Fintech

Beveilig de volledige klantlevenscyclus in de fintechsector met fintech-compliance.

Q: Welke KYC- en AML-regelgeving is in 2026 van toepassing op fintechplatforms in het VK en de EU?

In het VK geautoriseerde fintechbedrijven opereren onder de FCA Consumer Duty (van kracht sinds juli 2023), PSD2 Strong Customer Authentication en het AMLD6/AMLR-raamwerk (algemene implementatiedeadline 10 juli 2027). DORA, van kracht sinds 17 januari 2025, voegt verplichtingen toe op het gebied van veerkracht en incidentrapportage voor elke ICT-leverancier in de stack. Shufti onderhoudt compliance-regels in meer dan 240 regio's waar actief diensten worden verleend.

Q: Hoe ondersteunt Shufti de identificatie van kwetsbare klanten door de FCA Consumer Duty tijdens het onboardingproces?

Het risicogebaseerde onboardingproces ondersteunt configureerbare kwetsbaarheidsindicatoren tijdens de verificatiestap, waardoor een klantspecifiek consumentenregistratieformulier wordt gegenereerd dat is afgestemd op de gezamenlijke verklaring van de FCA en ICO. Dit formulier kan worden geëxporteerd voor toezicht door de toezichthouder zonder dat hiervoor aanvullende gegevens van de leverancier hoeven te worden opgevraagd.

Q: Wat betekent de iBETA Level 3 liveness-certificering voor identiteitscontroles in de fintechsector?

ISO/IEC 30107-3 PAD Level 3 is het hoogste onafhankelijke certificeringsniveau voor biometrische levendigheid. iBETA heeft het systeem van Shufti getest op presentatieaanvallen, videoherhaling, deepfake-injectie en 3D-maskers op het meest veeleisende niveau van de standaard. Shufti is de eerste Europese leverancier die Level 3 heeft behaald met 0% APCER en 0% BPCER op zowel iOS als Android.

Q: Hoe ondersteunt Shufti het DORA-risicobeheer voor ICT-risico's van derden voor gereguleerde fintechbedrijven?

DORA vereist dat gereguleerde entiteiten elke kritieke ICT-leverancier documenteren, met contractuele bepalingen over veerkracht, incidentmelding, auditrechten en exitstrategie. Shufti biedt een informatiepakket aan met onder andere SOC 2 Type II, ISO 27001, BCP/DR-documentatie, SLA voor incidentmelding en een lijst met subverwerkers, beschikbaar op aanvraag.

Q: Hoe snel kan een fintechbedrijf Shufti in gebruik nemen?

De toegang tot de sandbox is direct. De enkele REST API omvat documentverificatie, biometrische levendigheid, eIDV, AML screening, en transactiebewaking in één integratie. Een gemiddelde implementatie in een productieomgeving duurt 2 tot 8 weken, afhankelijk van de omvang.

Q: Functioneert Shufti als gegevensverwerker in de zin van artikel 28 van de AVG?

Ja. Shufti verwerkt verificatiegegevens namens de klant en claimt daar geen eigendomsrechten op. De op artikel 28 conforme gegevensverwerkingsovereenkomst, de lijst met subverwerkers, de opties voor gegevensopslag in de EU en het VK, en de mogelijkheid tot het verkrijgen van een verwijderingscertificaat worden in de contractfase aangeboden.

Gebruikers verifiëren, financiële criminaliteit opsporen en auditklare compliance-gegevens opbouwen; van aanmelding tot accountsluiting, zonder meerdere leveranciers in te schakelen.

Boek een adviesgesprek

Shufti Fintech onboarding — aanmelden en identiteitscontrole, AML- en sanctiescreening, auditklaar compliance-dossier en accountmonitoring

Beproefde prestaties

Onze impact, in cijfers.

<30 secMediaan tijd tot beslissing
4,000+Kijklijsten gescreend
240+Landen die actief worden verwerkt

Vertrouwd door toonaangevende Digitale ondernemingen wereldwijd

Naleving zonder compromissen

Waarom fintechplatforms voor Shufti kiezen

Groei zonder nalevingslacunes

Starling Bank kreeg in 2024 een boete van £28.9 miljoen van de FCA. Monzo ontving in 2025 een boete van £21.1 miljoen van de FCA. In beide gevallen bleken de compliance-controles niet mee te groeien met de gebruikersgroei; de FCA ontdekte dat er tijdens perioden van snelle expansie risicovolle accounts waren geopend. Shufti's risicogebaseerde orchestratie schaalt mee met uw platform, en loopt er niet achteraan.
Voorkom fraude voordat het zich voordoet.

Deloitte voorspelt dat de verliezen door fraude met generatieve AI in 2027 kunnen oplopen tot 40 miljard dollar. Shufti's iBETA Level 3-gecertificeerde technologie voor levendigheidsdetectie en apparaatintelligentie onderschept synthetische identiteiten, injectieaanvallen en door bots uitgevoerde registraties op apparaatniveau, nog voordat er een frauduleus account wordt aangemaakt.
Eén controletraject, elke toezichthouder

De FCA Consumer Duty, DORA, AMLD6 en PSD2 vereisen elk documentatie die uw bestaande systemen mogelijk niet afzonderlijk kunnen genereren. Shufti genereert een uniforme, op de regelgeving afgestemde bewijsketen voor elke gebruiker; exporteerbaar in minder dan vijf minuten, in PDF- en JSON-formaat.

Beveilig elke fase van de levenscyclus van de fintech-gebruiker.

Registreren

Apparaat vingerafdrukken Gedragsbiometrie eIDV Fraudecentrum 1:N Gezichtsontdubbeling

Botaccount farmen

Een fraudenetwerk zet geautomatiseerde scripts in om binnen enkele uren duizenden accounts te registreren, met als doel aanmeldbonussen en verwijzingscredits te bemachtigen. Shufti's eigen Device Fingerprinting-technologie identificeert de emulators, proxyrotaties en gedeelde infrastructuur die scripts niet kunnen verbergen. Gedragsbiometrie signaleert de onnatuurlijke snelheid waarmee formulieren worden ingevuld en het ontbreken van natuurlijke aanraakpatronen. De Fraud Hub vergelijkt apparaat- en gedragssignalen op het hele platform om het netwerk te ontmaskeren voordat er ook maar één beloning wordt uitbetaald.

Registratie van synthetische identiteiten

Een fraudeur stelt een fictieve identiteit samen uit gestolen persoonsgegevens: een echt burgerservicenummer, een verzonnen naam en een onjuiste geboortedatum, en gebruikt deze vervolgens om een account te openen. Shufti's eIDV vergelijkt elk opgegeven veld onafhankelijk met gegevens van de overheid, telecomproviders en kredietbureaus. Als het burgerservicenummer echt is, maar de naam geen overeenkomende elektronische registratie heeft, faalt de identiteit al bij de bron. Apparaatvingerafdrukken koppelen de poging aan eerdere synthetische registraties vanuit dezelfde infrastructuur.

Meerdere accounts / Dubbele aanmelding

Een gebruiker registreert zich met drie verschillende e-mailadressen en twee licht afwijkende namen om de bonussen per gebruiker op hetzelfde platform te verhogen. Shufti's 1:N gezichtsherkenning controleert continu elke nieuwe registratieselfie aan de hand van alle geregistreerde gezichten. Dezelfde persoon kan geen twee geverifieerde accounts hebben. Apparaatvingerafdrukken koppelen accounts die op dezelfde hardware draaien, zelfs wanneer VPN's of browserresetten tussen sessies worden gebruikt. De Fraud Hub onthult het gecoördineerde patroon voordat een dubbel account actief wordt.

Registratie van identiteitsdiefstal

Een aanvaller gebruikt de persoonsgegevens van een slachtoffer, verkregen via een datalek, om een account te openen waar het slachtoffer niets van afweet. Shufti's eIDV detecteert discrepanties in contactgegevens: de naam en het nummer kunnen weliswaar kloppen, maar het apparaat, de locatie en de opgegeven contactgegevens komen niet overeen met de bekende gegevens van de identiteit. De gezichtsverificatie vereist een live selfie, waarmee wordt bevestigd dat de persoon die zich presenteert de eigenaar van de identiteit is. Een gestolen pakket met persoonsgegevens zonder overeenkomend live gezicht faalt in deze fase.

Emulator / Headless Browser Onboarding

Een aanvaller voert het registratieproces uit via een apparaatemulator of headless browser om apparaatbeveiliging te omzeilen, vaak met meerdere verzonnen identiteiten tegelijk. Shufti's Device Fingerprinting detecteert emulatorsignaturen, ontbrekende hardwaresensoren en afwijkende schermeigenschappen die echte apparaten altijd vertonen. Gedragsbiometrie identificeert de afwezigheid van natuurlijke gebaren en timingpatronen die een geëmuleerde sessie onderscheiden van een echte gebruiker. De registratie wordt geblokkeerd voordat de identiteitscontrole begint.

Misbruik maken van de verwijzings-/aanmeldingsbonus

Een gecoördineerde bende creëert honderden accounts om zichzelf aan te melden of om beloningen per gebruiker te verzamelen, waarbij residentiële proxies worden gebruikt om de gedeelde oorsprong te verbergen. Shufti's Device Fingerprinting koppelt accounts aan elkaar op basis van hardware-vingerafdrukken, IP-adressen en proxy-handtekeningen die bestand zijn tegen het wissen van cookies en het resetten van browsers. De Fraud Hub verzamelt signalen van meerdere accounts, waaronder het tijdstip van registratie, verwijzingsketens en gedeelde apparaten, om de structuur van de bende bloot te leggen. Accounts binnen de bende worden gelijktijdig gemarkeerd in plaats van als afzonderlijke individuen.

Affiliate-/installatiefraude

Een fraudeur genereert nep-aanmeldingen via gescripte installaties of clickfarms om acquisitiebudgetten uit te putten zonder echte gebruikers te genereren. Shufti's gedragsbiometrie onderscheidt de werkelijke intentie van gebruikers van gescripte interactie door de afwezigheid van natuurlijke verkenningspatronen direct na de aanmelding. Apparaatvingerafdrukken identificeren de gedeelde infrastructuur achter clickfarm-activiteiten, inclusief dezelfde hardware, dezelfde besturingssysteemconfiguratie en dezelfde tijdsintervallen. De Fraud Hub signaleert het volume en de snelheid van deze gebeurtenissen voordat campagnebudgetten worden verspild.

Identiteit verifiëren (KYC)

Document verificatie Gezichtsverificatie (iBETA L3) NFC-verificatie AML Screening PUK

Documentvervalsing

Een fraudeur dient tijdens de KYC-procedure een vervalst of gemanipuleerd paspoort in, gekocht op een darkwebmarkt. Shufti's documentverificatie voert een forensische analyse uit op elk door de overheid uitgegeven document, waarbij de integriteit van de sjabloon, de consistentie van het lettertype, de geldigheid van de MRZ-code en door AI gegenereerde artefacten die standaard OCR volledig mist, worden gecontroleerd. Wanneer het fysieke document er authentiek uitziet, maar de gegevens zijn gewijzigd, leest NFC-verificatie de cryptografische chip direct uit en wijst elke discrepantie tussen de chip en het aangeboden document af. Een vervalst document kan niet door beide lagen heen komen.

Deepfake / AI-gezichtsaanval

Een aanvaller genereert een video van een synthetisch gezicht met behulp van AI-tools en presenteert deze tijdens de selfie-stap, in een poging zich voor te doen als de echte eigenaar. Shufti's Face Verification, gecertificeerd op iBETA Level 3, gebruikt 3D-dieptemapping en microbewegingsanalyse om de afwezigheid van natuurlijke menselijke fysiologische signalen te detecteren die echte gezichten altijd produceren. Injectiedetectie identificeert wanneer een vooraf opgenomen of door AI gegenereerde video wordt afgespeeld via een virtuele camera in plaats van een live sensor op het apparaat. De aanval wordt op hardwareniveau geblokkeerd voordat er gezichtsvergelijkingen plaatsvinden.

Camera-injectieaanval

Een aanvaller installeert virtuele camerasoftware die een vooraf opgenomen of synthetisch beeld weergeeft in plaats van de live camerabeelden van het apparaat tijdens de verificatiestap. Shufti's Injection Detection identificeert virtuele camerastuurprogramma's en emulatorhandtekeningen op besturingssysteemniveau voordat de biometrische registratie begint. Device Fingerprinting signaleert de afwezigheid van verwachte hardware-sensorgegevens, aangezien een echte camera signalen produceert die virtuele camera's niet kunnen repliceren. De sessie wordt beëindigd voordat de aanvaller de gezichtsvergelijkingsfase bereikt.

Identiteitspakketfraude

Een identiteitskit van het dark web combineert een vervalst document met een bijpassende synthetische selfie, waarbij de pakketten tussen de $50 en $500 kosten, om een consistente maar frauduleuze identiteit te presenteren. Shufti's NFC-verificatie leest de cryptografische chip die is ingebed in e-paspoorten en identiteitskaarten met chip, gegevens die een gekochte kit niet kan reproduceren. Forensische controles van de documentverificatie bevestigen de integriteit van het sjabloon en de consistentie van de velden, onafhankelijk van het uitlezen van de chip. Een kit die de beeldcontrole doorstaat, faalt bij het uitlezen van de chip; beide lagen moeten tegelijkertijd worden omzeild, wat kant-en-klare kits niet kunnen.

Synthetische identiteit bij KYC

Een samengestelde identiteit, bestaande uit een echt burgerservicenummer (BSN) gecombineerd met een verzonnen naam en adres, wordt tijdens de KYC-fase ingediend om de basisvalidatie van het formaat te doorstaan. Shufti's eIDV controleert elk veld afzonderlijk: het BSN kan bestaan, maar de bijbehorende naam kan niet overeenkomen met een record in overheids- of bureaugegevens. Documentverificatie bevestigt dat het ingediende identiteitsbewijs in elk veld overeenkomt met de opgegeven identiteit, niet alleen het documentnummer. Een discrepantie tussen de echte identificatiegegevens en de verzonnen gegevens komt in dit stadium aan het licht, niet tijdens een handmatige controle.

Verhulling van bedrijfseigendom

Een criminele uiteindelijke begunstigde gebruikt stromanbestuurders en een gelaagde bedrijfsstructuur om zich bij KYB te verschuilen achter een ogenschijnlijk legitieme entiteit. Shufti's bedrijfsverificatie brengt de volledige eigendomsketen in kaart tot aan de uiteindelijke begunstigde, ongeacht hoeveel tussenliggende entiteiten er tussen de schijnbare en de werkelijke eigenaar zijn geplaatst. AML Screening Vervolgens wordt elke UBO afzonderlijk gecontroleerd. Een gesanctioneerde persoon kan zich niet verschuilen achter een onberispelijke stroman aan de top van de structuur. Due diligence brengt negatieve media-aandacht en connecties met politiek prominente personen aan het licht die de stromanconstructie juist probeert te verbergen.

Risicoscreening

AML Screening Due Diligence Adresverificatie eIDV Fraudecentrum Zakelijke verificatie

Verzwijging van negatieve media-aandacht

Een klant met een strafblad in lokale publicaties doorstaat de eerste screening omdat AML-tools die alleen in het Engels beschikbaar zijn, geen resultaten voor hem opleveren. Shufti's AML Screening Het systeem omvat meer dan 50,000 negatieve mediabronnen in meer dan 80 talen, met een geautomatiseerde classificatie van de ernst die berichtgeving over financiële criminaliteit scheidt van irrelevante vermeldingen van dezelfde naam. Due Diligence breidt de zoekopdracht uit naar de medewerkers en verbonden entiteiten van de klant. Een onberispelijk individueel dossier heft een verdacht dossier bij naaste medewerkers niet op, en een onberispelijk Engelstalig profiel levert geen onberispelijk algemeen resultaat op.

Misleiding met betrekking tot rechtsgebieden met een hoog risico

Een gebruiker die zich in een land bevindt waartegen sancties gelden of dat een hoog risico met zich meebrengt, geeft een ander woonadres op en gebruikt een VPN om de locatie van zijn apparaat te laten overeenkomen. Shufti's adresverificatie vergelijkt het opgegeven adres met onafhankelijke gegevensbronnen. Een verzonnen adres vindt geen overeenkomende elektronische gegevens in overheidsregisters. eIDV bevestigt of de bekende gegevens van de identiteit overeenkomen met het opgegeven rechtsgebied. Apparaatvingerafdrukken signaleren VPN-signaturen en discrepanties tussen IP-adres en locatie die niet verklaard kunnen worden door het opgegeven adres.

PEP of Sanctioned Person Onboarding

Een politiek prominent of gesanctioneerd persoon probeert aan boord te komen met behulp van een alias, een getranslitereerde naamvariant of een licht gewijzigde geboortedatum om te voorkomen dat hij op een zwarte lijst terechtkomt. Shufti's AML Screening Het systeem past fuzzy matching toe in meer dan 80 talen, vergeleken met meer dan 4,000 watchlists en meer dan 215 sanctieregimes, en detecteert naamvarianten die tools voor exacte overeenkomsten volledig missen. Alle vier de PEP-categorieën worden gescreend, inclusief naaste medewerkers en familieleden die mogelijk namens de PEP handelen. Een enkele karakterwijziging in een naam leidt niet tot een positief screeningresultaat.

Sancties van de uiteindelijke begunstigde bij verzwijging

Een persoon met sancties verbergt zich achter stromannen, trusts en een complexe bedrijfsstructuur die specifiek is ontworpen om de uiteindelijke begunstigde te verbergen tijdens de screening. Shufti's bedrijfsverificatie brengt de volledige eigendomsketen in kaart tot aan de uiteindelijke begunstigde, ongeacht hoeveel tussenliggende lagen erbij betrokken zijn. AML Screening Vervolgens wordt er voor elke UBO afzonderlijk een onderzoek ingesteld. De gesanctioneerde persoon kan zich niet verschuilen achter een ogenschijnlijk onschuldige stroman. Due diligence omvat daarnaast controles op negatieve media-aandacht en PEP's (Politically Exposed Persons) over de gehele vastgestelde eigendomsstructuur.

Mule Recruitment Onboarding

Een echt persoon, gerekruteerd via een nepvacature of een romantische oplichting, opent een account dat later gebruikt zal worden om illegaal verkregen geld te ontvangen en door te sturen, zonder volledig te begrijpen wat zijn of haar rol hierin is. Shufti's gedragsbiometrie signaleert aanvraagpatronen die consistent zijn met het invullen van formulieren onder begeleiding of met een script. Het tempo, de manier waarop kandidaten door velden navigeren en de aarzelingspatronen van een geïnstrueerde kandidaat verschillen meetbaar van iemand die spontaan handelt. De Fraud Hub vergelijkt signalen van apparaten en aanvragen met bekende typen werving van geldezels. AML Screening Het systeem spoort gekoppelde accounts op als het wervingsnetwerk elders op het platform actief is geweest.

Onjuiste voorstelling van de herkomst van de fondsen

Een klant dient vervalste loonstroken of bankafschriften in om een valse inkomensverklaring te onderbouwen en zo toegang te krijgen tot hogere stortings- of kredietlimieten. Shufti's Document Verification voert forensische controles uit op de ondersteunende documenten, waarbij lettertypen, sjabloonintegriteit en inconsistenties in metadata dienen als betrouwbare indicatoren van vervalsing. eIDV vergelijkt de opgegeven inkomens- en werkgegevens met onafhankelijke bronnen waar beschikbaar. Een vervalst document zonder overeenkomende elektronische inkomensgegevens voldoet niet aan beide verdedigbare controles voordat de aanvraag een krediet- of limietbeslissing krijgt.

Fondsrekening

Transactiebewaking AML Screening Apparaat vingerafdrukken Fraudecentrum Toestemmingsverificatie

Geldmuil-storting

Een klant ontvangt geld van een crimineel netwerk, stort dit en stuurt het vervolgens door, waardoor de rekening een schakel wordt in een witwasketen. Shufti's transactiemonitoring detecteert patronen van financiering door derden: kenmerken van de bronrekening, de snelheid waarmee stortingen worden gedaan en de snelle opeenvolging van uitgaande overboekingen die de activiteit van een geldezel onderscheidt van normaal rekeninggebruik. Permanente KYC-updates werken de risicoscore van de klant dynamisch bij wanneer het financieringspatroon afwijkt van de opgegeven bron van het geld. De Fraud Hub signaleert de rekening als onderdeel van een groter netwerk van geldezels als er gekoppelde apparaten of identiteiten op meerdere rekeningen voorkomen.

Gestolen kaart / CNP-fraude

Een aanvaller gebruikt gestolen creditcardgegevens om een fintech-account te financieren, waarna hij het saldo snel omzet en een opname initieert. Shufti's Device Fingerprinting identificeert apparaten die eerder zijn gebruikt bij pogingen tot creditcardfraude op het platform, waardoor de storting op een bekend frauduleus apparaat niet kan worden verwerkt. Transactiemonitoring detecteert de snelle opeenvolging van stortingen en opnames, een patroon dat creditcardfraude onderscheidt van normale accountactiviteit. Er wordt een blokkering toegepast voordat de opname wordt uitgevoerd, waardoor het compliance-team tijd krijgt om onderzoek te doen.

Terugvorderingsfraude

Een gebruiker stort geld op een rekening met zijn eigen kaart, boekt het saldo over naar een andere rekening en dient vervolgens een terugboekingsverzoek in met de bewering dat de oorspronkelijke storting onbevoegd was. Shufti's toestemmingsverificatie creëert een cryptografische registratie op het moment van storting, waarmee de geverifieerde rekeninghouder aan die specifieke stortingstransactie wordt gekoppeld. Wanneer het terugboekingsverzoek wordt ingediend, toont de registratie aan dat de rechtmatige kaarthouder de transactie heeft geautoriseerd en dit niet op geloofwaardige wijze kan beweren. De gronden voor het geschil worden vastgelegd voordat het terugboekingsverzoek de uitgever bereikt.

Structurering / Smurfen

Een klant doet herhaaldelijk stortingen net onder de AML-meldingsdrempels, zoals £9,500, £9,700 en £9,200, verdeeld over meerdere sessies, om te voorkomen dat er een waarschuwing wordt geactiveerd. Shufti's transactiemonitoring aggregeert de stortingsgeschiedenis over configureerbare tijdsperioden, waardoor het patroon van stortingen onder de drempel zichtbaar wordt op rekeningniveau op een manier die monitoring van individuele transacties niet mogelijk maakt. AML Screening Het account wordt gemarkeerd op basis van structureringstypologieën. De Fraud Hub stuurt de zaak door voor beoordeling voordat het totale witgewassen bedrag de opnamefase bereikt.

APP Fraude Storting

Een legitieme klant wordt misleid door een beleggingsfraude, een neptelefoontje of een romantische relatie, waardoor hij of zij een grote inkomende overschrijving goedkeurt in de veronderstelling dat deze een legitiem doel dient. Shufti's transactiemonitoring signaleert afwijkende inkomende patronen: grote stortingen die voor het eerst worden gedaan en die niet overeenkomen met de vastgestelde risicocategorie en transactiegeschiedenis van de rekening. Gedragsbiometrie detecteert interactiepatronen die consistent zijn met externe instructies, aangezien een gebruiker die telefonisch wordt geïnstrueerd zich aantoonbaar anders gedraagt dan iemand die zelfstandig handelt. Toestemmingsverificatie kan de door de gebruiker aangegeven intentie bevestigen voordat de transactie wordt afgerond.

Inkomende gesanctioneerde bron

Een klant ontvangt geld van een rekening of entiteit die gelinkt is aan sancties, georganiseerde misdaad of ransomware, ongeacht of de klant op de hoogte is van de bron. Shufti's AML Screening Elke inkomende overboeking wordt gecontroleerd aan de hand van actuele sanctielijsten, databases met negatieve media-informatie en bekende profielen van illegale bronnen voordat de gelden worden overgemaakt. De controle vindt plaats op het moment van overboeking, niet in een batchproces, waardoor het platform de mogelijkheid heeft om de overboeking vast te houden of te weigeren voordat het geld beschikbaar is op de rekening. Elk overeenkomend resultaat wordt cryptografisch vastgelegd als onderdeel van het fraudebestendige auditspoor.

Inloggen

Biometrische gezichtsherkenning MFA (TOTP) Gedragsbiometrie Apparaat vingerafdrukken Snelle ID

Inloggegevens opvullen

Een aanvaller voert miljarden gelekte gebruikersnaam- en wachtwoordcombinaties uit op het inlogpunt, gebruikmakend van de hoge mate van hergebruik van wachtwoorden op consumentenplatformen. Shufti's biometrische gezichtsauthenticatie vereist een live biometrische match met het geregistreerde KYC-gezicht. Gestolen inloggegevens alleen zijn niet voldoende om een sessie te authenticeren, omdat inloggegevens zonder een overeenkomend live gezicht geen bruikbare informatie opleveren. Apparaatvingerafdrukken signaleren inlogpogingen afkomstig van infrastructuur die geassocieerd is met credential-stuffing-campagnes. MFA voegt een tijdsgebonden TOTP-codelaag toe die de aanvaller niet kan genereren zonder fysieke toegang tot de authenticatie-app van de accounthouder.

SIM-kaartwissel / 2FA-bypass

Een aanvaller misleidt de mobiele provider via social engineering om het telefoonnummer van het slachtoffer door te sturen, waarna hij dit nummer gebruikt om sms-gebaseerde 2FA-codes te onderscheppen en het account over te nemen. Shufti's MFA maakt gebruik van TOTP-authenticatie-apps die tijdsgebonden codes genereren, onafhankelijk van het telefoonnetwerk. Een simkaartwissel onderschept geen TOTP-codes, omdat deze nooit via het telefoonnetwerk worden verzonden. Biometrische gezichtsherkenning vereist een live selfie die overeenkomt met de KYC-gegevens voor elke risicovolle actie na het inloggen, waardoor een extra biometrische laag wordt toegevoegd die niet te omzeilen is bij een compromittering van het telefoonnummer. Het account blijft beschermd, zelfs als de aanvaller volledige controle over het nummer van het slachtoffer heeft.

Sessie kapen

Een gestolen sessietoken, verkregen via malware of een phishingkit, stelt een aanvaller in staat een geauthenticeerd account te gebruiken zonder opnieuw in te loggen. Shufti's gedragsbiometrie monitort interactiepatronen continu gedurende de geauthenticeerde sessie, niet alleen bij het inloggen. Navigatieritme, interactiepatronen in het veld en apparaatgebruik veranderen meetbaar wanneer een andere persoon het account overneemt. Apparaatvingerafdrukken signaleren wanneer de sessie wordt voortgezet vanaf een nieuw apparaat of netwerk zonder herauthenticatie. Elke gedetecteerde afwijking activeert een onmiddellijke verscherpte verificatievereiste voordat de sessie kan worden voortgezet.

Phishing / Aanval tussen de twee vijanden

Een nepwebsite simuleert het echte platform in realtime en onderschept inloggegevens, OTP's en sessietokens zodra de echte gebruiker deze invoert op wat lijkt op de legitieme inlogpagina. Shufti's biometrische gezichtsherkenning is gekoppeld aan de echte SDK-workflow. Een nagemaakte website kan de cryptografische handshake die de Shufti SDK uitvoert tijdens de authenticatie niet repliceren. Fast ID authenticeert de terugkerende gebruiker aan de hand van zijn geregistreerde biometrische gegevens in plaats van een herbruikbaar wachtwoord, waardoor er geen statische inloggegevens zijn die een proxywebsite kan onderscheppen. De phishingwebsite ontvangt niets dat bruikbaar is.

MFA-vermoeidheid / Bombardementen

Een aanvaller overspoelt het slachtoffer met herhaalde MFA-pushmeldingen totdat het slachtoffer, uitputting of verwarring, er een accepteert, waardoor de aanvaller toegang krijgt tot het account. Shufti's MFA maakt gebruik van TOTP-codes die de aanvaller niet kan genereren. Pushmeldingenbombardementen zijn niet mogelijk in een TOTP-proces, omdat er geen pushmeldingen worden verzonden. Gedragsbiometrie detecteert ongebruikelijke goedkeuringsgebeurtenissen: een prompt die wordt geaccepteerd zonder voorafgaande interactie van de gebruiker wordt onmiddellijk gemarkeerd. Het account wordt geblokkeerd in afwachting van een extra verificatiestap voordat de sessie kan worden voortgezet.

RAT / Oplichting in uitvoering

Een crimineel bestuurt op afstand het apparaat van het slachtoffer, of instrueert het slachtoffer in realtime via een telefoongesprek, om transacties te autoriseren die hij of zij legitiem acht, terwijl het account actief en geverifieerd is. Shufti's gedragsbiometrie detecteert de verandering in het ritme tussen een gebruiker die zelfstandig handelt en een gebruiker die reageert op externe instructies. Timing, volgorde en aarzelingspatronen verschillen meetbaar van de vastgestelde basislijn van het account. Toestemmingsverificatie bevestigt de oprechte intentie van de gebruiker voordat een waardevolle actie wordt voltooid. Sessies die mogelijk onder dwang zijn uitgevoerd, worden vastgehouden voor beoordeling voordat de transactie wordt goedgekeurd.

Betalen

Transactiebewaking Toestemmingsverificatie AML Screening Gedragsbiometrie Fraudecentrum

Geautoriseerde push-betalingsfraude

Een klant wordt misleid door een identiteitsfraude, een valse beleggingsaanbieding of een frauduleuze noodsituatie, waardoor hij of zij een grote overschrijving naar een rekening van een crimineel goedkeurt. Shufti's transactiemonitoring signaleert afwijkende uitgaande patronen: nieuwe begunstigden, overschrijvingsbedragen die afwijken van de vastgestelde basislijn van de rekening en grote, eenmalige transacties die niet passen bij het risiconiveau van de klant. Gedragsbiometrie detecteert de interactiepatronen van een gebruiker onder externe begeleiding. De timing en beoordelingspatronen van een begeleide overschrijving verschillen aantoonbaar van een onafhankelijke overschrijving. Toestemmingsverificatie creëert een cryptografisch gekoppeld intentierecord op het moment van autorisatie, wat een bewijsbasis vormt voor rapportage aan de toezichthouder.

Factuuromleiding / Leveranciersfraude

Een legitieme factuur wordt onderschept en opnieuw uitgegeven met de bankgegevens van de fraudeur, waardoor een rechtmatige B2B-betaling naar de verkeerde bestemming wordt doorgestuurd zonder dat de betaler dit merkt. Shufti's toestemmingsverificatie bevestigt de rekening van de begunstigde aan de hand van de geverifieerde identiteit van de beoogde ontvanger voordat de overdracht wordt geautoriseerd. Transactiemonitoring signaleert toevoegingen of wijzigingen van begunstigden die vlak voor een overdracht van een hoog bedrag plaatsvinden, een patroon dat consistent is met het omleiden van facturen. Een discrepantie tussen de verwachte en de daadwerkelijke begunstigde leidt tot een blokkering voordat de gelden worden overgemaakt.

Romantiek / Uitgangsroute voor beleggingsfraude

Een fintech-account of bankoverschrijving wordt gebruikt als uitgangspunt voor een langdurige social engineering-fraude. De klant denkt na weken of maanden van relatieopbouw dat hij of zij investeert in een legitieme kans. Shufti's transactiemonitoring signaleert het afwijkende uitgaande patroon: snelle toename van het overschrijvingsbedrag, nieuwe begunstigden met een hoge waarde en een overschrijvingsmoment dat niet overeenkomt met de transactiegeschiedenis van de rekening. De Fraud Hub brengt de gedragssignalen aan het licht, waaronder een verhoogde overschrijvingsfrequentie, het toevoegen van nieuwe begunstigden en grote individuele transacties, die er samen op wijzen dat de rekening een frauduleus overschrijvingspatroon is gaan volgen. Voordat de overschrijving wordt voltooid, wordt een extra controle uitgevoerd.

Witwassen van geld: gelaagdheid

Illegale gelden worden via snelle, meerstapstransacties verplaatst, van rekening naar rekening en van platform naar platform, om hun oorsprong te verbergen voordat ze aan de andere kant worden opgenomen. Shufti's transactiemonitoring brengt de volledige transactieketen in kaart en signaleert circulaire stromen en snelle, meerstapstransacties die het verschil tussen gelaagde transacties en normaal betalingsgedrag aantonen. AML Screening Het controleert elke uitgaande bestemming in realtime aan de hand van sanctie- en negatieve mediadatabases, niet in batches van een nacht. De Fraud Hub bundelt signalen van het hele platform om gecoördineerde netwerken bloot te leggen, en niet alleen de individuele accounts daarin.

Verzenden naar een gesanctioneerde entiteit

Een klant probeert geld over te maken naar een rekening die op de OFAC-lijst staat of wereldwijd gesanctioneerd is, hetzij opzettelijk, hetzij omdat de gegevens van de begunstigde zijn gemanipuleerd door middel van factuurfraude of phishing. Shufti's AML Screening Elke uitgaande bestemming wordt gecontroleerd aan de hand van actuele sanctiedatabases voordat de overdracht plaatsvindt. Dit omvat OFAC SDN, de geconsolideerde lijst van de EU, de financiële sancties van het Britse ministerie van Financiën, de lijsten van de VN-Veiligheidsraad en meer dan 215 andere regimes. De overdracht wordt geblokkeerd voordat er geld wordt overgemaakt en het screeningsresultaat wordt vastgelegd in het fraudebestendige auditspoor. Het compliance-team ontvangt direct een melding met het bijbehorende sanctierecord.

Gestructureerde uitgaande overdracht

Uitgaande betalingen met een hoge waarde worden bewust opgesplitst in transacties onder de drempelwaarde, elk net onder de rapportagedrempel, verspreid over meerdere sessies om te voorkomen dat één enkele monitoringregel wordt geactiveerd. Shufti's transactiemonitoring aggregeert de geschiedenis van uitgaande transacties over configureerbare tijdsvensters, waardoor het opsplitsingspatroon onder de drempelwaarde zichtbaar wordt op accountniveau, waar individuele transactiemonitoring dit niet kan detecteren. De Fraud Hub markeert het account wanneer het geaggregeerde uitgaande patroon overeenkomt met structureringstypologieën. Er wordt een handmatige controleblokkering toegepast voordat de volgende transactie in de reeks wordt verwerkt.

Krediet aanvragen

Document verificatie eIDV Gezichtsverificatie Apparaat vingerafdrukken Fraudecentrum Transactiebewaking

Aanvraag-/leningsfraude

Een fraudeur dient valse inkomens-, arbeidsstatus- of adresgegevens in om in aanmerking te komen voor een krediet of BNPL-product waarvoor hij of zij niet rechtmatig zou worden goedgekeurd. Shufti's eIDV vergelijkt elk opgegeven veld met gezaghebbende overheids- en bureaugegevens. Een vervalst adres of een opgeblazen inkomenscijfer vindt geen overeenkomende elektronische gegevens en de aanvraag wordt direct afgewezen. Documentverificatie voert forensische controles uit op ondersteunende documenten en detecteert inconsistenties in lettertypen, afwijkingen in metadata en mismatches in sjablonen, die betrouwbare indicatoren zijn van vervalsing. De aanvraag wordt afgewezen bij de indiening, niet tijdens de handmatige controle.

Leningstapeling

Dezelfde aanvrager dient tegelijkertijd kredietaanvragen in bij meerdere kredietverstrekkers, nog voordat de kredietbureaus dit registreren, om zo veel meer krediet te vergaren dan welke kredietverstrekker dan ook zou goedkeuren. Shufti's eIDV en Device Fingerprinting koppelen de aanvragen in realtime aan elkaar via identiteits- en apparaatsignalen binnen het platform, waardoor het patroon van meerdere aanvragen aan het licht komt voordat een enkele aanvraag het goedkeuringsproces heeft doorlopen. De Fraud Hub signaleert een snelle opeenvolging van meerdere aanvragen, met name wanneer dezelfde identiteit of hetzelfde apparaat binnen een korte tijd in meerdere kredietstromen voorkomt. Alle actieve aanvragen worden geblokkeerd terwijl het patroon wordt onderzocht.

Bust-Out Fraud

Een klant bouwt weken of maandenlang een ogenschijnlijk legitiem profiel op, neemt vervolgens al het beschikbare krediet op voor al zijn producten tegelijk en verdwijnt voordat de terugbetaling verschuldigd is. Shufti's transactiemonitoring houdt het accountgedrag continu in de gaten. Een plotselinge opname tot de limiet voor meerdere producten, gevolgd door een snelle opname of overboeking, activeert direct een waarschuwing voordat de cyclus is voltooid. Permanente KYC volgt de afwijking tussen het opgegeven profiel van de klant en zijn of haar werkelijke gedrag, waardoor inconsistenties aan het licht komen die bij een momentopname over het hoofd zouden worden gezien. De Fraud Hub koppelt het account aan eerdere fraudepatronen als hetzelfde apparaat of dezelfde identiteitssignalen bij eerdere incidenten zijn gebruikt.

Synthetische identiteit voor kredietverlening

Een samengestelde identiteit, opgebouwd uit een echt BSN-nummer en verzonnen persoonsgegevens, wordt gebruikt om kredietproducten aan te vragen met de bedoeling om na afschrijving in gebreke te blijven. Shufti's eIDV detecteert de discrepantie tussen de echte identificatiecode en de verzonnen gegevens. De naam is niet elektronisch te vinden en het adres levert niets op in officiële registers. Documentverificatie bevestigt dat de ingediende identiteitsdocumenten op elk veld overeenkomen met de opgegeven identiteit, niet alleen het documentnummer. Een synthetische identiteit faalt voor beide controles voordat de kredietbeslissing wordt verwerkt.

Misleidende voorstelling van geschiktheid

Een klant overdrijft zijn inkomen, financiële ervaring of risicobereidheid op een aanvraag voor kredietproducten of beleggingscategorieën waarvoor hij niet in aanmerking komt. Shufti's documentverificatie voert forensische controles uit op de ondersteunende financiële documenten. Vervalsde loonstroken en bankafschriften worden betrouwbaar ontmaskerd op basis van lettertype, metadata en sjabloonintegriteit. eIDV vergelijkt de opgegeven gegevens met beschikbare gegevens van kredietbureaus en brengt discrepanties aan het licht tussen wat is opgegeven en wat de bekende identiteit ondersteunt. Een opgegeven inkomenscijfer zonder overeenkomend onafhankelijk bewijs leidt tot een controle voordat de aanvraag verder wordt verwerkt.

Snelheid / Anomalie-aanval

Een gecoördineerde groep dient snel achter elkaar vergelijkbare kredietaanvragen in, vaak onder licht verschillende identiteiten, om de handmatige beoordelingsprocessen te overbelasten en de druk op de goedkeuringen te verhogen. Shufti's Device Fingerprinting koppelt aanvragen via gedeelde hardware en infrastructuur in realtime aan elkaar binnen het platform. Gedragsbiometrie detecteert het geprogrammeerde aanvraagpatroon, waarbij identieke veldnavigatie en tijdsintervallen een geautomatiseerde aanval onderscheiden van echte individuele aanvragers. De Fraud Hub toont het gecoördineerde karakter van de aanval in één overzicht van alle gevallen, in plaats van als een reeks losse, individuele meldingen.

account Onderhoud

Biometrische gezichtsherkenning MFA Apparaat vingerafdrukken Gedragsbiometrie AML Screening

Wachtwoord resetten Accountovername

Een aanvaller bemachtigt het e-mailadres of mobiele nummer van het slachtoffer via SIM-swapping, phishing of credential stuffing en gebruikt het wachtwoordherstelproces om de rechtmatige gebruiker buiten te sluiten en de controle over te nemen. Shufti's biometrische gezichtsauthenticatie vereist een live selfie die overeenkomt met de KYC-gegevens voordat een wachtwoordherstel kan worden voltooid. Een gecompromitteerd e-mailadres of telefoonnummer alleen is niet voldoende om deze stap te ontgrendelen. MFA met TOTP zorgt ervoor dat het herstelproces niet afhankelijk is van een telefoonnummer dat naar de aanvaller kan worden doorgesluisd. Apparaatvingerafdrukken signaleren wanneer het herstelverzoek afkomstig is van een onbekend apparaat of netwerk, wat een extra blokkering activeert.

Bestemming voor frauduleuze betalingen toegevoegd

Een aanvaller die gedeeltelijke toegang tot een account heeft verkregen, voegt onmiddellijk zijn eigen bankrekening toe als opnamebestemming voordat de rechtmatige gebruiker de inbreuk opmerkt. Shufti's biometrische gezichtsauthenticatie vereist een live biometrische match voordat een nieuwe uitbetalingsbestemming wordt opgeslagen. De aanvaller kan deze stap niet voltooien zonder het geregistreerde gezicht van de rechtmatige rekeninghouder. Apparaatvingerafdrukken signaleren wanneer een nieuwe bestemming wordt toegevoegd vanaf een onbekend apparaat of netwerk. Deze extra beveiligingsstap zorgt ervoor dat een gedeeltelijke inbreuk op de inloggegevens niet kan leiden tot het omleiden van geld, ongeacht wat de aanvaller verder weet.

Identiteitsgegevens wijzigen om screening te omzeilen

Een klant die een AML-waarschuwing heeft ontvangen, probeert zijn geregistreerde naam of geboortedatum te wijzigen om zich voor te doen als een nieuwe, niet-gecontroleerde identiteit binnen het monitoringsysteem. Shufti's AML Screening Het account wordt automatisch opnieuw gescreend wanneer essentiële identiteitsvelden worden gewijzigd. De nieuwe waarden worden in dezelfde controleronde als bij elke nieuwe klant vergeleken met controlelijsten en negatieve media. Documentverificatie bevestigt dat alle nieuwe identiteitsdocumenten overeenkomen met de oorspronkelijke geregistreerde biometrische gegevens, niet alleen met het bijgewerkte veld. Een gewijzigde naam die de naamcontrole doorstaat, kan nog steeds niet worden vergeleken met het oorspronkelijke KYC-record en daardoor niet worden herkend.

Continue sessie-overname

Een gestolen sessietoken, verkregen na de oorspronkelijke authenticatie, stelt een aanvaller in staat accountinstellingen te wijzigen en gegevens te bemachtigen gedurende een langere sessie zonder een nieuwe inlogpoging te activeren. Shufti's gedragsbiometrie monitort interactiepatronen gedurende de volledige geauthenticeerde sessie, niet alleen tijdens het inloggen. Navigatieritme, interactiepatronen in velden en apparaatgebruik veranderen meetbaar wanneer een andere persoon het overneemt. Apparaatvingerafdrukken signaleren wanneer sessieactiviteit wordt voortgezet vanaf andere hardware of een nieuw netwerk. Elke gedetecteerde afwijking activeert een onmiddellijke herauthenticatie voordat de sessie kan worden voortgezet.

Ondersteun social engineering

Een aanvaller belt de klantenservice met de persoonsgegevens van het slachtoffer, waaronder naam, adres, meisjesnaam van de moeder en geboortedatum, en gebruikt deze om een medewerker te overtuigen accountgegevens te wijzigen of limieten te verhogen. Shufti's biometrische gezichtsauthenticatie vereist een live biometrische match voordat er wijzigingen op accountniveau worden doorgevoerd. Geen enkele hoeveelheid persoonsgegevens kan het geregistreerde gezicht van de rechtmatige accounthouder vervangen. Fast ID stelt de rechtmatige accounthouder in staat om zichzelf snel opnieuw te authenticeren als hij of zij het verzoek direct indient. Een succesvol social engineering-gesprek leidt niet tot een accountwijziging zonder de biometrische verificatiestap.

Phishing om instellingen te wijzigen

Een nep-klantenservicebericht, via sms, e-mail of in-app-bericht, leidt de gebruiker naar een vervalste pagina die is ontworpen om inloggegevens te bemachtigen en vervolgens op de achtergrond accountwijzigingen door te voeren. Shufti's biometrische gezichtsherkenning is gekoppeld aan de authentieke SDK-workflow. Een vervalste website kan de cryptografische handshake die nodig is om een gevalideerde instellingswijziging te activeren, niet repliceren. Gedragsbiometrie markeert elke sessie voor instellingswijziging die niet overeenkomt met het normale interactiepatroon van de accounthouder voor dat type actie. De door de phishingpagina bemachtigde inloggegevens zijn nutteloos zonder de biometrische laag die de SDK afdwingt.

Upgrade

Document verificatie Gezichtsverificatie (iBETA L3) NFC-verificatie Adresverificatie Biometrische gezichtsherkenning

Valse documenten voor een hogere rang

Een klant dient een vervalst paspoort of een gefabriceerde energierekening in om hogere transactielimieten te ontgrendelen zonder te voldoen aan de vereisten voor echte verificatie bij die limiet. Shufti's documentverificatie voert dezelfde forensische controles uit bij een limietupgrade als bij de initiële onboarding. Sjabloonintegriteit, consistentie van lettertypen, MRZ-validatie en detectie van door AI gegenereerde artefacten zijn allemaal van toepassing, ongeacht wanneer het document wordt ingediend. NFC-verificatie leest de cryptografische chip in het ingediende identiteitsbewijs. Een gekocht nepdocument heeft geen werkende chip en de chipuitlezing mislukt onmiddellijk. Het gezicht op het document moet ook overeenkomen met de biometrische gegevens die bij de oorspronkelijke registratie zijn vastgelegd; een documentwijziging kan geen nieuwe identiteit opleveren.

Pak fraude aan bij upgrade naar een hogere tier.

Een vervalste energierekening wordt ingediend als adresbewijs om in een minder risicovolle jurisdictie terecht te komen met hogere limieten of minder strenge verificatievereisten. Shufti's adresverificatie vergelijkt het opgegeven adres met onafhankelijke gegevensbronnen. Een vervalste rekening heeft geen overeenkomende elektronische aanwezigheid in overheidsregisters, ongeacht hoe overtuigend de afbeelding er ook uitziet. Documentverificatie controleert het sjabloon van de energierekening aan de hand van bekende sjablonen van de uitgever en signaleert inconsistenties in lettertypen, logo's en lay-out die wijzen op vervalsing. Een document dat de visuele controle doorstaat, voldoet nog steeds niet aan de eisen van de onafhankelijke gegevensverificatie.

Steun sociale manipulatie voor limietverhoging

Een aanvaller doet zich tijdens een supportgesprek voor als de rekeninghouder en gebruikt daarbij persoonsgegevens die zijn verkregen via een datalek of social engineering om een limietverhoging aan te vragen zonder formele herverificatie. Shufti's biometrische gezichtsauthenticatie vereist een live selfie die overeenkomt met de KYC-gegevens voordat een limietwijziging wordt doorgevoerd. Het supportkanaal kan deze vereiste niet omzeilen. Met Fast ID kan de rechtmatige rekeninghouder deze stap zelf binnen 30 seconden voltooien als hij of zij het verzoek indient. Geen enkele hoeveelheid persoonsgegevens kan de biometrische vereiste omzeilen.

Deepfake bij herverificatie

Een aanvaller genereert een synthetische gezichtsvideo om te presenteren tijdens de biometrische stap die nodig is voor een limietupgrade, in een poging zich voor te doen als de rechtmatige rekeninghouder. Shufti's gezichtsverificatie op iBETA-niveau 3, de hoogste onafhankelijke PAD-certificering die beschikbaar is met 0% APCER en 0% BPCER, past gelijktijdig 3D-dieptemapping, microbewegingsanalyse en injectiedetectie toe. Het systeem verwerpt synthetische video's, 3D-maskers en door de camera geïnjecteerde media op hardwareniveau voordat er gezichtsvergelijking plaatsvindt. Een deepfake kan niet alle drie de detectielagen in één sessie doorstaan.

Onjuiste voorstelling van geschiktheid voor kredietcategorie

Een klant overdrijft zijn opgegeven inkomen of financiële positie om in een hogere kredietcategorie terecht te komen of een product met een lagere rente te verkrijgen waarvoor hij niet in aanmerking komt. De forensische documentverificatie van Shufti onthult vervalste loonstroken en bankafschriften door middel van analyse van lettertypen, metadata en sjabloonintegriteit, die voor het menselijk oog niet zichtbaar zijn. eIDV vergelijkt opgegeven inkomens- en werkgegevens met onafhankelijke documenten, indien beschikbaar. Een opgegeven financiële positie zonder ondersteunend elektronisch bewijs leidt tot een controle voordat de wijziging van de kredietcategorie wordt goedgekeurd.

Jurisdictiefraude voor de lagere risicocategorie

Een gebruiker geeft zijn of haar locatie onjuist weer door gebruik te maken van een VPN of vervalste adresdocumenten, om zo in een rechtsgebied terecht te komen met lagere verificatievereisten of hogere transactielimieten. Shufti's adresverificatie vergelijkt het opgegeven adres met gegevens van bureaus en overheidsinstanties, onafhankelijk van het ingediende document. Apparaatvingerafdrukken signaleren VPN-gebruik en discrepanties tussen IP-adres en locatie die in tegenspraak zijn met het opgegeven rechtsgebied. eIDV bevestigt of de bekende data-voetafdruk van de identiteit consistent is met de opgegeven locatie in alle drie de databronnen tegelijk.

Periodieke evaluatie

Lopend AML Screening Permanente KYC Transactiebewaking Biometrische gezichtsherkenning Gezichtsverificatie

Sancties en hernotering niet opgemerkt

Een klant die alle onboardingcontroles heeft doorstaan, wordt vervolgens toegevoegd aan een wereldwijde sanctielijst, maar door de jaarlijkse beoordelingscyclus van het platform gaan er weken of maanden voorbij voordat de wijziging wordt opgemerkt. Shufti's Ongoing AML Screening Het systeem voert continu hercontroles uit aan de hand van actuele sanctiedatabases. Een nieuwe sanctie leidt tot een waarschuwing binnen dezelfde sessie waarin deze verschijnt, en niet pas tijdens de volgende geplande jaarlijkse controle. Perpetual KYC werkt het risicoprofiel van de klant automatisch bij wanneer de AML-status verandert, waarna het compliance-team direct een melding ontvangt. Er worden geen verdere transacties verwerkt voordat de melding is beoordeeld.

Risicoprofielafwijking

Het transactiegedrag van een klant verschuift geleidelijk naar risicovolle patronen over een periode van maanden, waaronder toenemende overboekingsvolumes, nieuwe risicovolle begunstigden en niet-aangegeven wijzigingen in de jurisdictie, zonder dat de risicobeoordeling dit weerspiegelt. Shufti's Perpetual KYC monitort gedragssignalen continu en actualiseert de risicoscore van de klant dynamisch in plaats van op een vaste jaarlijkse beoordelingsdatum. Transactiemonitoring volgt de verschuiving in betalingsgedrag in de loop van de tijd en brengt het patroon aan het licht voordat het een drempelwaarde bereikt die maanden eerder aanleiding had moeten geven tot verscherpt due diligence-onderzoek. Een automatische verscherpt due diligence-vereiste wordt toegepast wanneer de risicoscore de ingestelde drempelwaarde overschrijdt.

Ontduiking van periodieke evaluatie

Een klant die op de hoogte is van het schema van periodieke controles, onderdrukt tijdelijk verdachte activiteiten in de weken voorafgaand aan de controle en hervat deze nadat de controle als positief is beoordeeld. Shufti's Perpetual KYC is gebaseerd op gebeurtenissen in plaats van op een kalender. Het evalueert continu de volledige rekeninggeschiedenis, niet alleen de recente periode vóór een geplande controle. Een klant die activiteiten vier weken lang onderdrukt, krijgt geen reset van zijn risicoscore; de onderdrukkingsperiode zelf wordt een signaal in het volledige gedragsdossier. De complete transactie- en risicogeschiedenis is beschikbaar op het moment van de controle, niet alleen de meest recente periode.

Identiteitswissel bij herverificatie

Een klant presenteert tijdens de herverificatie andere identiteitsdocumenten en beweert dat het originele identiteitsbewijs verloren of verlopen is, met de bedoeling om zijn of haar identiteit in de systemen te vervangen door die van iemand anders. Shufti's biometrische gezichtsauthenticatie vereist dat de huidige selfie overeenkomt met de biometrische gegevens die tijdens de oorspronkelijke onboarding zijn geregistreerd, ongeacht welke nieuwe documenten er tegelijkertijd worden ingediend. Gezichtsverificatie op iBETA-niveau 3 zorgt ervoor dat de biometrische overeenkomst niet kan worden omzeild door een deepfake-vervanging tijdens de herverificatie. Een nieuwe set documenten die niet overeenkomt met de oorspronkelijke biometrische gegevens, leidt tot onmiddellijke escalatie en niet tot herregistratie.

Verouderde synthetische identiteit ontmaskerd

Een synthetische identiteit, die in de loop van maanden is opgebouwd door middel van kleine stortingen en een groeiende transactiegeschiedenis, doorstaat initiële en daaropvolgende periodieke controles voordat een poging tot het onttrekken van grote bedragen wordt gedaan op het moment dat de aanvaller dit veilig acht. Shufti's eIDV blijft de identiteit bij elke controle vergelijken met gezaghebbende gegevensbronnen. Permanente KYC volgt de afwijking tussen het transactiegedrag van de klant en het opgegeven profiel. Een identiteit die bij de onboarding geloofwaardig was, wordt inconsistent naarmate de gefabriceerde datavoetafdruk zich niet ontwikkelt zoals het financiële leven van een echt persoon dat zou doen. De onttrekkingspoging leidt tot een onmiddellijke blokkering.

Opnieuw opduikende negatieve media

Een klant met een onberispelijke reputatie bij de onboarding wordt later in verband gebracht met financiële criminaliteit in nieuwsberichten die na de opening van zijn rekening zijn gepubliceerd, waaronder handhavingsmaatregelen, fraudeaanklachten of onderzoeken die op het moment van onboarding nog niet bestonden. Shufti's Ongoing AML Screening Het systeem monitort continu meer dan 50,000 bronnen met negatieve media in meer dan 80 talen, niet alleen tijdens de onboarding of geplande beoordelingen. Een nieuwe match met negatieve media activeert een realtime waarschuwing in plaats van te wachten tot de volgende beoordelingscyclus. De waarschuwing is gekoppeld aan het bestaande risicoprofiel van de klant en wordt aan het compliance-team gepresenteerd met een ernstclassificatie en bronvermelding.

Account sluiten

Transactiebewaking AML Screening Lopend AML Screening Biometrische gezichtsherkenning

Sluiting vóór SAR

Een klant die onderwerp is van een compliance-onderzoek verzoekt gelijktijdig om sluiting van de rekening en verwijdering van gegevens, in een poging om alle transactie- en identiteitsgegevens te vernietigen voordat een SAR (Suspicious Activity Report) wordt ingediend. Shufti's transactiemonitoring en doorlopende monitoring AML Screening Voer een laatste controle van de historie uit voordat een sluiting wordt verwerkt. Een status 'in behandeling' voorkomt dat het account de status 'gesloten' krijgt. Wettelijke bewaarplichten onder AMLD6 en de Proceeds of Crime Act hebben voorrang op verwijderingsverzoeken; een sluitingsverzoek verwijdert geen gegevens die wettelijk bewaard moeten blijven. AML Screening bevestigt of er een lopend onderzoek van toepassing is voordat de sluiting wordt goedgekeurd.

Evenwichtsextractie vóór sluiting

Een klant neemt direct na ontvangst van een compliance-melding het volledige rekeningsaldo op en dient vervolgens een sluitingsverzoek in om een eventuele bevriezing van activa te voorkomen. De transactiemonitoring van Shufti markeert opnames van het volledige saldo die volgen op compliance-meldingen. Deze volgorde is een erkend patroon voor het opsporen van transacties vóór sluiting. Biometrische gezichtsherkenning bevestigt dat de opname is geautoriseerd door de rechtmatige rekeninghouder en niet door een aanvaller die de compliance-melding heeft geactiveerd. Het sluitingsverzoek wordt automatisch geblokkeerd terwijl de opname wordt beoordeeld.

Opnieuw een aanvraag indienen onder een nieuwe identiteit

Een klant die zijn account heeft beëindigd, vraagt een nieuw account aan met andere documenten, zoals een identiteitsbewijs van een broer of zus, een vervalst paspoort of een nieuw verkregen identiteitsbewijs. Dit gebeurt ervan uitgaande dat het platform de nieuwe aanvraag niet kan koppelen aan het gesloten account. Shufti's 1:N gezichtsherkenning controleert elke selfie van een nieuwe aanvrager aan de hand van alle eerdere accounts, inclusief gedeactiveerde en gesloten accounts. Hetzelfde gezicht kan geen nieuw account aanmaken, ongeacht welke documenten erbij worden getoond. AML Screening De nieuwe aanvraag wordt vergeleken met het risicodossier van de gesloten rekening. Deze koppeling wordt zichtbaar voordat de nieuwe aanvraag de identiteitsverificatiestap bereikt.

GDPR-verwijdering om bewijsmateriaal te vernietigen

Een klant beroept zich op zijn recht op verwijdering op grond van artikel 17 van de AVG bij het sluiten van een rekening, met name voor transactiegegevens en identiteitsgegevens die relevant kunnen zijn voor een fraude- of antiwitwasonderzoek. Het systeem van Shufti past de uitzondering van artikel 17(3)(b) toe. Gegevens die onderworven zijn aan antiwitwas-, antifraude- of wettelijke bewaarplichten, kunnen niet op verzoek van de klant worden verwijderd gedurende de wettelijk verplichte bewaartermijn. Het verzoek wordt geregistreerd en beantwoord met de toepasselijke wettelijke grondslag, waarbij een auditrapport van de verwijderingspoging zelf wordt aangemaakt. Bewaarde gegevens blijven gedurende de gehele bewaartermijn beschikbaar voor wetshandhavingsinstanties of toezichthouders.

Chargeback-cascade bij afsluiting

Een klant betwist elke met een kaart gefinancierde transactie bij het sluiten van een rekening, met de bewering dat deze allemaal ongeautoriseerd waren, nadat het geld al is overgemaakt of uitgegeven via conversie of overschrijving. Shufti's toestemmingsverificatie creëert een cryptografische registratie op het moment van elke met een kaart gefinancierde transactie, waarmee de geverifieerde rekeninghouder wordt gekoppeld aan elke specifieke geautoriseerde betaling. Wanneer de terugboekingsprocedure wordt gestart, beschikt het platform over een tijdgestempelde, verifieerbare toestemmingsregistratie voor elke betwiste transactie. De gronden voor elke individuele betwisting worden gedocumenteerd voordat een terugboeking de uitgever bereikt.

Gecoördineerde afsluitingsring van rekeningen

Meerdere gekoppelde accounts worden gelijktijdig gesloten nadat een frauduleuze constructie is voltooid, om de spoorlijn te verkleinen en het moeilijker te maken het netwerk te reconstrueren of de opbrengsten terug te vorderen. Shufti's Fraud Hub monitort gecoördineerde accountactiviteit op het platform en signaleert gelijktijdige sluitingsverzoeken van accounts die dezelfde apparaatsignalen, identiteitsverbindingen of transactiestromen delen. 1:N Gezichtsherkenning koppelt accounts die hetzelfde gezicht gebruikten voor verschillende geregistreerde identiteiten. AML Screening Er wordt een laatste controle uitgevoerd op alle accounts in het systeem voordat records als afgesloten worden gemarkeerd.

Ontwikkeld voor elke functie die verantwoordelijk is voor de nalevingsbeslissing.

Combineer producten op het gebied van identiteitsbeheer, compliance en fraudebestrijding om een verificatiestack te bouwen die voldoet aan uw wettelijke vereisten, zonder dat u de integratie telkens opnieuw hoeft op te bouwen wanneer de regelgeving verandert.

Boek een adviesgesprek

Compliance Officer

Eén auditlogboek per gebruiker, één export van bewijsmateriaal per onderzoek. Risicoclassificatie, DORA-conforme leveranciersdocumentatie en AMLD6-compatibele CDD-gegevens zijn allemaal toegankelijk zonder van portaal te hoeven wisselen.

Head of Product

Configureer de verificatiediepte per risicocategorie en geografische locatie. Lokale slagingspercentages en een workflowbuilder zonder programmeerkennis stellen u in staat de conversie te optimaliseren voordat u een nieuwe markt betreedt.

Hoofd van Engineering

Eén REST API voor de volledige gebruikerslevenscyclus. SDK's voor web en mobiel. Toegang tot de sandbox binnen enkele minuten. Documentatie over SOC 2 Type II en het DORA-register is op aanvraag beschikbaar.

fraude analist

Een centraal fraudebestrijdingscentrum toont alle signalen met betrekking tot apparaat-, gedrags-, identiteits- en transactiegegevens in één overzicht. Zie waarom een signaal is geactiveerd voordat de zaak wordt geopend.

Geloof ons niet zomaar op ons woord, luister naar wat onze klanten zeggen.

Het vertrouwen dat onze klanten delen

De toekomst van digitale identiteit wordt bepaald door vertrouwen, interoperabiliteit en afstemming op regelgeving. Daarom versterkt onze samenwerking met Shufti de toewijding van DevCode Identity om onze wereldwijde klanten te ondersteunen met de meest veilige, toonaangevende en conforme oplossingen voor identiteitsverificatie die momenteel beschikbaar zijn.

Door ons conversiegedreven compliance-orkestratieplatform te combineren met Shufti's wereldwijde KYC- en IDV-mogelijkheden kunnen onze klanten niet alleen complexe wettelijke eisen het hoofd bieden, maar ook een naadloze onboarding-ervaring voor klanten behouden met de hoogst haalbare conversiepercentages.

Mark Knighton

Hoofd Wereldwijde Ontwikkelingsfunctionaris -
Wereldwijde allianties, DevCode

Alles wat je moet weten, op één plek.

Veelgestelde Vragen / FAQ

Welke KYC- en AML-regelgeving is in 2026 van toepassing op fintechplatforms in het VK en de EU?

In het VK geautoriseerde fintechbedrijven opereren onder de FCA Consumer Duty (van kracht sinds juli 2023), PSD2 Strong Customer Authentication en het AMLD6/AMLR-raamwerk (algemene implementatiedeadline 10 juli 2027). DORA, van kracht sinds 17 januari 2025, voegt verplichtingen toe op het gebied van veerkracht en incidentrapportage voor elke ICT-leverancier in de stack. Shufti onderhoudt compliance-regelgeving in meer dan 240 landen en verwerkt deze actief.

Hoe ondersteunt Shufti de identificatie van kwetsbare klanten door de FCA Consumer Duty tijdens het onboardingproces?

Het risicogebaseerde onboardingproces ondersteunt configureerbare kwetsbaarheidsindicatoren tijdens de verificatiestap, waardoor een klantspecifiek consumentenregistratieformulier wordt gegenereerd dat is afgestemd op de gezamenlijke verklaring van de FCA en ICO. Dit formulier kan worden geëxporteerd voor toezicht door de toezichthouder zonder dat hiervoor aanvullende gegevens van de leverancier hoeven te worden opgevraagd.

Wat betekent de iBETA Level 3 liveness-certificering voor identiteitscontroles in de fintechsector?

ISO/IEC 30107-3 PAD Level 3 is het hoogste onafhankelijke certificeringsniveau voor biometrische levendigheid. iBETA heeft het systeem van Shufti getest op presentatieaanvallen, videoherhaling, deepfake-injectie en 3D-maskers op het meest veeleisende niveau van de standaard. Shufti is de eerste Europese leverancier die Level 3 heeft behaald met 0% APCER en 0% BPCER op zowel iOS als Android.

Hoe ondersteunt Shufti het DORA-risicobeheer voor ICT-risico's van derden voor gereguleerde fintechbedrijven?

DORA vereist dat gereguleerde entiteiten elke kritieke ICT-leverancier documenteren, met contractuele bepalingen over veerkracht, incidentmelding, auditrechten en exitstrategie. Shufti biedt een informatiepakket aan met onder andere SOC 2 Type II, ISO 27001, BCP/DR-documentatie, SLA voor incidentmelding en een lijst met subverwerkers, beschikbaar op aanvraag.

Hoe snel kan een fintechbedrijf Shufti in gebruik nemen?

De toegang tot de sandbox is direct. De enkele REST API omvat documentverificatie, biometrische levendigheid, eIDV, AML screening, en transactiebewaking in één integratie. Een gemiddelde implementatie in een productieomgeving duurt 2 tot 8 weken, afhankelijk van de omvang.

Functioneert Shufti als gegevensverwerker in de zin van artikel 28 van de AVG?

Ja. Shufti verwerkt verificatiegegevens namens de klant en claimt daar geen eigendomsrechten op. De op artikel 28 conforme gegevensverwerkingsovereenkomst, de lijst met subverwerkers, de opties voor gegevensopslag in de EU en het VK, en de mogelijkheid tot het verkrijgen van een verwijderingscertificaat worden in de contractfase aangeboden.

Evalueer Shufti ten opzichte van uw huidige fintech-compliance-systemen.

De FCA Consumer Duty, DORA en AMLD6 vereisen een verificatiearchitectuur die de identiteit bij onboarding koppelt aan continue transactiemonitoring en een uniform auditspoor genereert. Puntoplossingen kunnen dit niet vanuit een gedeeld record. Evalueer of uw huidige oplossing hieraan voldoet.

Boek een adviesgesprek

Beveilig de volledige klantlevenscyclus in de fintechsector met fintech-compliance.

Onze impact, in cijfers.

Waarom fintechplatforms voor Shufti kiezen

Groei zonder nalevingslacunes

Voorkom fraude voordat het zich voordoet.

Eén controletraject, elke toezichthouder

Beveilig elke fase van de levenscyclus van de fintech-gebruiker.

Registreren

Botaccount farmen

Registratie van synthetische identiteiten

Meerdere accounts / Dubbele aanmelding

Registratie van identiteitsdiefstal

Emulator / Headless Browser Onboarding

Misbruik maken van de verwijzings-/aanmeldingsbonus

Affiliate-/installatiefraude

Identiteit verifiëren (KYC)

Documentvervalsing

Deepfake / AI-gezichtsaanval

Camera-injectieaanval

Identiteitspakketfraude

Synthetische identiteit bij KYC

Verhulling van bedrijfseigendom

Risicoscreening

Verzwijging van negatieve media-aandacht

Misleiding met betrekking tot rechtsgebieden met een hoog risico

PEP of Sanctioned Person Onboarding

Sancties van de uiteindelijke begunstigde bij verzwijging

Mule Recruitment Onboarding

Onjuiste voorstelling van de herkomst van de fondsen

Fondsrekening

Geldmuil-storting

Gestolen kaart / CNP-fraude

Terugvorderingsfraude

Structurering / Smurfen

APP Fraude Storting

Inkomende gesanctioneerde bron

Inloggen

Inloggegevens opvullen

SIM-kaartwissel / 2FA-bypass

Sessie kapen

Phishing / Aanval tussen de twee vijanden

MFA-vermoeidheid / Bombardementen

RAT / Oplichting in uitvoering

Betalen

Geautoriseerde push-betalingsfraude

Factuuromleiding / Leveranciersfraude

Romantiek / Uitgangsroute voor beleggingsfraude

Witwassen van geld: gelaagdheid

Verzenden naar een gesanctioneerde entiteit

Gestructureerde uitgaande overdracht

Krediet aanvragen

Aanvraag-/leningsfraude

Leningstapeling

Bust-Out Fraud

Synthetische identiteit voor kredietverlening

Misleidende voorstelling van geschiktheid

Snelheid / Anomalie-aanval

account Onderhoud

Wachtwoord resetten Accountovername

Bestemming voor frauduleuze betalingen toegevoegd

Identiteitsgegevens wijzigen om screening te omzeilen

Continue sessie-overname

Ondersteun social engineering

Phishing om instellingen te wijzigen

Upgrade

Valse documenten voor een hogere rang

Pak fraude aan bij upgrade naar een hogere tier.

Steun sociale manipulatie voor limietverhoging

Deepfake bij herverificatie

Onjuiste voorstelling van geschiktheid voor kredietcategorie

Jurisdictiefraude voor de lagere risicocategorie

Periodieke evaluatie

Sancties en hernotering niet opgemerkt

Risicoprofielafwijking

Ontduiking van periodieke evaluatie

Identiteitswissel bij herverificatie

Verouderde synthetische identiteit ontmaskerd

Opnieuw opduikende negatieve media

Account sluiten

Sluiting vóór SAR