantagem.

Ao mesmo tempo, os sistemas de detecção modernos estão evoluindo rapidamente. Em toda a indústria, abordagens forenses avançadas estão se tornando cada vez mais eficazes na identificação de conteúdo gerado por IA ao analisar artefatos de geração, sinais de integridade de captura, padrões de compressão, inconsistências biométricas e proveniência criptográfica.

A realidade é que nenhum dos lados tem vantagem permanente. O sucesso depende da adaptabilidade. A prevenção de fraude não pode mais depender de controles estáticos; requer modelos de detecção em constante evolução capazes de responder a novas técnicas de ataque à medida que surgem.

O relatório destaca três principais métodos de ataque: ataques de apresentação, ataques de injeção e criação de identidade sintética. Qual desses vetores de ataque mais o preocupa e por quê?

Se eu tivesse que escolher um, seria a criação de identidade sintética.

Os ataques de apresentação e de injeção são ameaças sérias, mas as identidades sintéticas criam um problema mais profundo e persistente porque atacam a própria camada de identidade. O objetivo não é simplesmente contornar uma sessão de verificação; é estabelecer uma identidade fraudulenta capaz de operar dentro do ecossistema financeiro por um período prolongado.

Uma vez que uma identidade sintética é integrada com sucesso, ela pode ser usada para obter crédito, criar contas de mula, movimentar fundos ilícitos, explorar incentivos e facilitar crimes financeiros mais amplos. Em muitos casos, essas identidades permanecem indetectáveis por longos períodos porque não há uma vítima real denunciando a fraude.

O que mais me preocupa é a escalabilidade. Combinadas com IA generativa e sistemas de integração automatizados, as identidades sintéticas podem ser criadas e implantadas em grande número, gerando riscos sistêmicos para instituições financeiras, fintechs e plataformas de criptomoedas.

À medida que os ativos digitais se tornam mais mainstream e a fiscalização regulatória aumenta globalmente, como você vê a fraude de identidade impulsionada por IA impactando os requisitos de conformidade de Conheça Seu Cliente (KYC) e de Anti-Lavagem de Dinheiro (AML)?

A fraude impulsionada por IA está acelerando a transição da verificação única para a avaliação contínua de confiança.

Historicamente, o KYC era frequentemente visto como um exercício de integração. Essa abordagem torna-se menos eficaz quando identidades sintéticas, deepfakes e documentos gerados por IA podem potencialmente passar nas verificações iniciais. As organizações precisam cada vez mais monitorar a confiança ao longo do ciclo de vida do cliente.

Na prática, isso significa maior ênfase em análise comportamental, monitoramento de transações, inteligência de dispositivos, triagem contínua de sanções e PEPs, e correlação de risco entre contas. Os programas de conformidade precisarão avaliar continuamente se uma conta permanece confiável após a integração.

Acredito também que os reguladores passarão a exigir cada vez mais que as organizações demonstrem não apenas que uma identidade foi verificada, mas como ela foi verificada. A auditabilidade dos controles de identidade, incluindo evidências de que os riscos de fraude gerados por IA foram ativamente considerados e mitigados, se tornará uma parte cada vez mais importante das estruturas de conformidade de KYC e AML.

Reguladores ao redor do mundo estão começando a abordar os riscos associados ao conteúdo gerado por IA e à fraude de identidade digital. Quais mudanças regulatórias você espera que tenham o maior impacto em instituições financeiras, fintechs e empresas de criptomoedas nos próximos anos?

Os reguladores estão começando a ir além de tratar a fraude gerada por IA como uma questão geral de cibersegurança e a abordá‑la diretamente. Um exemplo importante é o EU AI Act, que introduz obrigações de transparência em torno de conteúdo gerado e manipulado por IA. Espero que estruturas semelhantes surgam globalmente à medida que os reguladores reconhecem que deepfakes e identidades sintéticas criam riscos que vão além da gestão tradicional de fraude.

Também espero requisitos mais rigorosos em torno da segurança biométrica, detecção de ataques de apresentação e controles anti-spoofing. Normas como iBeta e estruturas de avaliação relacionadas ao NIST provavelmente desempenharão um papel maior na demonstração de conformidade e eficácia da gestão de risco.

Ao mesmo tempo, regulamentos de privacidade como GDPR e CCPA continuarão pressionando a indústria em direção à minimização de dados e a modelos de verificação de identidade que preservam a privacidade. Isso pode acelerar a adoção de carteiras de identidade digital, credenciais reutilizáveis e modelos de verificação baseados em atributos que permitem às organizações verificar reivindicações específicas sem coletar dados pessoais desnecessários.

O resultado será um ambiente regulatório mais maduro, onde segurança, privacidade e confiança devem ser abordados simultaneamente.

Olhando para os próximos três a cinco anos, você acredita que a indústria de verificação de identidade vencerá, em última análise, a corrida armamentista contra a fraude de IA generativa, ou a confiança digital exigirá um modelo totalmente novo além das verificações de identidade tradicionais?

Não acredito que a indústria vencerá a fraude de IA generativa usando apenas a verificação tradicional baseada em documentos. A tecnologia continuará a melhorar e os atacantes continuarão a se adaptar. Confiar exclusivamente em verificações de documentos e selfies provavelmente não será suficiente.

O que eu acredito é que a confiança digital está evoluindo para um modelo mais amplo e resiliente. O KYC tradicional continuará importante, mas será cada vez mais apoiado por identidades digitais confiáveis, biometria, inteligência de dispositivos, análise comportamental, credenciais criptográficas e monitoramento contínuo de risco.

Já estamos vendo elementos desse futuro por meio de programas de identidade digital apoiados por governos, credenciais reutilizáveis e ecossistemas de identidade digital confiáveis. Em vez de verificar repetidamente o mesmo indivíduo usando documentos em papel, as organizações confiarão cada vez mais em redes de identidade confiáveis que fornecem maior garantia com menos atrito.

O futuro da confiança digital será construído sobre múltiplas camadas de garantia trabalhando em conjunto. A IA generativa não está eliminando a confiança digital; está forçando a indústria a construir uma versão mais forte e resiliente dela. As organizações que terão sucesso serão aquelas que avaliam continuamente a confiança ao longo do ciclo de vida do cliente, em vez de depender de um único evento de verificação.

Obrigado pela ótima entrevista, leitores que desejam saber mais devem visitar Shufti.