Faryam Asif, Chief Technology Officer på Shufti – Intervjuserie

Faryam Asif, Chief Technology Officer på Shufti är en teknikchef som specialiserar sig på AI-drivet identitetsverifiering, bedrägeriförebyggande och säker digital onboarding. Sedan han började på Shufti som mjukvaruutvecklare 2018 har han avancerat genom flera ledande roller innan han blev Chief Technology Officer 2025, och ansvarar för företagets tekniska strategi och utvecklingen av dess globala identitetsverifieringsplattform. Han är också Chief Development Officer på Programmers Force och bidrar med omfattande erfarenhet av mjukvaruutveckling, produktutveckling och tekniskt ledarskap.

Shufti är en global identitetsverifierings- och efterlevnadsplattform som erbjuder AI-drivna KYC-, KYB-, AML- och bedrägeriförebyggande lösningar för finansiella institutioner, fintech-företag, kryptovalutaplattformar, marknadsplatser och andra reglerade branscher. Företaget är verksamt i mer än 240 länder och territorier och kombinerar biometrisk verifiering, dokumentautentisering, livfullhetsdetektering och AI-driven riskanalys för att hjälpa organisationer att effektivisera kundonboarding, uppfylla regulatoriska krav och försvara sig mot allt mer sofistikerade digitala bedrägerier.

Du började på Shufti 2018 som mjukvaruutvecklare och har sedan dess hjälpt till att bygga och skala företagets identitetsverifieringsinfrastruktur till en global plattform. Hur har karaktären av identitetsbedrägeri utvecklats under den perioden, och vilka förändringar har varit mest överraskande ur ett tekniskt ledarskapsperspektiv?

När jag började på Shufti 2018 som mjukvaruutvecklare var de flesta bedrägeriförsök fortfarande relativt manuella. Vi hanterade redigerade dokument, presentationsattacker och ganska grundläggande spoofing-tekniker. Under de senaste sju åren har jag sett hur bedrägerier har utvecklats från något som krävde betydande ansträngning och expertis till något som kan genereras på begäran med hjälp av AI.

Det som har överraskat mig mest är inte bara hur sofistikerat bedrägeriet har blivit, utan hur tillgängligt det har blivit. Generativ AI har i praktiken demokratiserat bedrägerier. Förmågor som tidigare krävde specialistkunskaper är nu tillgängliga via konsumentverktyg. Som vi framhäver i vår Deepfake Fraud Index beter sig bedrägerier alltmer som mjukvara: när de kan automatiseras kan de skala snabbt.

Två utvecklingar sticker ut. Den första är injektionsattacker, där angripare helt kringgår kameran och matar in syntetiskt innehåll direkt i en verifieringsström. Den andra är ökningen av syntetiska identiteter, där AI-genererade personas skapas i stor skala för att missbruka onboarding-system, erhålla finansiella tjänster eller underlätta penningtvätt. Gränsen mellan äkta och syntetiskt innehåll har blivit avsevärt svårare att dra, och den förändringen har fundamentalt förändrat hur identitetsverifiering måste närmas.

Shuftis Deepfake Fraud Index förutspår att dokumentdeepfakes kan öka med nästan 3 900 % år 2026, vilket gör dem till den snabbast växande kategorin av AI-drivet bedrägeri. Vilka faktorer driver denna explosiva tillväxt, och varför riktar bedragare sig i allt högre grad mot dokument snarare än ansikten eller videoströmmar?

Vår Deepfake Fraud Index förutspår att dokumentdeepfakes kommer att öka med nästan 3 900 % år 2026, vilket gör dem till den snabbast växande kategorin av AI-drivet bedrägeri. Tillväxten drivs av två krafter: den snabba utvecklingen av generativ AI och den ökande tillgängligheten av verktyg som gör det möjligt för nästan vem som helst att skapa övertygande falska dokument.

Det som tidigare krävde specialistkunskaper i redigering kan nu uppnås med AI-drivna verktyg som kan generera realistiska pass, körkort, räkningar, kontoutdrag och andra onboarding-dokument. Samtidigt förlitar sig många äldre verifieringssystem fortfarande starkt på OCR och mallmatchning. De kan läsa texten och validera en layout, men de har ofta svårt att avgöra om själva dokumentet är äkta.

Bedragare riktar in sig på dokument eftersom de utgör den enklaste vägen. Att besegra ett modernt livfullhetssystem kräver att man övervinner flera lager av detektering, medan många dokumentarbetsflöden fortfarande är beroende av relativt enkla valideringstekniker. Dessutom kan ett manipulerat dokument ofta återanvändas i flera institutioner och onboarding-flöden, vilket ger en mycket högre avkastning på investeringen för angriparna.

Den tillväxt vi ser är i slutändan en reflektion av bedrägeriekonomi. Angripare riktar sig konsekvent mot den svagaste kontrollen i en verifieringsprocess, och för många organisationer förblir dokument den svagaste länken.

Rapporten identifierar syntetiska identiteter som den största kategorin av AI-drivet bedrägeri, och de står för mer än 40 % av AI-bedrägeriverksamheten. Varför har syntetiska identiteter blivit en så effektiv attackvektor, och vad gör dem särskilt farliga för finansiella institutioner och kryptoplattformar?

Syntetiska identiteter har blivit effektiva eftersom de utnyttjar en grundläggande svaghet i många verifieringssystem: de framstår som legitima när enskilda datapunkter utvärderas isolerat.

Historiskt har syntetiska identiteter ofta kombinerat verklig och fabricerad information. Vad vi i allt större utsträckning ser nu är AI-genererade identiteter byggda kring syntetiska ansikten och personas som aldrig har existerat. Vår Deepfake Fraud Index fann att syntetiska identiteter står för 42,3 % av AI-drivet bedrägeri, vilket gör dem till den största kategorin av AI-drivet identitetsbedrägeri idag.

För finansiella institutioner, fintech-företag och kryptoplattformar är risken betydande eftersom en lyckad onboarding ofta ger omedelbar tillgång till finansiellt värde. När en syntetisk identitet väl har kommit in i ekosystemet kan den användas för att öppna konton, få kredit, kräva incitament, flytta pengar eller underlätta penningtvätt.

Det som gör syntetiska identiteter särskilt farliga är deras beständighet. Traditionellt bedrägeri upptäcks ofta snabbt eftersom det involverar ett verkligt offer. Syntetiska identiteter kan förbli aktiva i månader eller till och med år innan de upptäcks. När de väl upptäcks kan betydande finansiella förluster redan ha inträffat, och det finns ofta ingen verklig person bakom kontot att åtala.

Kryptovalutabörser, digitala tillgångsplattformar och fintech-företag förlitar sig ofta starkt på fjärronboarding. Vilka sektorer tror du för närvarande är mest utsatta för AI-drivet identitetsbedrägeri, och var underskattar organisationer fortfarande hotet?

De mest utsatta sektorerna är de som kombinerar helt fjärrbaserad onboarding med omedelbar tillgång till finansiellt värde. Det inkluderar kryptovalutabörser, digitala tillgångsplattformar, digitala banker, fintech-företag, online-långivare, buy‑now‑pay‑later‑leverantörer och iGaming‑operatörer.

Den gemensamma faktorn är att en lyckad onboarding ger tillgång till pengar, kredit, plånböcker, betalningsinfrastruktur eller överförbara tillgångar. Det skapar ett starkt incitament för angripare.

Där organisationer fortsätter att underskatta hotet är i deras förlitning på äldre verifieringsantaganden. Många tror fortfarande att om ett dokument matchar en känd mall, så måste det vara äkta. Detta antagande blir allt farligare i en era där AI kan generera mycket övertygande dokument i stor skala.

Utöver traditionella högrisksektorer tror jag också att marknadsplatser, gig‑ekonomiplattformar och leverantörer av inbäddad finansiering underskattar sin exponering. Allt eftersom bedrägeriverktyg blir mer tillgängliga blir varje plattform som förlitar sig på fjärrbaserad förtroendeskapande en potentiell måltavla.

Många företag fortsätter att förlita sig på selfie‑baserad verifiering som en primär säkerhetsåtgärd. Din rapport hävdar att en enda selfie‑kontroll inte längre är tillräcklig. Vilka sårbarheter finns i traditionella onboarding‑arbetsflöden, och hur bör modern identitetsverifiering se ut år 2026?

En enda selfie räcker inte längre eftersom AI kan generera realistiska mänskliga ansikten på begäran. Om onboarding huvudsakligen förlitar sig på en selfie‑kontroll kan organisationer ha begränsad insyn i huruvida de interagerar med en verklig person, en förfalskning eller en helt syntetisk identitet.

Traditionella onboarding‑arbetsflöden förblir sårbara för presentationsattacker, videouppspelningar, deepfakes, ansiktsbyten, injektionsattacker och syntetiska identiteter som kombinerar AI-genererade ansikten med manipulerade dokument. Angripare försöker inte längre lura en enda kontroll; de designar attacker specifikt för att utnyttja svagheter i hela onboarding‑processen.

Modern identitetsverifiering måste vara lagerbaserad. Istället för att förlita sig på en enda signal bör organisationer kombinera certifierade anti‑spoofing‑teknologier såsom iBeta Level 3 livfullhetsdetektering, ansiktsmatchning, dokumentverifiering, detektering av injektionsattacker, enhetsintelligens, beteendeanalys och auktoritativ databasverifiering där det är tillgängligt.

Målet är inte bara att avgöra om någon ser verklig ut. Målet är att fastställa om själva identiteten är äkta, pålitlig och konsekvent kopplad till en verklig individ över flera oberoende signaler.

Deepfake‑teknik utvecklas snabbt i takt med generativa AI‑modeller. Håller bedrägeridetekteringssystemen jämna steg, eller går vi in i en period där angripare har ett tillfälligt försprång gentemot försvararna?

Det är verkligen ett kapprustning, och jag skulle vara försiktig med någon som påstår att striden redan är vunnen.

Angripare drar definitivt nytta av den snabba takten i AI‑innovation och den ökande tillgängligheten av generativa verktyg. Organisationer som förlitar sig på äldre verifieringstekniker har redan en nackdel. I sådana miljöer har angriparna ofta övertaget.

Samtidigt utvecklas moderna detekteringssystem snabbt. I hela branschen blir avancerade forensiska metoder allt mer effektiva på att identifiera AI‑genererat innehåll genom att analysera genereringsartefakter, inspelningsintegritetssignaler, komprimeringsmönster, biometriska inkonsekvenser och kryptografiskt ursprung.

Verkligheten är att ingen av sidorna har ett permanent försprång. Framgång beror på anpassningsförmåga. Bedrägeriförebyggande kan inte längre förlita sig på statiska kontroller; det kräver kontinuerligt utvecklande detekteringsmodeller som kan svara på nya attacktekniker när de uppstår.

Rapporten rapport lyfter fram tre huvudattackmetoder: presentationsattacker, injektionsattacker och skapande av syntetiska identiteter. Vilken av dessa attackvektorer oroar dig mest, och varför?

Om jag måste välja en, skulle det vara skapandet av syntetiska identiteter.

Presentationsattacker och injektionsattacker är allvarliga hot, men syntetiska identiteter skapar ett djupare och mer bestående problem eftersom de attackerar själva identitetslagret. Målet är inte bara att kringgå en verifieringssession; det är att etablera en bedräglig identitet som kan verka inom det finansiella ekosystemet under en längre period.

När en syntetisk identitet har lyckats onboardas kan den användas för att få kredit, skapa så kallade mule‑konton, flytta illegala medel, utnyttja incitament och underlätta bredare finansiell brottslighet. I många fall förblir dessa identiteter oupptäckta under långa perioder eftersom det inte finns något verkligt offer som rapporterar bedrägeriet.

Det som oroar mig mest är skalbarheten. I kombination med generativ AI och automatiserade onboarding‑system kan syntetiska identiteter skapas och distribueras i stora mängder, vilket skapar systematiska risker för finansiella institutioner, fintech-företag och kryptoplattformar.

När digitala tillgångar blir mer mainstream och regulatorisk granskning ökar globalt, hur ser du att AI-drivet identitetsbedrägeri påverkar Know Your Customer (KYC) och Anti-Money Laundering (AML) efterlevnadskrav?

AI-drivet bedrägeri påskyndar övergången från engångsverifiering till kontinuerlig förtroendeutvärdering.

Historiskt har KYC ofta betraktats som en onboarding‑övning. Detta tillvägagångssätt blir mindre effektivt när syntetiska identiteter, deepfakes och AI-genererade dokument potentiellt kan klara de initiala verifieringskontrollerna. Organisationer måste i allt högre grad övervaka förtroendet under hela kundlivscykeln.

I praktiken innebär detta större fokus på beteendeanalys, transaktionsövervakning, enhetsintelligens, löpande sanktioner‑ och PEP‑screening samt korskontokorrelation av risker. Efterlevnadsprogram måste kontinuerligt utvärdera huruvida ett konto förblir pålitligt efter onboarding.

Jag tror också att regulatorer i allt högre grad kommer att förvänta sig att organisationer visar inte bara att en identitet har verifierats, utan hur den verifierades. Spårbarheten i identitetskontroller, inklusive bevis på att AI-genererade bedrägeririsker aktivt beaktats och mildrats, kommer att bli en allt viktigare del av KYC‑ och AML‑efterlevnadsramverk.

Regulatorer världen över börjar ta itu med riskerna som är förknippade med AI-genererat innehåll och digitalt identitetsbedrägeri. Vilka regulatoriska förändringar förväntar du dig kommer att ha störst inverkan på finansiella institutioner, fintech-företag och kryptoföretag under de kommande åren?

Regulatorer börjar gå bortom att behandla AI-genererat bedrägeri som ett generellt cybersäkerhetsproblem och tar itu med det direkt. Ett viktigt exempel är EU:s AI‑lag, som inför transparensskyldigheter kring AI-genererat och manipulerat innehåll. Jag förväntar mig att liknande ramverk kommer att uppstå globalt när regulatorer inser att deepfakes och syntetiska identiteter skapar risker som sträcker sig bortom traditionell bedrägerihantering.

Jag förväntar mig också starkare krav på biometrisk säkerhet, detektering av presentationsattacker och anti‑spoofing‑kontroller. Standarder såsom iBeta och NIST‑relaterade utvärderingsramverk kommer sannolikt att spela en större roll för att demonstrera efterlevnad och effektivitet i riskhantering.

Samtidigt kommer integritetsregler som GDPR och CCPA fortsätta driva branschen mot dataminimering och integritetsskyddande identitetsverifieringsmodeller. Detta kan påskynda antagandet av digitala identitetsplånböcker, återanvändbara autentiseringsuppgifter och attributbaserade verifieringsmodeller som gör det möjligt för organisationer att verifiera specifika påståenden utan att samla in onödig personlig data.

Resultatet blir en mer mogen regulatorisk miljö där säkerhet, integritet och förtroende måste hanteras samtidigt.

När vi ser tre till fem år framåt, tror du att identitetsverifieringsbranschen slutligen kommer att vinna kapprustningen mot generativ AI‑bedrägeri, eller kommer digitalt förtroende att kräva en helt ny modell bortom traditionella identitetskontroller?

Jag tror inte att branschen kommer att besegra generativ AI‑bedrägeri enbart med traditionell dokumentbaserad verifiering. Tekniken kommer att fortsätta förbättras och angripare kommer att fortsätta anpassa sig. Att enbart förlita sig på dokumentkontroller och selfie‑verifiering kommer sannolikt inte att vara tillräckligt.

Det jag tror är att digitalt förtroende utvecklas mot en bredare och mer motståndskraftig modell. Traditionell KYC kommer att förbli viktig, men den kommer i allt högre grad att stödjas av betrodda digitala identiteter, biometrik, enhetsintelligens, beteendeanalys, kryptografiska autentiseringsuppgifter och kontinuerlig riskövervakning.

Vi ser redan element av denna framtid genom statligt stödda digitala identitetsprogram, återanvändbara autentiseringsuppgifter och betrodda digitala identitetsekosystem. Istället för att upprepade gånger verifiera samma individ med pappersdokument kommer organisationer i allt högre grad att förlita sig på betrodda identitetsnätverk som ger starkare säkerhet med mindre friktion.

Framtiden för digitalt förtroende kommer att byggas på flera lager av säkerhet som arbetar tillsammans. Generativ AI eliminerar inte digitalt förtroende; den tvingar branschen att bygga en starkare och mer motståndskraftig version av det. De organisationer som lyckas blir de som kontinuerligt utvärderar förtroendet under hela kundlivscykeln snarare än att förlita sig på en enda verifieringshändelse.

Tack för den fantastiska intervjun, läsare som vill lära sig mer bör besöka Shufti.