Всяка разумна компания знае колко е важно да отделя време и ресурси за откриването и предотвратяване на измами със самоличност. С развитието на изкуствения интелект опитите за измами стават все по-сложни, изисквайки иновативни мерки за противодействие.
Благодарение на високото усъвършенстване на съвременните AI технологии, измамниците днес могат да създават хиперреалистични изображения и видеоклипове само за няколко минути. По този начин те могат да създадат фалшиви документи за самоличност, които могат да заблудят дори обучени професионалисти.
Какво всъщност включва предотвратяването на подобни измами? Как трябва да изглежда вашата стратегия за борба с измами със самоличност в ерата на реалистични дийпфейкове и синтетични идентичности?
По-долу ви представяме основите на предотвратяването и засичането на измами със самоличност, както и най-често срещаните схеми, с които може да се сблъскате. Ето как да защитите бизнеса си и да предотвратите измами със самоличност.
Какво представляват предотвратяването и засичането на измами?
Предотвратяването на измами със самоличност включва всички процеси, които правят използването на фалшиви или синтетични самоличности възможно най-трудно. Това включва откриването на подозрително поведение преди да ви засегне и прилагането на стъпки за точно идентифициране на лицето или организацията, които се опитват да достъпят услугите ви.
Откриването на измами, от друга страна, е моментно действие, което се случва, когато вашият уебсайт или приложение установи, че някой действително се опитва да наруши вашите политики и да извърши измама.
Откриването на измами може да се случи по време на самия опит за измама или след него, като ви уведоми, че това се е случило. В последния случай все още може да имате време да реагирате и да ограничите загубите, ако има такива.
Основни разлики
Предотвратяването се фокусира върху създаването на препятствия за измамниците, за да ги държи настрана. Откриването на измами, от друга страна, идентифицира кога някой се опитва да преодолее тези препятствия.
Двете системи работят заедно, за да поддържат системите ви възможно най-сигурни. Независимо от това, това са два отделни процеса и може да се наложи да използвате комбинация от решения, за да разработите добре балансирана стратегия за защита.
За по-добро разбиране на разликите между тези процеси, разгледайте следните примери:
Предотвратяване:
- Проверка на самоличността
- Многофакторна автентикация
- Редовни оценки на риска
Откриване на измами:
- Анализ на потребителското поведение чрез машинно обучение
- Уведомления за подозрителна активност
- Анализ на случаи на подозрително поведение
Както виждате, двата подхода не се припокриват, а по-скоро се допълват.
Как работи предотвратяването на измами със самоличност?
За да противодействате на измамите със самоличност и да защитите клиентите си, трябва да инвестирате в подходящи мерки за защита. Освен това трябва да обучите вашия персонал да следва правилата за безопасност и да научите как да защитавате данните на потребителите.
Според информация от Центъра за ресурси за кражба на самоличност, компаниите инвестират в следните инструменти и практики в своите стратегии за предотвратяване на измами:
- Софтуерни решения за сигурност
- Обучение на персонала
- Обособени служители за сигурност
- Други мерки за безопасност
По-конкретно, ето няколко метода за защита на вашия бизнес и клиенти от измами със самоличност.
Проверка на самоличността
Източник: Freepik
На първо място, трябва да можете точно да идентифицирате клиента. Не можете да предотвратите измамите със самоличност, ако не знаете с кого точно общувате.
Правилният процес на електронна идентификация трябва да включва сканиране на официален документ за самоличност (лична карта, паспорт, шофьорска книжка) и проверка на неговата валидност. Идеално би било вашата система да може да сравнява документа с местни регистри, за да потвърди, че е автентичен.
Освен това трябва да извършите проверка за жизнеността – процедура за видео селфи, която изисква потребителят да следва указания в реално време, за да потвърди, че наистина е там. Тази проверка също трябва да изключи възможността потребителят да е жертва на принудителна идентификация от друго лице, което се опитва да извърши измама.
Когато автоматизирана проверка за жизненост не е налична, може да се извърши и видео интервю с ваш служител. Въпреки това, от гледна точка на потребителското преживяване, по-бързата и по-проста автоматизирана проверка се приема по-добре.
Многофакторна автентикация
Препоръчително е да комбинирате няколко метода за автентикация при влизане на потребителите, за да гарантирате, че правилният човек достъпва профила.
Многофакторната автентикация обикновено включва комбинация от таен въпрос или ПИН, еднократна парола (OTP) и биометрични данни, напр. отпечатък или сканиране на лице. Това позволява да потвърдите, че потребителят е собственик на акаунта и че влизането е от одобрено устройство.
Защита на чувствителна информация
От ваша страна трябва да се уверите, че цялата ви организация разполага с мерки за защита на данните. Всички използвани програми трябва да бъдат актуални и всички сертификати за сигурност трябва да са валидни.
Освен това трябва да защитите данните с антивирусен и анти-малуер софтуер. Тези стъпки са задължителният минимум за безопасност на данните.
Що се отнася до вашия персонал, ограничаването на достъпа до данни само по необходимост може допълнително да укрепи сигурността. Това ще гарантира, че служителите виждат само информацията, от която имат нужда, докато останалите данни на потребителя остават скрити.
Също така, криптирането на всички данни ще ги защити по-добре срещу хакове. Това трябва да бъде част от стратегията ви за предотвратяване на изтичане на данни.
Мониторинг на потребителското поведение
Добре е вашият бизнес да използва инструменти за изучаване на потребителското поведение. Такъв софтуер ще ви помогне да идентифицирате какво е нормално за всеки клиент. Например, колко често влизат в системата, в колко часа, от какви локации и т.н.
Докато това може да звучи малко инвазивно, то е от изключителна важност за разпознаването на необичайни действия.
Например, да предположим, че сте банка, която е издала кредитна карта на лицето X. Чрез мониторинг на поведението на X сте установили, че обикновено влизат от Виена и харчат не повече от 1500 евро месечно.
Внезапно вашите системи регистрират, че кредитната карта на X е използвана в Бразилия, за да се добавят 5000 евро към сметка в онлайн казино. Вашият мониторинг показва, че никога досега не е имало разходи, свързани с хазарт, нито плащания в Южна Америка.
В такива случаи можете да изпратите на X имейл или push нотификация за потвърждение на транзакцията. Дори можете да направите проверка чрез обикновен телефонен разговор. Има възможност X да пътува и наистина да е направил плащането.
Въпреки това, в случай че не е, рискът от потенциална финансова загуба за X (и за вашата банка, ако възстановявате средствата) надхвърля неудобството от допълнителна автентикация.
Най-важният детайл тук е, че нищо от това не би било възможно, ако не наблюдавате потребителското поведение. Няма как да разпознаете рискови ситуации без да знаете какво е обичайно за всеки клиент.
Спазване на KYC изискванията
Опознай своя клиент (KYC) е задължителна процедура според законодателството на всяка страна. Точният набор от данни, необходим за задълбочено спазване на KYC, може да варира, но при всички положения трябва да спазвате регулациите.
Една важна пресечна точка на KYC съответствието и предотвратяването и откриването на измами със самоличност възниква, когато хора, които не трябва да имат достъп до определени услуги, се опитват да извършат измама със самоличност, за да заобиколят това.
Например, в повечето случаи лица в черния списък не могат да откриват банкови сметки, да кандидатстват за кредити и т.н. Това се случва, когато се подозира, че те участват в пране на пари, финансиране на тероризъм или други престъпления, свързани с финанси.
В този случай санкционираното лице може да се опита да фалшифицира своята самоличност и да открие сметка под друго име.
Извършването на необходимата проверка по отношение на KYC и регулациите за предотвратяване на пране на пари (AML) гарантира, че няма да предоставите услуги на лица, на които не би трябвало.
Обучение на служители
Предприятията и организациите също трябва да образоват служителите си относно измамите със самоличност и защитата на данните.
Първо, целият персонал, отговорен за клиентски онбординг, трябва да е запознат с често срещаните признаци на измама със самоличност. Освен това, те трябва да знаят как да използват софтуерните инструменти за предотвратяване и откриване на измами, ако наблюдението върху това е част от работата им.
Също така, всички служители трябва да бъдат инструктирани как да пазят фирмените системи в безопасност. Да поддържат работните си компютри съвместими, да не отварят подозрителни връзки, да не експортират работна информация на лични устройства са само част от нещата, които служителите трябва да бъдат инструктирани да правят, за да не компрометират вътрешните данни.
Ако има изтичане на данни, враждебните страни могат да откраднат достатъчно информация, за да извършат измама със самоличност и да получат незаконен достъп до акаунтите на потребителите.
Допълнителни функции за защита на потребителите
Можете също така да дадете на клиентите си опцията да защитят допълнително акаунтите си. Например, можете да им позволите да подготвят списъци с разрешени устройства или IP адреси. Тези функции допълнително ще ограничат неупълномощения достъп до техните акаунти.
Популярни видове измами със самоличност
Според доклад за кражбите на самоличност от Experian, водещият вид измами е някой да се представя за друг човек. Що се отнася до престъпленията, включващи откраднати лични данни, измамите с банки, заеми и лизинги са в топ 5 на най-често срещаните проблеми, като измамите с кредитни карти очаквано заемат първото място.
Нека разгледаме по-подробно някои от най-често срещаните типове измами със самоличност, с които се сблъскват фирмите и правителствата. В допълнение, ще обсъдим методи за справяне с всеки вид.
Измами с кредитни карти
Източник: Freepik
Най-разпространената форма на финансова злоупотреба с откраднати лични данни е измамата с кредитни карти. В този случай престъпникът използва карта, която не му принадлежи.
Това засяга издателя на кредитната карта, когато законният собственик го информира за измамата. След това банката трябва да издаде сторниране на плащане, за да върне парите на клиента по сметката му. Тези ситуации причиняват значителни финансови щети на банките.
Един от методите за борба с измамите с кредитни карти е прилагането на 3D протоколи за сигурност за използване на карти. Те биха изисквали крайният потребител да използва OTP или да се удостоверява в приложението на банката за всяка транзакция, например. Тази мярка позволява на банката да потвърди самоличността на потребителя, преди да одобри транзакцията.
Наличието на такава допълнителна сигурност гарантира, че дори ако престъпник е откраднал данните на нечия кредитна карта, той няма да може да използва картата без съгласието на законния собственик.
ATO (присвояване на акаунт)
Точно както подсказва името, този вид измама включва престъпникът да получи достъп до профила на друго лице. Това може да бъде например онлайн банкова сметка на потребител.
Ако акаунтът не е достатъчно защитен, измамниците може да успеят да влязат само с имейл адрес и парола. Поради тази причина се препоръчва фирмите да прилагат по-стабилни мерки за сигурност по време на влизане.
Многофакторното удостоверяване чрез еднократни пароли (чрез текстово съобщение) и сканиране на биометрични данни (пръстов отпечатък или лицево разпознаване) са солидни опции тук.
Измами със синтетична самоличност и deepfake
Тази схема включва създаване на акаунти под нечие чуждо име или изцяло несъществуваща самоличност.
В първия случай измамникът може да е откраднал личната информация на дадено лице, като неговото име, дата на раждане, адрес и т.н., и да е в състояние да предостави сканирани документи за самоличност, за да се регистрира.
В други случаи, хакерът може да използва напълно изфабрикувани самоличности. Особено като се има предвид напредъкът в AI, престъпниците днес имат способността да създават изключително реалистични изображения както на лицето, което са измислили, така и на фалшивия документ за самоличност.
Синтетичните самоличности пък са смесица от истинска и изфабрикувана информация. Обикновено те комбинират истински и фалшиви данни, за да създадат чисто нова самоличност. Например снимката може да е на реално лице, дори на истинска лична карта, но някои от детайлите в документа може да са променени. В други случаи, подробности като номера на личната карта може да са верни, но името или снимката да са фалшиви.
По същия начин дийпфейк измамите водят до нова вълна от опити за измами. Те разчитат на изключително сложни AI инструменти за създаване на реалистични изображения и дори видеоклипове. Те имитират истински хора, за да се представят за тях.
Еволюцията на Midjourney, водещият AI инструмент за генериране на изображения.
Предотвратяването на измами със синтетична самоличност е доста голямо предизвикателство. Компаниите трябва да използват сигурни решения за проверка, които могат да потвърдят точно самоличността на потребителя и да изключат използването на AI с висока степен на сигурност. Сравняването на валидността на данните с държавните регистри също е важно.
Освен това добавянето на подпомогнати от AI проверки на жизнеността с лицево разпознаване може допълнително да намали възможността измамникът да се представи за човек, който не е.
Биометрично хакване (атаки при представяне)
Източник: Freepik
Известна още като биометричен спуфинг, тази измама се случва, когато престъпникът фалшифицира биометричните данни на потребителя, като пръстови отпечатъци, черти на лицето или глас.
За да получи достъп до този вид информация, може да се наложи измамникът да бъде във физически контакт с жертвата (напр. да копира пръстовия им отпечатък от гладка повърхност) или да използва техни висококачествени изображения и видеоклипове (ако са налични онлайн) като проби за пресъздаване по-късно по време на проверката на самоличността.
Особено когато става въпрос за използване на софтуер за пресъздаване на нечий имидж (което е свързано с фалшивите измами), бизнесите трябва да останат адаптивни. Трябва редовно да оценяват дали практиките им за проверка на самоличността да могат да открият deepfakes.
Проверките за жизненост са много полезни тук. От решаващо значение е проверката да не е предвидима, така че измамникът да не може да използва предварително записано видео, за да я премине. Софтуерът за проверка на самоличността също трябва да е достатъчно чувствителен, за да забележи и най-малките несъответствия в изображението, които може да са неоткриваеми с просто око.
Откриване и предотвратяване на измами със самоличност в банкирането
Банковият сектор е сред най-уязвимите, когато става дума за измами с лични данни. Финансовата информация е доста привлекателна плячка за крадците на самоличност, така че естествено те се насочват най-често към банкови сметки и кредитни карти.
Въз основа на данни от Gartner, Forbes, Identity Theft Resource Center и Javelin Strategy & Research.
Има ли нещо допълнително, което финансовите институции трябва да знаят или да правят по различен начин, когато става въпрос за предотвратяване и откриване на измами със самоличност? Ето какво трябва да имат предвид финансовите организации.
Специфични банкови разпоредби
Банковият сектор естествено трябва да спазва още по-строги разпоредби, освен стриктното законодателство за KYC и AML.
Например, банките в Европа трябва да следват Директивата за платежните услуги 2 (PSD2). Те също трябва да се адаптират към насоките на Европейския банков орган.
Също така, необходима е съобразност с eIDAS 2.0, който засяга отдалечената идентификация на самоличността и удостоверителните услуги. Сигурен начин за банките да предотвратят измами със самоличност е да изберат eIDAS-сертифицирано решение, защото това гарантира вградено съответствие.
Освен това от януари 2025 г. финансовите институции в ЕС трябва да спазват и Закона за цифрова оперативна устойчивост (DORA). Той разяснява мерките за ИТ сигурност за финансовия сектор и трябва да доведе до по-добра защита срещу изтичане на данни.
Подобно законодателство е инструмент за установяване на безопасни банкови практики, особено когато ЕС и светът като цяло се ориентират към по-голямо разчитане на дигитални самоличности.
Висока степен на сигурност
Не всички транзакции са еднакви. Обикновената проверка на баланса на сметката, например, е много различна от кандидатстването за заем онлайн.
Поради тази причина банките трябва да използват инструменти с възможно най-висока степен на сигурност при по-високорискови процеси.
Кандидатстването за заем или нова кредитна карта или изпращането на пари по банков път може да изисква използването на квалифициран сертификат за електронно подписване, чието издаване включва детайлен процес за проверка на самоличността.
Допълнителна грижа при онбординга на клиенти
Както бе споменато по-рано, един от основните начини, по които банките трябва да се борят с измамите с идентичност, е чрез ограничаване на достъпа до техните услуги за всички лица, ограничени от разпоредбите за AML и CFT.
Ето защо клиентският онбординг е ключова област, върху която да съсредоточите усилията си. С рязкото нарастване на търсенето на дигитални услуги много банки позволяват на клиентите да откриват сметки и да използват услуги изцяло онлайн.
Но докато отдалеченият онбординг е бърз, удобен и може да ви помогне да разширите бизнеса си по-бързо, той идва и с определени рискове за сигурността. По-просто казано, извършването на измами със самоличност онлайн е по-лесно днес, благодарение на усъвършенствания софтуер, достъпен за престъпниците.
Ето защо огромна част от вашите усилия за предотвратяване и откриване на измами със самоличност трябва да бъдат насочени към онбординг практиките. Трябва да помислите за:
- Прилагане на сигурни и точни процедури за проверка на самоличността;
- Извършване на надлежна проверка с цялата документация, необходима за регистрация на акаунт;
- Повишаване на сигурността при последващи влизания с MFA и/или квалифицирани електронни подписи.
Заедно тези мерки ще гарантират, че знаете кой открива и има достъп до акаунти и услуги във вашата институция. По този начин можете да попречите на перачите на пари, PEPs и други високорискови лица и измамници.
Заключение
Тъй като технологията става все по-сложна, нарастват и възможните опити за измами със самоличност. Подпомогнати от изкуствен интелект и друг софтуер, престъпниците разполагат с повече инструменти от всякога.
От друга страна, тези подобрения също означават, че бизнесите имат повече възможности за откриване и предотвратяване на измами със самоличност. Има еднакво стабилни и непрекъснато развиващи се методи за защита, на които организациите могат да разчитат.
Не чакайте неприятностите да почукат на вратата ви. Внедрете сертифицирани от eIDAS квалифицирани доверителни услуги с високо ниво на сигурност, за да защитите системите си сега и да изпреварите евентуални опасности.
