Podrabianie twarzy i omijanie funkcji Liveness: prawdziwe zagrożenie dla rozpoznawania twarzy

Weryfikacja twarzy na nowo zdefiniowała sposób uwierzytelniania użytkowników w firmach. Rzut oka na telefon zastępuje hasło, token lub fizyczny dowód tożsamości. Jednak ta sama technologia, która przyspieszyła proces rejestracji, otworzyła nowy front oszustw, przed którym tradycyjne wykrywanie aktywności nigdy nie było w stanie się bronić.

Na początku 2024 roku pracownik działu finansowego w firmie inżynieryjnej Arup przelał 25 milionów dolarów po tym, jak deepfake podszywał się pod dyrektora finansowego firmy. W 2025 roku firma zajmująca się analizą zagrożeń Group-IB udokumentowała 8,065 atak biometryczny prób ataku na jedną instytucję finansową w ciągu zaledwie ośmiu miesięcy. Do 2026 r. Gartner przewiduje, że 30% przedsiębiorstw nie będzie już ufać samodzielnym metodom weryfikacji tożsamości w kontekście podszywania się pod inne osoby za pomocą sztucznej inteligencji.

To nowy krajobraz podrabiania twarzy. To już nie tylko zdjęcia i silikonowe maski. To deepfake’i wstrzyknięte bezpośrednio do kamery, wirtualne kamery przesyłające nagrane wcześniej strumienie do aplikacji KYC oraz syntetyczne tożsamości tworzone kompleksowo przez generatywną sztuczną inteligencję. Ten przewodnik wyjaśnia, jak działają dzisiejsze ataki, jakie mechanizmy obronne faktycznie je powstrzymują i jak sprawdzić, czy Twoje rozwiązanie do ochrony tożsamości jest rzeczywiście odporne na hakerów.

W jaki sposób przestępcy wykorzystują weryfikację twarzy?

1. Fałszowanie twarzy (ataki prezentacyjne)

Spoofing występuje, gdy oszuści próbują oszukać rozpoznawanie twarzy systemy wykorzystujące sztuczne wizualizacje. Dwa główne typy:

• Ataki 2D: Wydrukowane zdjęcia, powtórki ekranowe lub filmy wyświetlane przed kamerą
• Ataki 3D: Maski silikonowe, głowy drukowane w technologii 3D lub repliki robotów imitujące ruchy twarzy

Podczas gdy ataki 2D były historycznie bardziej powszechne, ataki 3D stały się bardziej powszechne wraz z postępem w druku i robotyce. Deepfake'i dodają jeszcze więcej złożoności dzięki wysokiej jakości syntetycznym filmom, które potrafią oszukać ludzkie oko.

2. Omijanie żywotności (exploity systemowe)

Ataki obejściowe polegają na wykorzystaniu przepływu informacji między urządzeniem a technologią rozpoznawania twarzy poprzez:

• Wstrzykiwanie wstępnie nagranych filmów przy użyciu zainfekowanych urządzeń
• Przechwytywanie lub zastępowanie danych biometrycznych w trakcie przesyłu
• Hackowanie zaplecza służy manipulowaniu wynikami

Metody te zazwyczaj wykorzystują złośliwe oprogramowanie, narzędzia deepfakelub niezabezpieczonych kanałów danych.

Tylko w okresie od stycznia do sierpnia 2025 r. Grupa IB odnotowała 8,065 prób ataków biometrycznych na jedną instytucję finansową. We wszystkich przypadkach wykorzystano obrazy deepfake generowane przez sztuczną inteligencję i wstrzykiwane za pomocą wirtualnych kamer.

Przypadki pominięcia żywotności w świecie rzeczywistym

Te wymienione przypadki ilustrują sposób działania współczesnych atakujących. Każdy z nich pokazuje inną warstwę zagrożenia, tj. połączenia wideo deepfake, wstrzykiwanie na dużą skalę oraz hybrydowe obejście typu dokument plus twarz.

 

Oszustwo Deepfake firmy Arup na kwotę 25 mln USD (Hongkong, 2024)

Pracownik finansowy globalnej firmy inżynieryjnej Arup przeniósł się $ 25 mln oszustom po wideokonferencji, w której uczestniczył każdy uczestnik, W tym brytyjski dyrektor finansowy firmy, był to deepfake. Sprawa ta pokazała, że ​​wideo deepfake osiągnęło poziom, na którym wiarygodna analiza w czasie rzeczywistym nie jest już wiarygodna, a spotkania o wysokim poziomie zaufania mogą być całkowicie syntetyczne.

 

Przypadek pojedynczej instytucji Grupy IB (2025)

Firma zajmująca się analizą zagrożeń Group-IB udokumentowała 8,065 prób ataków biometrycznych na systemy cyfrowe Przepływ KYC jednej instytucji finansowej w okresie od stycznia do sierpnia 2025 r. — wszystkie te działania polegały na wykorzystaniu wygenerowanych przez sztuczną inteligencję obrazów deepfake, wstrzykiwanych za pomocą wirtualnych kamer w celu ominięcia kontroli aktualności wniosków o pożyczkę.

 

Tylko fałszywe obejście KYC na giełdach kryptowalut (2024)

Śledczy wykazali, że usługa OnlyFake, polegająca na podrabianiu dokumentów, w połączeniu z gotowymi narzędziami do podmiany twarzy, może ominąć kontrole aktualności wielu głównych giełd kryptowalut. Departament Sprawiedliwości później oskarżył operatora, który przyznał się do winy sprzedaży ponad 10 000 fałszywych dowodów osobistych.

Podobne przypadki infiltracji korporacji przez sztuczną inteligencję (III kw. 2025 r.)

Firma Resemble AI odnotowała 980 przypadków infiltracji korporacji w ciągu jednego kwartału, w których atakujący wykorzystywali fałszywe nagrania wideo w czasie rzeczywistym podczas rozmów na platformach Zoom i Teams, podszywając się pod kadrę kierowniczą i autoryzując oszukańcze działania.

Jak zatrzymać podszywanie się pod inne osoby i ominąć ataki?

 

Gartner przewiduje, że do 2026 roku 30% przedsiębiorstw nie będzie już rozważać samodzielnego działania weryfikacja tożsamości i rozwiązania uwierzytelniające, które są niezawodne w izolacji od podszywania się pod inną osobę za pomocą sztucznej inteligencji

• Wykrywanie żywotności 3D

Systemy muszą mierzyć głębię, fakturę twarzy i mikroekspresje, takie jak mruganie czy ruchy mięśni, aby upewnić się, że osoba przed kamerą jest na żywo i obecna.

• Uwierzytelnianie wieloskładnikowe (MFA)

Rozpoznawanie twarzy nie powinno być jedyną linią obrony, dlatego należy dodać drugą warstwę, która może mieć formę hasła, sprawdzenia urządzenia lub danych behawioralnych.

• Bezpieczne przetwarzanie danych

Silne szyfrowanie typu end-to-end danych biometrycznych ma kluczowe znaczenie podczas transmisji, aby zapobiec ich powtórzeniu i ataki typu man-in-the-middle.

• Sztuczna inteligencja zapobiegająca podszywaniu się

Uczenie maszynowe jest w stanie wykrywać różne techniki podszywania się, w tym zdjęcia, maski i deepfake'i, poprzez analizę na poziomie pikseli.

• Monitorowanie w czasie rzeczywistym

Nietypowe wzorce logowania, zmiany w zachowaniu i anomalie systemowe są sygnałami, że atak jest w toku.

• Częste aktualizacje i testy

Regularne aktualizacje systemu i testy penetracyjne pomagają wykryć luki w zabezpieczeniach, zanim zrobią to atakujący. 

Wybór bezpiecznego rozwiązania Liveness

Nie wszystkie rozwiązania do wykrywania żywotności Są sobie równe, a przepaść między nimi może być znacząca. Wiele podstawowych systemów daje się oszukać przez coś tak prostego, jak zdjęcie, film czy powtórka ekranu. Dlatego tak ważne jest przeprowadzenie testów w warunkach rzeczywistych przed wdrożeniem.

Oto kilka sposobów testowania rozwiązania dotyczącego żywotności:

• Umieść statyczny obraz, na papierze lub ekranie, przed kamerą. Każdy dobry system rozpozna brak głębi i ruchu twarzy.

• Spróbuj uwierzytelnić się z zamkniętymi oczami i bez ruchów mięśni twarzy. Prawidłowo kontrole żywotności analizować mruganie, mikroruchy i zmiany tekstury skóry.

• Testuj deepfake'i i maski 3D (jest to szczególnie ważne w branżach, w których występuje duże ryzyko oszustw). Skuteczne systemy potrafią wykryć nieprawidłowe odbicia światła, brak elastyczności skóry i płytką głębię twarzy. 

Oprócz wydajności, ważne jest przeanalizowanie wdrożonych protokołów bezpieczeństwa, takich jak:

• Czy rozwiązanie wykorzystuje kompleksowe szyfrowanie zebranych danych biometrycznych?
• Czy jest certyfikowany zgodnie z normami takimi jak ISO/IEC 30107-3 w zakresie wykrywania ataków prezentacyjnych?
• Czy opublikowali niezależne audyty, które udowodniły odporność ich systemu na podszywanie się?

Dobre rozwiązanie zapewniające żywotność powinno łączyć w sobie siłę techniczną z przejrzystością i dostosowaniem do przepisów.

Jak Shufti zwalcza oszustwa?

System weryfikacji twarzy Shufti został zaprojektowany z myślą o rzeczywistych zagrożeniach (a nie tylko o sztucznie stworzonych scenariuszach). Wykorzystuje zaawansowaną sztuczną inteligencję, uczenie maszynowe i biometrię, aby zapewnić dokładność i bezpieczeństwo.

• Wykrywanie żywotności 3D

Wykracza poza kontrolę powierzchniową, aby uchwycić głębię twarzy, jej ruch i cechy przestrzenne, w celu sprawdzenia, czy dana osoba jest obecna (i czy nie nosi maski 2D lub 3D). 

• Analiza mikroekspresji

Wykrywa obecność subtelnych, mimowolnych ruchów twarzy, takich jak mruganie, drganie powiek czy napięcie mięśni. Przy obecnej technologii odtworzenie tych sygnałów w maskach lub na twarzach jest praktycznie niemożliwe. deepfakes.

• Mapowanie AI

Wykorzystuje głębokie sieci neuronowe do identyfikacji i dopasowywania rysów twarzy z dużą dokładnością, nawet w przypadku nieoptymalnego oświetlenia, zmieniających się kątów lub drobnych zmian w wyglądzie twarzy.

• Elastyczna, skalowalna integracja

Łatwa integracja z istniejącymi procesami pracy w środowiskach internetowych, mobilnych i stacjonarnych, dzięki czemu, pomimo zmian urządzeń, jakość pozostaje taka sama. 

• Sprawdzona zgodność i bezpieczeństwo

Systemy wykrywania żywotności firmy Shufti są w pełni zgodne z ogólnoświatowymi przepisami dotyczącymi danych, takimi jak: RODO, CCPA i ISO/IEC 30107-3. Jest również regularnie testowany pod kątem ewoluujących technik podszywania się, w tym deepfake'ów, syntetycznych tożsamości i zaawansowanych masek drukowanych w technologii 3D. 

Uwagi końcowe

Rozpoznawanie twarzy pomogło na nowo zdefiniować sposób uwierzytelniania; może być ono tak skuteczne, jak systemy stworzone do jego ochrony. W miarę jak taktyki podszywania się pod inne osoby i omijanie procedur sprawdzania aktualności stają się coraz bardziej zaawansowane, organizacje muszą przejść od podstawowych weryfikacji twarzy do prawdziwie inteligentnych i bezpiecznych rozwiązań.

Sposób na to jest jasny: połącz zaawansowaną detekcję żywotności, zapobieganie oszustwom z wykorzystaniem sztucznej inteligencji i rygorystyczne standardy testowania. Niezależnie od tego, czy weryfikujesz użytkowników, zabezpieczasz dostęp, czy zapobiegasz cyfrowemu podszywaniu się, odpowiednia technologia robi ogromną różnicę.

Z narzędziami takimi jak System weryfikacji twarzy Shufti oparty na sztucznej inteligencjiFirmy mogą nadal śmiało korzystać z technologii rozpoznawania twarzy (bez narażania się na współczesne oszustwa).