/KYC in Banking: perché la sola biometria non è più sufficiente nell’attuale scenario di Identity Verification

Quando, dieci anni fa, abbiamo iniziato a sviluppare tecnologie per l’identità, la nostra ambizione non era semplicemente quella di essere un fornitore in più in un mercato in rapida crescita. Ci siamo posti un obiettivo molto più profondo: costruire fiducia nei processi di KYC in banking. All’epoca, la missione sembrava semplice pur nella sua complessità: distinguere ciò che è reale da ciò che è falso su qualsiasi canale. Oggi, tuttavia, quella stessa fiducia è sotto un attacco diretto e senza precedenti.

Garantire l’identità digitale nel settore finanziario non dipende più da un singolo fattore, ma da un binomio indissolubile: la verifica della persona e la legittimità del dispositivo da cui opera. Nell’ultimo decennio, la biometria facciale si è consolidata come il “gold standard” per l’onboarding digitale, partendo dal presupposto che una corrispondenza biometrica fosse sinonimo di sicurezza assoluta. Ma in un contesto in cui l’identità è la principale superficie di attacco, affidarsi esclusivamente al fattore biometrico dell’utente è insufficiente se il canale di comunicazione è stato compromesso. Per questo, le soluzioni di verifica dell’identità devono evolversi verso modelli più robusti.

L’esigenza di questo cambiamento nasce dal fatto che l’IA generativa ha rimescolato le carte: oggi, il 41% dei cyberattacchi sfrutta l’intelligenza artificiale per creare identità sintetiche in pochi secondi, trascinandoci in una “pandemia di frodi” a impatto globale. La biometria tradizionale era stata progettata per contrastare i cosiddetti presentation attacks (come foto o maschere), ma le frodi attuali nel KYC bancario sono invisibili, automatizzate, scalabili e avvengono direttamente nel flusso dei dati. Gli attaccanti si sono evoluti verso gli injection attacks, che bypassano i sensori fisici e alterano il flusso digitale tra dispositivo e server, rendendo irrilevanti anche i controlli di liveness detection più sofisticati se l’integrità dell’ambiente non viene verificata.

Per banche e neobank, questo cambio di paradigma rivela una verità scomoda: “vedere non significa più credere”. La domanda, quindi, non è più se l’IA sia più intelligente, ma se i presupposti su cui si basa l’identità siano ancora validi. Se un sistema può essere ingannato da qualcosa che semplicemente “sembra” reale, è perché non ha mai verificato l’effettiva realtà dell’interazione. Ciò impone di ripensare processi critici, come la verifica del conto corrente, per passare da un’identità presunta a una Identità Reale. Il futuro della fiducia finanziaria dipende da un’architettura rigorosa che non si limiti a verificare un volto, ma garantisca la reale presenza umana, l’integrità del canale e la continuità dell’identità lungo tutto il ciclo di vita del cliente attraverso l’uso della biometria facciale di nuova generazione.

La fine dell’”Identità Presunta” in KYC in Banking: verso l’integrità del canale

Il grande errore del settore è stato ereditare segnali di identità da ecosistemi consumer poco trasparenti. Molte banche si affidano alla biometria del dispositivo (come il FaceID), che però è stata progettata per proteggere uno smartphone, non per verificare un’identità legale o finanziaria.

Questo nuovo approccio sostiene che la fiducia non risieda nel rilevare fake sempre più sofisticati, ma nel dimostrare simultaneamente due pilastri:

• Verifica di Umano Reale: la certezza che ci sia una persona fisica dall’altra parte e non un’iniezione di dati sintetici.
• Verifica di Integrità del Dispositivo: la garanzia che il canale tra l’utente e la banca non sia stato manipolato.

Strategia di Identità Digitale Integrale nel Customer Journey: oltre l’Onboarding

Per le istituzioni finanziarie con cui collaboramos in mercati ad alta complessità normativa, l’onboarding digitale non è più un processo isolato. La nostra esperienza dimostra che il mercato attuale richiede un’evoluzione del KYC bancario verso un’architettura di difesa attiva in ogni fase. È fondamentale che le banche si adeguino ai nuovi standard di compliance per mitigare i rischi operativi.

1. Apertura del conto e verifica bancaria

Il primo punto di contatto, e al contempo il più critico, è la creazione del conto. Un processo di verifica solido deve saper gestire la complessità normativa senza penalizzare l’esperienza utente.

• Rilevamento delle iniezioni: Veridas protegge il flusso di dati per neutralizzare gli attacchi di iniezione che tentano di sostituire l’identità con media sintetici.
• Precisione certificata: le nostre soluzioni offrono performance leader nei test NIST (1:1 FRTE).
• Certificazione iBeta PAD (Livello 1 e 2): assicurando che il sistema distingua con precisione assoluta tra una persona reale e contraffazioni.
• Compliance audibile: permettiamo al KYC bancario di rispettare le normative globali come GDPR, PSD3 e AMLR.

2. Autenticazione facciale per l’operatività transazionale

La sicurezza non può esaurirsi dopo la registrazione. L’identità presunta, basata su segnali di dispositivi non verificati, è una delle maggiori vulnerabilità del settore.

• Continuità dell’Identità: implementare l’autenticazione facciale per bonifici di importo elevato.
• Superamento dei metodi obsoleti: sostituzione di password o SMS con prove di presenza reale.
• Messa in sicurezza del dispositivo (Trusted Device): legare i pattern di sblocco nativi del dispositivo a un’identità reale pre-verificata dalla banca.
• Fiducia riutilizzabile tramite Credenziali Verificabili: si abilita un’identità sovrana (SSI) dove l’utente controlla i propri dati.

Adattamento normativo e portata globale: la compliance come motore di business

La nostra rilevanza nel settore si basa su una presenza consolidata in aree geografiche chiave:

• Europa (Italia, Spagna, Portogallo, Germania, ecc.): garantiamo il pieno allineamento con il GDPR e le direttive PSD3/AMLR, con un’architettura pronta per eIDAS2.
• Nord America (USA e Canada): tecnologia allineata agli standard FinCEN e ai criteri di precisione del NIST.
• America Latina: comprovata esperienza nel rispetto delle normative CNBV e Open Finance.

Innovazione tecnica: Riferimenti Biometrici Rinnovabili (RBR)

Adozione degli standard ISO tramite l’uso di Riferimenti Biometrici Rinnovabili (RBR):

• Revocabilità e Riemissione: il riferimento può essere revocato e riemesso come una carta di credito.
• Privacy by Design: rappresentazioni specifiche per ogni scopo che impediscono il tracciamento dell’utente.

La realtà come requisito non negoziabile del sistema

Il futuro del banking appartiene a chi adotta un’architettura di Identità Reale. In un contesto dove “vedere non è più credere”, istituzioni finanziarie leader hanno già integrato la tecnologia di Veridas:

• Banca Global e Regional: BBVA, CaixaBank, Banco BPM, Scotiabank, Sumitomo Mitsui Banking e Ameriabank.
• Fintech e Credito: IDFinance, Aplazame, Ford Credit, Sunstate Bank e Afirme.