仅出现一次,所有地方都已屏蔽
账户接管发生在哪里
1。 新手上路
利用合成身份和深度伪造面部开设账户,然后将这些账户出售给下游商家。
2。 登录
被盗的会话 cookie 和 AiTM 工具包绕过了多因素身份验证 (MFA)。未触发任何登录事件。
3、申请推迟录取通知书
电汇、受益人互换、提款。损失消失的那一刻。
4。 复苏
身份冒用、SIM卡交换、深度伪造。2025年最易遭受攻击的领域。
四次进攻,四次战术。
舒夫蒂是如何阻止它的
会话重播
当凭证填充攻击或被盗会话 cookie 绕过多因素身份验证时:
AiTM网络钓鱼
当网络钓鱼攻击、鱼叉式网络钓鱼电子邮件、AiTM 工具包或实时代理捕获 MFA 后的会话令牌时。
SIM卡劫持
当诈骗分子将号码转移到新的 SIM 卡并拦截短信验证码时,根据 PSR 第 59 条规定,短信默认已被泄露。
帮助台账户接管
当攻击者通过恢复流程或帐户更改请求冒充客户时
更广泛的平台
舒夫蒂覆盖了整个攻击面
我们解决的问题
受监管企业面临的合规和身份挑战——KYC、KYB、欺诈、年龄、员工和投资者验证,无需将供应商捆绑在一起即可解决。
-
身份验证
通过一个API即可实现文档取证、iBeta认证的生物特征活体检测、NFC芯片验证和反洗钱筛查。一次集成即可验证250多个地区的客户身份。
-
年龄保证
三种验证途径:面部识别、无证电子身份识别和出生日期提取,整合于同一流程中。既能阻止未成年人访问,又不会影响合法用户。
-
KYC
一套可配置流程,涵盖文件验证、人脸验证、电子身份认证 (eIDV)、近场通信 (NFC)、地址验证和反洗钱 (AML) 筛查。一次集成,一次审计追踪,无需供应商拼接。
-
KYB
在一个流程中,即可对 240 多个官方来源进行实时注册检查、完成最终受益所有人尽职调查和反洗钱筛查。
-
KYI
在同一投资者验证流程中完成认证验证、文件取证和反洗钱合规官支持的审核。无需额外供应商,即可满足 250 多个司法管辖区的合格投资者要求。
-
员工身份和访问管理
在每个访问控制点、新用户注册、帐户恢复、特权访问和 MFA 重新注册中验证身份,而无需替换您现有的 IAM 堆栈。
-
候选人验证
在招聘流程中运用文件取证、生物识别匹配和强化尽职调查。在申请阶段而非发出录用通知后,识别欺诈性申请者和人工智能生成的候选人。
业务成果
Shufti 能够大规模地实现合规性、阻止欺诈、建立用户信任,并通过单一集成扩展到全球。
-
合规
在超过250个地区实现自动化KYC、KYB和AML流程。每项决策均有可供审计的证据记录。制裁措施每15分钟更新一次——比行业标准快96倍。
-
预防诈骗
40 多个集成 AI 模型贯穿客户整个生命周期。独立测试:检测到 8 起文档伪造案例,而传统技术栈未能检测到任何案例。
-
信任与安全
在风险蔓延至您的平台之前,对用户、卖家、工作者和企业进行身份验证。在市场、游戏、零工经济、金融科技和年龄限制服务领域,构建统一的信任层。
-
全球扩张
覆盖 230 多个国家/地区、10,000 多种文档类型、150 多种语言。一个 API 即可实现针对不同司法管辖区的工作流程,并在欧盟、英国、美国、亚太地区和中东及北非地区提供区域性云基础设施。
单一API,无缝集成
几分钟内即可在您的移动应用中推出原生验证体验。
- 在 iOS 或 Android 上几分钟内即可启动原生验证。
- 使用现成的用户界面,具备摄像头、拍摄和实时反馈功能。
- 自定义流程,使其与您的移动应用无缝集成。
为了最大限度地控制数据和保护隐私,请在您自己的功能相同的基础设施中运行 Shufti。
- 所有敏感信息均应保存在公司内部,以满足严格的治理和数据驻留要求。
- 务必将敏感信息完全保密,并妥善保管在公司内部。
- 在监管严格的行业中部署,且不影响合规性。
借助 KYC Journey Builder,无需编写任何代码即可创建个性化的验证流程。
- 利用拖放功能,轻松定制您的旅程。
- 立即查看您的验证流程对用户的实际效果。
- 轻松连接托管验证,获得一致的品牌体验。
您的 KYC/AML 和欺诈防范首选平台
相关资源
常見問題解答
什么是账户盗用欺诈?
账户盗用欺诈是指诈骗分子未经授权访问合法用户的现有账户,以盗取资金、更改受益人或窃取数据。与新账户欺诈不同,账户盗用欺诈利用的是平台已信任的账户。有效的账户盗用防范措施需要验证账户持有人的身份,而不仅仅是验证账户凭证。
为什么多因素身份验证 (MFA) 无法阻止账户被盗用?
2024 年被盗用的账户中,65% 启用了多因素身份验证 (MFA)。窃取的会话 cookie(预计 2025 年将有 24.8 万台设备感染信息窃取程序)和网络钓鱼攻击(包括 AiTM 工具包、钓鱼邮件和凭证重放)完全绕过了 MFA,因为不会触发登录事件,所以也不会触发任何质询。基于身份的防御机制验证的是键盘前的使用者,而不是凭证本身。
基于短信的双因素认证就足够了吗?
英国SIM卡交换率在2024年增长了1,055%(Cifas)。短信验证码(SMS-OTP)验证的是电话号码,而不是个人身份。支付服务条例(PSR)第59条将电信运营商纳入赔偿框架,正是因为短信现在被视为默认易受攻击的手段。一对一认证则以被动生物特征识别来证明身份。
生物识别技术的普及是否会给合法用户带来不便?
1:1 认证采用被动式活体检测,用户只需看向摄像头即可。P50 延迟为 0.75 秒。Shufti 在日本的试点项目中,将合法用户的通过率从 93% 提升至 97%,同时将欺诈通过率降低了 70%。对于合法用户而言,验证过程的阻力降低了;而对于攻击者而言,验证过程的阻力则增加了。
Shufti 的部署速度有多快?
Shufti 的账户盗用防护软件可在数天内而非数月内上线。预构建的 API、SDK 和无需编写代码的 Journey Builder 可将您的账户安全解决方案与您现有的反欺诈系统无缝集成,无需彻底替换。大多数客户在一个迭代周期内即可启用账户盗用防护功能。
生物识别数据存储在哪里?所有权归谁?
您拥有客户数据的所有权。Shufti 支持云端、本地部署和混合部署,生物识别模板可以保留在您的管辖范围内或您自己的基础设施中。默认保留期限可配置。默认情况下符合 GDPR、CCPA 和 SOC 2 Type II 标准。
如果用户无法完成生物识别验证会发生什么情况?
专家代理审核模式引导用户完成一套完整的、有据可查的人工审核流程,并提供完整的审计跟踪。生物识别失败不会阻止合法用户,而是会向上级汇报,而不是直接拒绝。无障碍和包容性是内置功能,而非后期添加的。
API集成需要多长时间?
API 集成通常需要 2 到 5 个工作日。SDK 集成需要 1 到 3 个工作日。沙盒访问权限将在 24 小时内开通。这些时间安排反映了实际的企业部署经验,而非预估时间。整个过程中,我们都会安排专门的集成支持团队为您提供帮助。
