Negli ultimi anni, la frode d’identità alimentata dall’IA ha subito una trasformazione radicale. Non si tratta più di singoli truffatori isolati: oggi, reti di criminalità organizzata e gruppi di frode coordinata sfruttano identità, dispositivi e documenti condivisi per aggirare i controlli KYC (Know Your Customer) e facilitare la criminalità finanziaria su scala globale. Il Rapporto sulle Frodi d’Identità 2026 di Shufti, basato su dati reali della sua rete di verifica, offre uno spaccato inquietante su come questi gruppi sfruttino le nuove tecnologie per moltiplicare i tentativi di frode.
Deepfake e IA generativa: il nuovo volto della criminalità
L’avvento dell’IA generativa ha abbattuto i costi e le barriere tecniche per la creazione di identità false convincenti. Oggi, un singolo operatore può riciclare la stessa identità, documento o dispositivo in decine di tentativi di verifica, spesso in settori diversi e in paesi differenti. I dati raccolti da Shufti nella prima metà del 2026 mostrano che il fenomeno è ormai diffuso in almeno undici settori, con il settore crypto che registra la più alta esposizione: il 22,49% delle richieste di verifica risulta fraudolento.
Un esempio emblematico riguarda una rete coordinata che ha collegato 70 identità tramite 13 dispositivi condivisi e documenti deepfake, con un singolo dispositivo utilizzato per ben 16 eventi di verifica. L’intervallo più rapido tra la comparsa della stessa operazione in due giurisdizioni diverse è stato di appena 38 secondi, troppo poco perché si tratti di un movimento fisico reale: la prova evidente di un’infrastruttura condivisa e automatizzata.
Le tecniche di attacco più diffuse
Attacchi di presentazione
Questa tipologia di attacco prevede l’introduzione di un artefatto manipolato (come un volto generato dall’IA, un documento alterato o una maschera fisica) davanti alla telecamera durante la verifica biometrica. L’obiettivo è ingannare il sistema presentando un’immagine o un video che sembri autentico.
Attacchi a iniezione
Gli attacchi di iniezione sono ancora più sofisticati: saltano completamente la fase di presentazione fisica, inserendo direttamente immagini o flussi video manipolati nella pipeline di verifica tramite telecamere virtuali o emulatori. In questo caso, il problema riguarda sia l’integrità del software sia l’autenticità del documento.
Frode basata sulle infrastrutture
Qui, i truffatori sfruttano infrastrutture tecniche condivise: emulatori di dispositivi, dispositivi falsificati, reti proxy, indirizzi IP controllati e risorse di identità riutilizzate. Questo approccio consente di eseguire attacchi di verifica su larga scala, riciclando continuamente gli stessi artefatti fraudolenti.
I numeri della frode: documenti deepfake e identità sintetiche
Secondo il Deepfake Identity Fraud Report 2026 di Shufti, la maggior parte delle frodi d’identità alimentate dall’IA si concentra su quattro artefatti principali:
- **Frode documentale deepfake (80,10%)**: documenti autentici modificati tramite sostituzione fotografica o alterazione dei dati, spesso riutilizzati in molteplici applicazioni.
- **Identità sintetiche (12,31%)**: combinazione di dati reali e inventati per creare persone che non esistono ma appaiono legittime.
- **Video iniettati (4,01%)**: flussi preregistrati o generati inviati direttamente nella pipeline di verifica.
- **Scambi di facce (3,58%)**: sostituzione del volto del richiedente con quello di un altro individuo o di un composito sintetico.
Settori più colpiti: crypto, fintech e oltre
L’esposizione alle frodi d’identità varia notevolmente tra i settori. Il crypto è il più vulnerabile, con il 22,49% delle richieste di verifica risultate fraudolente. Seguono fintech (18,36%), forex (17,18%), prestiti e investimenti (17,08%) e sanità (15,94%). Anche settori come assicurazione, pagamenti, ecommerce, gaming, telecomunicazioni e bancario sono coinvolti, sebbene con percentuali inferiori.
Reti di frode coordinate: la nuova frontiera della criminalità organizzata
Il rapporto di Shufti evidenzia come le frodi organizzate siano sempre più facilitate da ecosistemi criminali interconnessi. Questi gruppi condividono artefatti di identità, dispositivi e segnali infrastrutturali, rendendo difficile per i sistemi tradizionali di verifica identificare e bloccare i tentativi fraudolenti.
- Il 65,68% delle corrispondenze tra tentativi fraudolenti separati deriva dal riutilizzo dello stesso documento d’identità.
- Il 98,78% dei cluster collegati coinvolge tra due e dieci identità, a dimostrazione che la maggior parte della coordinazione avviene in celle di piccole dimensioni.
- Il 2,01% dei tentativi fraudolenti si estende su più paesi, spesso in connessione con attività di riciclaggio di denaro.
Un caso rilevante riguarda una rete connessa originata in Nigeria, che ha collegato 70 identità tramite documenti fraudolenti, dispositivi e indirizzi IP condivisi. Un singolo dispositivo era associato a 16 eventi di verifica, mentre un indirizzo IP collegava cinque eventi distinti.
Attività transfrontaliera: la firma del coordinamento criminale
L’attività transfrontaliera è uno degli indicatori più chiari di coordinamento criminale. I dati di Shufti mostrano che l’intervallo tipico tra la comparsa della stessa operazione in due paesi diversi è di 9 minuti e 33 secondi, con casi estremi di appena 38 secondi. Le giurisdizioni più colpite includono Stati Uniti (25,2%), Regno Unito (11,3%), Pakistan (7,3%), Messico (7,0%), Vietnam (6,5%) e Francia (4,7%).
Strategie multilivello per la prevenzione delle frodi
Contrastare la frode d’identità richiede un approccio multilivello:
1. Verifica multilivello: autenticazione dei documenti, matching biometrico, liveness e rilevamento deepfake devono essere integrati, così che nessun singolo artefatto sia considerato affidabile da solo.
2. Intelligenza della rete di identità: fingerprinting dei dispositivi, analisi di rete e degli attributi condivisi tra documenti e dispositivi per smascherare la rete dietro il tentativo fraudolento.
3. Verifica comportamentale e continua: biometria comportamentale e controlli periodici impediscono alle reti di sfruttare un account anche dopo l’onboarding.
4. Decisioni basate sul rischio: i tentativi puliti vengono risolti automaticamente, mentre i casi sospetti sono sottoposti a revisione, ottimizzando i controlli senza penalizzare gli utenti legittimi.
Oltre l’onboarding: la necessità di una vigilanza continua
La sicurezza dell’identità non può fermarsi all’onboarding. Una rete coordinata si riconosce dal comportamento nel tempo e tra account diversi. È fondamentale rivalutare la fiducia in occasione di login, recupero account, transazioni di alto valore, cambi di beneficiari e revisioni periodiche, sfruttando gli stessi segnali di intelligence di rete che permettono di individuare le frodi coordinate fin dall’inizio.
In un contesto in cui la frode d’identità diventa sempre più sofisticata e globale, solo un approccio integrato e dinamico può garantire la sicurezza delle piattaforme digitali e la protezione degli utenti autentici.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
