Shahid Hanif, CEO and Co-Founder of Shufti – Interview Series – Unite.AI

Sjahid HanifCEO en medeoprichter van Shufti, is een technologieondernemer met uitgebreide ervaring in het bouwen van identiteitsverificatie, fintech, blockchain en gedecentraliseerde softwareplatforms. Hij was medeoprichter van Shufti in 2017 en was ruim zeven jaar Chief Technology Officer, waarbij hij leiding gaf aan de interne ontwikkeling van de op kunstmatige intelligentie gebaseerde biometrische en documentverificatietechnologie voordat hij in december 2024 CEO werd. Hanif is ook de oprichter van Developers Studio, een blockchain-ontwikkelingsbedrijf met meer dan 100 specialisten, en was voorheen CTO van Quickbit, waar hij hielp bij de ontwikkeling van de cryptocurrency-betalingstechnologie voorafgaand aan de beursintroductie van het bedrijf. Eerder was hij medeoprichter van Programmers Force en hielp hij het software- en datawetenschapsbedrijf uit te breiden naar meer dan 500 werknemers verspreid over tien kantoren op drie continenten.

Shufti is een door kunstmatige intelligentie aangedreven platform voor identiteitsverificatie dat organisaties helpt vertrouwen op te bouwen, fraude te voorkomen en te voldoen aan de vereisten van Know Your Customer, Know Your Business en Anti-Money Laundering. Het platform brengt document- en biometrische verificatie, elektronische identiteitsverificatie, NFC-gebaseerde controles, bedrijfsverificatie, leeftijdsgarantie, fraudedetectie, voortdurende monitoring en casemanagement samen via een uniforme infrastructuur. Het bedrijf ondersteunt duizenden documenttypen en meer dan 150 talen in meer dan 240 landen en gebieden, waardoor bedrijven klanten en organisaties kunnen verifiëren via één enkele wereldwijde integratie. De technologie onderzoekt de authenticiteit van documenten, biometrische liveness, apparaatintelligentie en andere risicosignalen om vervalste documenten, deepfakes, accountmanipulatie en gecoördineerde identiteitsaanvallen te detecteren.

Toen u medeoprichter was Shufti in 2017 leidde u aanvankelijk de technologische ontwikkeling van het bedrijf als Chief Technology Officer voordat u in 2024 CEO werd. Welke tekortkomingen in de digitale identiteitsverificatie motiveerden u oorspronkelijk om het platform te bouwen, en hoe is uw begrip van het probleem veranderd met de opkomst van generatieve AI?

Toen we Shufti in 2017 medeoprichtten, waren de grootste uitdagingen trage verificatie, te veel handmatig werk en systemen die in verschillende landen niet goed werkten. Veel oplossingen voor identiteitsverificatie waren inconsistent, vooral in sectoren met een hoog risico. Ze hadden ook moeite met het verifiëren van documenten in niet-Latijnse talen en konden identiteiten van over de hele wereld niet op betrouwbare wijze verifiëren.

Tegenwoordig heeft generatieve AI het probleem veranderd. Het gaat niet langer alleen om het lezen van een identiteitsbewijs. Het gaat erom te weten of het document en de persoon die het presenteert echt zijn. AI heeft identiteitsfraude sneller, goedkoper en veel gemakkelijker opschaalbaar gemaakt. We hebben geleerd dat iemand één keer verifiëren tijdens de onboarding niet langer voldoende is. Bedrijven hebben nu AI nodig die zelfs de meest geavanceerde valse documenten en identiteiten kan detecteren.

Belgische autoriteiten waarschuwde onlangs dat het afgelopen jaar meer dan 10.000 mensen het slachtoffer zijn geworden van door AI ondersteunde identiteitsfraude. Wat onthult deze zaak over hoe snel identiteitscriminaliteit zich ontwikkelt, en waarom zijn door AI gegenereerde kopieën van legitieme documenten bijzonder moeilijk te detecteren?

De waarschuwing van de Belgische autoriteiten over 10.000 slachtoffers is slechts het topje van de ijsberg. Het laat zien dat criminelen zijn overgestapt van eenvoudige documentbewerking naar volledige identiteitssynthese.

Door AI gegenereerde kopieën zijn moeilijk te detecteren omdat ze overheidssjablonen met precisie op pixelniveau kunnen nabootsen. Traditionele OCR (Optical Character Recognition) richt zich op het extraheren van tekst, maar negeert de visuele integriteit van de afbeelding. AI kan nu beveiligingskenmerken repliceren waarvoor voorheen fysieke aanwezigheid nodig was om te verifiëren, waardoor een plat beeld van een document een risico wordt in plaats van een identiteitsbewijs.

Hoe verschilt een door AI gegenereerde kopie van een gestolen identiteitsdocument van een conventionele vervalsing, een gemanipuleerd document en een volledig synthetische identiteit?

Het is belangrijk om onderscheid te maken tussen deze methoden:

Conventionele vervalsing: Een fysiek vals document.

Gemanipuleerd document: een legitiem ID waarin specifieke velden (zoals een naam of geboortedatum) zijn gewijzigd.

Synthetische identiteit: een ‘Frankenstein’-persona opgebouwd door gestolen echte gegevens (zoals een SSN) te combineren met verzonnen details.

Door AI gegenereerde kopie: een deepfake-document dat helemaal opnieuw is gemaakt of een gestolen sjabloon met behulp van Generative Adversarial Networks (GAN’s). Deze ontberen vaak digitale geschiedenis en bevatten forensische artefacten zoals inconsistenties in sensorruis die het menselijk oog niet kan zien.

Shufti-projecten die deepfakes documenteren zouden dit jaar met bijna 3.900% kunnen toenemen. Welke activiteit drijft deze projectie aan, en welke aannames of beperkingen moeten organisaties begrijpen bij het interpreteren ervan?

We verwachten een toename van 3.900% in het aantal deepfakes van documenten, omdat AI het maken en opschalen van fraude veel gemakkelijker heeft gemaakt. Criminelen wisselen niet langer alleen maar van gezicht op foto’s. Ze kunnen nu volledige valse identiteitsdocumenten genereren die vaak langs oudere verificatiesystemen glippen.

Het is belangrijk om te begrijpen dat deze projectie weerspiegelt hoe snel AI-aangedreven fraude groeit, en niet alleen hoeveel valse documenten er bestaan. De grootste uitdaging is dat veel systemen voor identiteitsverificatie jaren geleden zijn ontworpen en geen geavanceerde, door AI gegenereerde vervalsingen kunnen detecteren, zoals realistische hologrammen of gezichtsvervormingen. Als gevolg hiervan kunnen valse identiteiten door controles heen komen en verborgen blijven in bedrijfsdatabases.

Veel bedrijven beschouwen een foto of scan van een identiteitsbewijs nog steeds als voldoende identiteitsbewijs. Welke signalen moet een modern verificatiesysteem onderzoeken naast de zichtbare informatie op het document?

De grootste verschuiving is dat bedrijven niet meer kunnen vertrouwen op traditionele documentcontroles. Ze hebben behoefte aan wat wij een “Digital Eye”-aanpak noemen. In plaats van alleen de informatie op een identiteitsbewijs te lezen, moet het systeem onderzoeken of het document zelf echt is.

Dat betekent zoeken naar subtiele signalen die mensen niet gemakkelijk kunnen herkennen, zoals of het beeld van een scherm is vastgelegd, ongebruikelijke pixelpatronen, inconsistente verlichting of sporen achtergelaten door AI-beeldgeneratoren. We controleren ook op tekenen dat delen van het document zijn gekopieerd, verplaatst of digitaal gewijzigd, evenals op inconsistenties in de metagegevens en beeldkwaliteit. Wanneer u al deze signalen combineert, is de kans veel groter dat u geavanceerde, door AI gegenereerde documenten ontdekt die oudere verificatiesystemen eenvoudigweg als echt zouden accepteren.

U heeft betoogd dat identiteitsborging continu moet zijn en niet beperkt moet blijven tot het onboarden van klanten. Hoe zou continue verificatie er in de praktijk uit kunnen zien, en hoe kunnen bedrijven dit implementeren zonder overmatig toezicht, privacyrisico’s of klantfrictie te introduceren?

Het tijdperk van de ‘eenmalige cheque’ is voorbij. Continue identiteitsgarantie betekent dat het gebruikersrisico van meer dan 1.700 volglijsten zo vaak als elke 15 minuten wordt vernieuwd om “niet-naleving met terugwerkende kracht” te voorkomen.

Om dit zonder wrijving of privacyrisico’s te implementeren, maken we gebruik van biometrisch gebonden herbruikbare identiteiten (FastID). Zodra een gebruiker is geverifieerd, kan hij of zij binnen twee seconden opnieuw verifiëren voor acties met een hoog risico (zoals grote opnames) met alleen een gezichtsscan. Hierdoor is er geen noodzaak meer voor het herhaaldelijk uploaden van documenten, terwijl de veiligheid hoog blijft.

Fraudeurs kunnen nu synthetische documenten combineren met face-swaps, deepfake-video, injectie-aanvallen en gestolen persoonlijke informatie. Hoe moeten identiteitsplatforms documentintegriteit, biometrische liveness, apparaatintelligentie en gedragsanalyse met elkaar verbinden om deze gecoördineerde aanvallen te identificeren?

Fraudeurs worden steeds geavanceerder. In plaats van slechts één techniek te gebruiken, combineren ze nu door AI gegenereerde documenten, face swaps en injectie-aanvallen om identiteitscontroles te omzeilen. Daarom moeten bedrijven naar het volledige plaatje kijken in plaats van te vertrouwen op één enkele verificatiestap.

Bij Shufti doen we dit door middel van contextbewuste risicoscores. We analyseren het apparaat dat wordt gebruikt om emulators of headless browsers te detecteren, verifiëren dat de gebruiker fysiek aanwezig is met iBeta Level 2-gecertificeerde passieve liveness-detectie en zoeken naar verdachte patronen in accounts door identiteitsgegevens, apparaatvingerafdrukken en gebruikersgedrag te analyseren. Door deze signalen te combineren, wordt het veel gemakkelijker om fraude te identificeren voordat deze schade veroorzaakt.

Generatieve modellen zullen blijven verbeteren, terwijl fraudeurs opzettelijk synthetische media kunnen comprimeren, opnieuw scannen of wijzigen om manipulatie-artefacten te verbergen. Hoe testen verificatieproviders of hun detectiesystemen effectief blijven tegen nieuwe en voorheen ongeziene aanvalsmethoden?

De uitdaging is dat door AI gegenereerde fraude veel sneller evolueert dan traditionele beveiligingstestcycli. Verificatieproviders moeten hun systemen voortdurend evalueren op basis van nieuwe aanvalstechnieken, in plaats van te vertrouwen op historische datasets. Dat betekent testen met synthetische documenten, opnieuw gecomprimeerde afbeeldingen, heropnames van schermen, injectie-aanvallen en andere gemanipuleerde media die zijn ontworpen om voor de hand liggende artefacten te verbergen. De focus verschuift steeds meer van het detecteren van een specifiek type deepfake naar het identificeren van inconsistenties in meerdere signalen, omdat deze voor aanvallers moeilijker te repliceren zijn naarmate generatieve AI verbetert.

Identiteitsverificatiesystemen kunnen ernstige gevolgen hebben als ze legitieme gebruikers ten onrechte weigeren. Hoe moeten ontwikkelaars valse positieven, demografische prestaties en toegankelijkheid meten, naast de nauwkeurigheid van fraudedetectie?

Nauwkeurigheid zou niet alleen moeten gaan over het vangen van de “slechteriken”; het gaat erom een ​​wrijvingsloos pad te garanderen voor de ‘goeden’. In onze branche richten we ons op de Failure to Extract Rate (FTXR) – die meet hoe vaak een systeem er eenvoudigweg niet in slaagt een gezicht of document te ‘lezen’ – en de False Non-Match Rate (FNMR), waarbij echte gebruikers ten onrechte worden afgewezen. Volgens de bronnen vertoonden de prestaties van Shufti in de DHS RIVR 2025 Benchmark een extractiefout van 0% op meerdere apparaten en een FNMR in het slechtste geval van minder dan 0,68%.

Ontwikkelaars moeten verder gaan dan ‘laboratoriumgemiddelden’ en de prestaties meten aan de hand van ‘worst case’ demografische resultaten. Dit betekent dat er specifiek wordt getest op consistentie tussen verschillende huidtinten, gezichtsstructuren en culturele kleding. We bereiken dit door onze AI te trainen op wereldwijd diverse datasets die miljoenen frames bevatten. Een robuuste evaluatie is pas voltooid als u heeft bewezen dat uw systeem net zo nauwkeurig is voor een gebruiker in een landelijke regio met slechte verlichting als in een gecontroleerde kantooromgeving. Het doel is een uniforme identiteitslaag die eerlijk, inclusief en voor iedereen toegankelijk blijft.

Zullen technologieën zoals door de overheid gesteunde digitale identiteitsportefeuilles, cryptografisch verifieerbare inloggegevens en biometrisch gebonden identiteiten uiteindelijk de geüploade documentafbeeldingen overbodig maken, of zullen ze eenvoudigweg een nieuwe reeks aanvalsoppervlakken creëren?

We gaan absoluut richting een toekomst waarin mensen niet zo vaak foto’s van hun identiteitsdocumenten hoeven te uploaden. Door de overheid gesteunde digitale identiteitsportefeuilles en vertrouwde digitale ID’s maken het bewijzen van uw identiteit veel sneller en veiliger, omdat ze het mogelijk maken dat informatie rechtstreeks wordt geverifieerd, in plaats van te vertrouwen op een afbeelding van een document. Ze zorgen ook voor een soepelere gebruikerservaring door de tijd die nodig is om de verificatie te voltooien, te verkorten.

Dat gezegd hebbende, creëert elke nieuwe technologie nieuwe kansen voor criminelen. In plaats van documenten te vervalsen, kunnen aanvallers proberen digitale inloggegevens te stelen, accounts over te nemen of vertrouwde identiteiten te kapen. Daarom zijn digitale inloggegevens alleen niet voldoende. Het is nog steeds belangrijk om te bevestigen dat de persoon die de identiteit gebruikt de legitieme eigenaar is, bijvoorbeeld door middel van biometrische verificatie en liveness-checks. De toekomst van identiteitsverificatie zal waarschijnlijk vertrouwde digitale gegevens combineren met biometrie, waardoor meerdere beschermingslagen ontstaan ​​in plaats van te vertrouwen op één enkele methode.

Bedankt voor het geweldige interview, lezers die meer willen weten, moeten eens langskomen Shufti.