人脸验证
地址验证
文件验证
年龄验证
视频标识
快速识别
无文件验证
同意验证
NFC验证
业务验证
调查
投资者验证
电子签名
质量管理体系
AML Screening
交易监控
负面媒体
业务 AML Screening
PEP 和 RCA
制裁
监视列表
行为生物识别
设备指纹识别
生物特征人脸认证
外交部
欺诈中心
开始课程
持续监控
KYC
KYB
KYI
年龄保证
身份验证
员工身份和访问管理
候选人验证
合规
预防诈骗
信任与安全
全球扩张
产品经理
合规官
欺诈分析师
开发商介绍
深度伪造检测
奖金滥用/促销滥用
帐户接管
合成身份欺诈
文件欺诈
冒名诈骗
多会计
欺诈网络
退款欺诈
洗钱骡子活动
政党欺诈
监管与合规风险
Fintech
加密货币
iGaming的
外汇
Social Network
车型市场
银行业
Gig经济
支付记录
乘海陵
成人内容
盲点审计
Deepfake检测器
活体模拟
文件原创性
文件深度伪造
全球信任平台
旅程建设者
案件管理
舒夫提人工智能
欺诈分析
供应商比较
品牌个性化
AI合规副驾驶
OCR
安全捕获
部署选项
恒等方法
API文档
移动 SDK
服务状态
帮助中心
联系我们
技术支持
支持文档
支持的国家
内容库
博客
新闻
报告
观点洞察
知识库
ROI计算器
关于我们
招贤纳士
新闻稿
认证
伙伴关系
荣誉奖项
活动和网络研讨会
互动演示
播客工作室
聚光灯工作室
经验证的性能
我们的影响力，用数字衡量
- <30秒决策时间中位数
- 4,000+监视名单已筛选
- 240+正在积极处理的国家
受到领先企业的信赖 数字化企业
毫不妥协的合规性
为什么金融科技平台选择舒夫提
-
增长而不出现合规缺口
Starling Bank于2024年被英国金融行为监管局（FCA）罚款28.9万英镑。Monzo于2025年被FCA罚款21.1万英镑。在这两起案例中，合规控制措施均未能随着用户增长而扩展；FCA发现，在快速扩张期间，这些账户被大量开通。Shufti基于风险的流程编排能够与您的平台同步扩展，而非滞后于平台。
-
在欺诈行为发生之前就将其制止
德勤预测，到 2027 年，生成式人工智能造成的欺诈损失可能达到 40 亿美元。Shufti 的 iBETA 3 级认证的活体检测和设备智能技术可在设备级别拦截合成身份、注入攻击和机器人驱动的注册；在创建欺诈账户之前即可进行拦截。
-
一条审计追踪，每个监管机构
FCA消费者责任、DORA、AMLD6和PSD2均要求提供文档，而您现有的系统可能无法单独生成这些文档。Shufti可为每位用户生成统一的、符合法规的证据链；可在五分钟内导出为PDF和JSON格式。
确保金融科技用户生命周期的每个阶段安全无虞
注册
机器人账号刷取
一个诈骗团伙利用自动化脚本在数小时内注册数千个账户，目标是骗取注册奖励和推荐积分。Shufti 的专有设备指纹识别技术能够识别脚本无法隐藏的模拟器、代理轮换和共享基础设施。行为生物识别技术则能识别出非人般的表单填写速度和不自然的触控模式。欺诈中心会交叉比对平台上的设备和行为信号，从而在任何奖励发放之前就将该团伙揪出。
合成身份注册
诈骗分子利用窃取的个人身份信息碎片拼凑出一个虚假身份：一个真实的国民保险号码、一个捏造的姓名和一个不匹配的出生日期，然后用它开设账户。Shufti 的电子身份验证系统 (eIDV) 会将每个申报字段与政府、电信公司和信用机构的记录进行独立交叉比对。如果国民保险号码是真实的，但姓名没有匹配的电子记录，则该身份验证从一开始就失败。设备指纹识别技术会将此次尝试与之前来自同一基础设施的合成注册记录关联起来。
多账户/重复注册
用户使用三个不同的邮箱地址和两个略有不同的姓名注册，从而在同一平台上获得更高的用户奖励。Shufti 的 1:N 人脸去重技术会持续比对每个新注册用户的自拍照与所有已注册用户的面部信息。同一个人不能拥有两个已验证的账户。设备指纹识别技术能够关联在同一硬件上运行的账户，即使在会话之间使用了 VPN 或重置了浏览器，也能确保账户的关联性。欺诈中心会在任何重复账户激活之前，就发现并修复这种协同作案模式。
被盗身份登记
攻击者利用从数据泄露中获取的受害者个人身份信息 (PII) 开设受害者不知情的账户。Shufti 的 eIDV 可检测联系方式不匹配的情况：姓名和电话号码可能属实，但设备、位置和声明的联系方式与该身份的已知数据不符。人脸验证步骤需要提供实时自拍照，以确认出镜者是身份所有者。如果被盗的 PII 包中没有匹配的实时人脸照片，则验证将在此阶段失败。
模拟器/无头浏览器入门
攻击者通过设备模拟器或无头浏览器运行注册流程，以绕过设备级控制，通常会并行使用多个伪造身份。Shufti 的设备指纹识别技术可以检测模拟器的特征、缺失的硬件传感器以及真实设备始终存在的异常屏幕属性。行为生物识别技术则能识别模拟会话与真实用户会话之间自然手势和时间模式的缺失。注册会在身份验证开始之前被阻止。
推荐/注册奖励漏洞
一个协同作案团伙创建数百个账户，用于自我推荐或赚取单用户注册奖励，并使用住宅代理来掩盖其共同的来源。Shufti 的设备指纹识别技术通过硬件指纹、IP 地址和代理签名将账户关联起来，这些签名即使在清除 cookie 和重置浏览器后仍然有效。欺诈中心汇总跨账户信号，包括注册时间、推荐链和共享设备，从而揭示该团伙的结构。团伙内的所有账户都会被同时标记，而不是被视为互不关联的个体。
联盟营销/安装欺诈
诈骗分子通过脚本安装或点击农场生成虚假注册事件，从而耗尽获客预算，却无法带来真正的用户。Shufti 的行为生物识别技术能够区分真实用户意图和脚本化互动，其原理在于用户注册后是否立即出现自然的浏览行为。设备指纹识别技术可以识别点击农场运作背后的共享基础设施，包括相同的硬件、相同的操作系统配置和相同的时间间隔。欺诈中心会在广告投放资金浪费之前，标记出这些事件的数量和速度。
身份验证（KYC）
文件伪造
在KYC（了解你的客户）环节，诈骗者提交了从暗网市场购买的篡改或伪造护照。Shufti的文档验证功能会对任何政府签发的文档进行取证分析，检查模板完整性、字体一致性、MRZ（移动区域）有效性以及标准OCR技术完全无法识别的AI生成的痕迹。如果纸质文档看起来是真的，但数据已被篡改，NFC验证功能会直接读取加密芯片，并拒绝芯片与所提交文档之间任何不匹配的情况。伪造的文档无法通过这两层验证。
深度伪造/人工智能人脸攻击
攻击者利用人工智能工具生成合成人脸视频，并在自拍环节将其呈现，试图冒充真实身份所有者。Shufti 的人脸验证功能已通过 iBETA 3 级认证，它运用 3D 深度映射和微运动分析来检测人脸中自然生理信号的缺失。注入检测功能可以识别出何时通过虚拟摄像头而非实时设备传感器输入的是预先录制或人工智能生成的视频。攻击会在硬件层被拦截，从而阻止任何人脸比对的进行。
摄像头注入攻击
攻击者安装虚拟摄像头软件，在验证步骤中用预先录制或合成的图像代替设备的实时摄像头画面。Shufti 的注入检测功能可在生物特征采集开始前，在操作系统层面识别虚拟摄像头驱动程序和模拟器签名。设备指纹识别功能会标记出预期硬件传感器数据的缺失，因为真实摄像头产生的信号是虚拟摄像头无法复制的。在攻击者到达面部比对阶段之前，会话即终止。
身份包欺诈
暗网身份识别工具包将伪造文件与匹配的合成自拍照配对，售价从 50 美元到 500 美元不等，旨在呈现一个看似一致但实则虚假的身份。Shufti 的 NFC 验证技术能够读取嵌入电子护照和芯片身份证中的加密芯片，而市售工具包无法复制这些数据。文档验证的取证检查能够独立于芯片读取来确认模板的完整性和字段一致性。通过图像验证的工具包无法通过芯片读取；必须同时破解这两层验证，而预包装的工具包无法做到这一点。
KYC中的合成身份
在 KYC（了解你的客户）阶段，提交的混合身份信息（使用真实的国民保险号码，但姓名和地址是虚构的）旨在通过基本的格式验证。Shufti 的 eIDV 系统会独立交叉引用每个字段：国民保险号码可能存在，但与其关联的姓名在政府或相关机构的数据库中找不到匹配记录。文件验证会确认提交的身份信息与申报的身份信息在每个字段上都匹配，而不仅仅是文件编号。真实身份信息与虚构的周边数据之间的不匹配会在这一阶段显现出来，而不是在人工审核阶段。
企业所有权隐瞒
在KYB，犯罪受益所有人利用名义董事和层层嵌套的公司结构，隐藏在看似合法的实体背后。Shufti的商业验证系统能够追踪完整的股权链，直达最终受益所有人，无论其背后有多少中间实体。 AML Screening 然后，对每个最终受益所有人（UBO）逐一进行审查。受制裁的个人无法躲在组织架构顶层的清白代理人背后。尽职调查会揭露代理人安排旨在掩盖的负面媒体报道和政治公众人物（PEP）关联。
风险筛查
负面媒体隐瞒
一位在当地语言出版物上有犯罪记录的客户通过了初步筛查，因为仅使用英文的反洗钱工具无法找到与其相关的结果。舒夫提 AML Screening 涵盖超过 50,000 条负面媒体报道，支持 80 多种语言，并采用自动严重性分类，将金融犯罪报道与无关的同名提及区分开来。尽职调查会将搜索范围扩大到客户的关联方和关联实体。个人记录清白并不能抵消其密切关联方中的不良记录，而良好的英语记录也无法保证整体结果清白。
高风险司法管辖区虚假陈述
身处受制裁或高风险国家的用户，如果申报了不同的居住地址，并使用 VPN 来使其设备位置看起来与实际居住地址相符，Shufti 的地址验证功能会将申报的地址与独立数据源进行交叉比对。如果地址是伪造的，则在相关机构或政府记录中找不到匹配的电子足迹。eIDV 会确认该身份的已知数据足迹是否与其声称的管辖范围一致。设备指纹识别功能会标记出 VPN 签名以及申报地址无法解释的 IP 地址与实际位置不匹配的情况。
受制裁人员或政治公众人物入职
受政治迫害或受到制裁的人员试图使用化名、音译姓名或略微修改的出生日期注册账号，以避免被列入监视名单。舒夫提的 AML Screening 该工具采用模糊匹配技术，支持 80 多种语言，涵盖 4,000 多个监控名单和 215 多个制裁机制，能够捕捉到精确匹配工具完全遗漏的姓名变体。所有四级政治公众人物 (PEP) 均接受筛查，包括可能代表 PEP 行事的密切关联人士和家庭成员。姓名中哪怕只有一个字符的改变，都无法确保筛查结果的准确性。
受益所有人制裁隐瞒
受制裁的个人会利用代理人、信托和多层公司架构来掩盖其实际受益所有权，从而在审查环节掩盖真相。Shufti 的商业验证服务能够追溯到最终受益所有人的完整所有权链，无论涉及多少中间层。 AML Screening 然后对每个最终受益所有人 (UBO) 进行独立审查。受制裁的个人无法通过表面上看似清白的代理人来掩盖其责任。尽职调查还会对整个已解决的所有权链进行负面媒体报道和政治公众人物 (PEP) 核查。
Mule招聘入职
一个真实的人，通过虚假招聘或爱情骗局被招募，开设了一个账户，该账户随后将被用于接收和转移非法资金，而他/她并不完全了解自己扮演的角色。Shufti 的行为生物识别技术可以识别出与受指导或预先编写的表格填写模式相符的申请模式。受指导的申请人的步速、字段导航和犹豫模式与自发行动的人存在显著差异。欺诈中心会将设备和申请信号与已知的洗钱工具招募类型进行交叉比对。 AML Screening 如果招聘网络已在平台其他位置开展业务，则会捕获相关账户。
资金来源虚假陈述
客户提交伪造的工资单或银行对账单，以支持虚假的收入申报，从而获得更高的存款或信用额度。Shufti 的文件验证系统会对相关文件进行严格的核查，字体、模板完整性和元数据不一致等因素可作为可靠的伪造指标。eIDV 系统会将申报的收入和就业数据与可用的独立来源进行交叉比对。如果一份伪造的文件没有匹配的电子收入记录，那么在申请获得信用额度或信用额度之前，该文件将无法通过所有必要的核查。
资金账户
骡子存款
客户从犯罪网络接收第三方资金，存入账户后再转发，从而将该账户转化为洗钱链中的一个中间节点。Shufti 的交易监控功能可检测第三方资金模式：来源账户特征、存款速度以及快速的汇出转账顺序，从而区分洗钱活动和正常账户使用。当资金模式与其申报的资金来源不符时，持续的 KYC 功能会动态更新客户的风险评分。如果多个账户中出现关联的设备或身份，欺诈中心会将该账户识别为更广泛的洗钱团伙的一部分。
被盗信用卡/CNP欺诈
攻击者利用窃取的信用卡信息为金融科技账户充值，然后迅速将余额兑换成其他货币并发起提现。Shufti 的设备指纹识别功能会标记平台上与先前信用卡欺诈尝试相关的设备，从而阻止账户在已知存在风险的设备上完成充值步骤。交易监控功能会检测到快速的充值到提现操作，这种模式能够区分信用卡欺诈和正常的账户活动。系统会在提现执行前冻结账户，以便合规团队有时间进行调查。
退款欺诈
用户使用自己的银行卡为账户充值，然后将余额转移到其他地方，之后发起拒付申请，声称原始充值未经授权。Shufti 的授权验证功能会在充值瞬间生成加密记录，将已验证的账户持有人与该笔特定的充值交易关联起来。当用户发起拒付申请时，该记录会证明是真正的持卡人授权了这笔交易，并且无法令人信服地否认。在拒付申请到达发卡机构之前，争议理由就已经被记录在案。
结构化/蓝领
客户多次进行低于反洗钱报告阈值的存款，例如 9,500 英镑、9,700 英镑和 9,200 英镑，且每次存款金额都略低于该阈值，从而避免触发任何单一警报。Shufti 的交易监控功能会汇总可配置时间窗口内的存款历史记录，以单笔交易监控无法实现的方式，在账户层面揭示这种低于阈值的存款模式。 AML Screening 系统会将该账户标记为可疑结构类型。在洗钱总额达到提款阶段之前，反欺诈中心会将该账户升级进行审核。
APP欺诈存款
真正的客户可能因投资骗局、冒充他人来电或恋爱关系而被欺骗，从而授权进行大额汇款，而他们误以为这笔汇款用途正当。Shufti 的交易监控功能会标记异常的汇款模式：首次存入的大额款项与账户既定的风险等级和交易历史不符。行为生物识别技术能够检测出与外部指令相符的交互模式，因为接受电话指导的用户与独立操作的用户行为存在显著差异。授权验证功能可以在交易结算前确认用户所声明的意图。
入境受制裁来源
无论客户是否知晓资金来源，客户都会收到来自与制裁、有组织犯罪或勒索软件相关的账户或实体的资金。舒夫提的 AML Screening 在资金结算前，平台会对每一笔入账转账进行实时核查，对照制裁名单、负面媒体数据库和已知的非法来源信息。该核查在转账发生时立即进行，而非批量处理，因此平台可以选择在资金到账前暂停或拒绝转账。所有核查结果均以加密方式记录，作为防篡改审计追踪的一部分。
登录
凭证填充
攻击者利用泄露的数十亿个用户名和密码组合攻击登录端点，其依据是消费者平台间密码的高重复使用率。Shufti 的生物特征人脸认证要求将注册 KYC 人脸与实时生物特征进行匹配。仅凭被盗凭证无法验证会话，因为没有匹配的实时人脸，凭证无法产生任何有效信息。设备指纹识别功能可以标记来自与凭证填充攻击相关的基础设施的登录尝试。多因素身份验证 (MFA) 增加了一个有时效性的 TOTP 代码层，攻击者必须物理访问账户持有人的身份验证器应用程序才能生成该代码。
SIM卡交换/双因素认证绕过
攻击者通过社交工程手段诱使移动运营商重定向受害者的手机号码，然后利用该号码拦截基于短信的双因素认证 (2FA) 验证码，从而接管账户。Shufti 的多因素认证 (MFA) 使用 TOTP 身份验证器应用程序，这些应用程序可以生成独立于手机网络的限时验证码。SIM 卡交换无法拦截 TOTP 验证码，因为它们根本不会通过手机网络传输。生物识别人脸认证要求对任何高风险的登录后操作进行实时自拍照与 KYC 记录的匹配，从而增加了一层生物识别保护，即使手机号码被盗也无法绕过。即使攻击者完全控制了受害者的手机号码，账户仍然受到保护。
会话劫持
攻击者通过恶意软件或钓鱼工具包窃取会话令牌，即可在无需重新登录的情况下操作已认证的帐户。Shufti 的行为生物识别技术会在整个认证会话期间持续监控交互模式，而不仅仅是在登录时。当不同的人接管设备时，导航节奏、现场交互模式和设备操作都会发生显著变化。设备指纹识别技术会在会话从新设备或网络继续而未重新认证时发出警报。任何检测到的偏差都会立即触发更高级别的验证要求，会话才能继续。
网络钓鱼/中间人攻击
虚假网站实时代理真实平台，在看似合法的登录页面上捕获用户输入的凭据、一次性密码 (OTP) 和会话令牌。Shufti 的生物识别人脸认证与真实的 SDK 流程绑定。伪造网站无法复制 Shufti SDK 在认证过程中执行的加密握手。Fast ID 使用用户注册的生物识别信息而非可重复使用的密码来验证返回用户的身份，因此代理网站无法捕获任何静态凭据。钓鱼网站无法获取任何可用信息。
外交部疲劳/轰炸
攻击者会向受害者发送大量重复的 MFA 推送通知请求，直到受害者感到疲惫或困惑而接受其中一条，从而将账户访问权限授予攻击者。Shufti 的 MFA 使用攻击者无法生成的 TOTP 代码。由于 TOTP 流程不会发送推送通知，因此推送通知轰炸在 TOTP 流程中不可能发生。行为生物识别技术能够检测异常的批准事件：如果用户在未进行任何交互的情况下接受了提示，系统会立即标记该事件。账户将被冻结，等待进一步验证后才能继续会话。
远程访问木马/诈骗进行中
犯罪分子远程控制受害者的设备，或通过电话实时指示受害者，使其在账户处于激活和认证状态时授权他们认为合法的交易。Shufti 的行为生物识别技术能够检测用户独立行动和响应外部指令之间的节奏变化。时间、顺序和犹豫模式与账户的既定基线存在显著差异。在任何高价值操作完成之前，同意验证功能都会确认用户的真实意图。被标记为可能受到胁迫的会话将被保留以进行审查，之后交易才会完成。
付款
授权推送支付欺诈
客户可能因身份冒用诈骗、虚假投资机会或欺诈性紧急情况而授权向犯罪分子控制的账户进行大额转账。Shufti 的交易监控功能会标记异常的出账模式：首次收款人、偏离账户既定基线的转账金额，以及与客户风险等级不符的高额单笔交易。行为生物识别技术可检测受外部指示的用户交互特征。受指导转账的时间和审核模式与独立转账存在显著差异。授权验证功能会在授权瞬间创建加密链接的意图记录，为监管报告提供证据基础。
发票重定向/供应商欺诈
一张真实的发票被拦截后，被重新开具，并附上诈骗者的银行账户信息，导致一笔合法的B2B付款被错误地转入错误的账户，而付款人却毫不知情。Shufti的授权验证功能会在转账授权前，将收款人账户与已验证的收款人身份进行核对。交易监控功能会标记出在高额转账前发生的收款人新增或变更，这种模式与发票重定向的作案手法相符。如果预期收款人与实际收款人不匹配，系统会在资金转移前冻结该笔款项。
浪漫/投资骗局出口铁路
金融科技账户或银行转账被用作长篇社会工程诈骗的出口通道。经过数周或数月的建立关系，客户误以为自己是在投资一个合法的机会。Shufti 的交易监控功能会标记出异常的出账模式：转账金额迅速增加、首次出现高额收款人，以及转账时间与账户历史记录不符。欺诈中心会显示行为信号，包括转账频率增加、新增收款人以及大额单笔交易，这些信号共同表明该账户已进入诈骗促成的转账模式。在转账完成之前，系统会要求进行更严格的审核。
洗钱：分层
非法资金通过快速的多跳转账，在账户之间和平台之间转移，以掩盖其来源，最终在另一端被提取。Shufti 的交易监控功能可以绘制完整的交易链，并标记循环流动和快速多跳序列，从而将这种分层式交易与正常的支付行为区分开来。 AML Screening 实时检查每个出境目的地是否与制裁名单和负面媒体数据库相符，而非隔夜批量检查。欺诈中心汇总平台内的各种信号，旨在揭露协同运作的多层网络，而不仅仅是其中的单个账户。
发送至受制裁实体
客户试图将资金转入被美国财政部外国资产控制办公室 (OFAC) 列入名单或受到全球制裁的账户，无论是有意为之，还是因为收款人信息被篡改（例如通过发票欺诈或网络钓鱼）。舒夫提 AML Screening 在转账执行前，系统会将每一笔汇出款项与实时制裁数据库进行比对，涵盖美国财政部外国资产控制办公室（OFAC）特别指定国民名单（SDN）、欧盟综合名单、英国财政部金融制裁名单、联合国安理会名单以及其他215个以上的制裁机制。资金转移前，系统会立即阻止转账，并将筛查结果记录在防篡改的审计追踪系统中。合规团队会立即收到包含匹配制裁记录的警报。
结构化出境转移
高价值的对外支付会被刻意拆分成多个低于报告阈值的次级交易，并分散在多个会话中进行，以避免触发任何单一的监控规则。Shufti 的交易监控功能会汇总可配置时间窗口内的对外交易历史记录，从而在账户层面揭示这种次级拆分模式，而单个交易监控功能则无法检测到。当汇总的对外支付模式与结构类型匹配时，欺诈中心会标记该账户。在序列中的下一笔交易清算之前，系统会应用人工审核冻结。
申请学分
申请/贷款欺诈
诈骗者提交虚假的收入、就业状况或地址信息，以申请他们实际上无法获得的信贷或先买后付产品。Shufti 的电子身份验证系统 (eIDV) 会将每个申报字段与权威的政府和机构记录进行交叉比对。如果地址造假或收入虚高，则无法找到匹配的电子记录，申请立即被拒。文档验证功能会对支持性文件进行取证检查，检测字体不一致、元数据异常和模板不匹配等可靠的造假指标。申请会在提交阶段被拒，而不是在人工审核阶段。
贷款叠加
同一申请人同时向多家贷款机构提交信贷申请，在任何信用报告机构更新之前，累积的信贷额度远远超过任何一家贷款机构的审批额度。Shufti 的电子身份验证 (eIDV) 和设备指纹识别技术能够实时关联平台上的身份和设备信号，在任何单个申请完成审批流程之前就发现多申请模式。欺诈中心会标记出快速的多申请行为，特别是同一身份或设备在短时间内出现在多个信贷流程中的情况。在审查该模式期间，所有活跃的申请都会被冻结。
破产欺诈
客户花费数周或数月时间构建看似合法的账户，然后同时提取所有产品的可用额度，并在还款到期前消失。Shufti 的交易监控功能持续监控账户行为。如果多个产品的额度突然被提取至限额，随后又迅速进行提款或转账，系统会在交易周期结束前立即发出警报。持续的 KYC 功能追踪客户申报的账户信息与其实际行为之间的偏差，从而发现单次评估可能遗漏的不一致之处。如果相同的设备或身份信号出现在之前的盗刷事件中，欺诈中心会将该账户与之前的盗刷模式关联起来。
信用合成身份
一个由真实国民保险号码和伪造个人信息构建的混合身份申请信贷产品，意图在提取信息后违约。Shufti 的 eIDV 系统能够检测出真实身份标识与伪造的周边数据之间的不匹配。该姓名在电子记录中找不到任何踪迹，地址在权威记录中也无法解析。文件验证功能会确认提交的身份证明文件与申报的身份在所有字段上都匹配，而不仅仅是文件编号。合成身份在提交给信贷决策引擎之前，无法通过这两项验证。
适用性虚假陈述
客户在申请信贷产品或投资级别时，夸大了收入、财务经验或风险承受能力，而实际上他们并不符合这些条件。Shufti 的文件验证功能会对相关的财务文件进行严格的审查。伪造的工资单和银行对账单在字体、元数据和模板完整性方面都难以被识别。eIDV 会将申报的数据与信用机构的记录进行交叉比对（如有），从而发现申报信息与已知身份信息之间的差异。如果申报的收入数据没有对应的独立记录，系统会在申请继续进行之前触发审查。
速度/异常攻击
一个协同作案团伙会快速提交一系列类似的信贷申请，通常使用略有不同的身份信息，以此来冲击人工审核队列，并施加审批压力。Shufti 的设备指纹识别技术能够通过平台上共享的硬件和基础设施实时关联申请。行为生物识别技术可以检测出脚本化的申请模式，通过相同的字段导航和时间间隔，将自动化攻击与真实的个人申请区分开来。欺诈中心将攻击的协同性质以单一案例视图的形式呈现出来，而不是将其显示为一系列互不关联的独立标记。
帐户维护
密码重置 账户接管
攻击者通过 SIM 卡交换、网络钓鱼或撞库攻击等手段窃取受害者的电子邮件地址或手机号码，并利用密码重置流程锁定合法用户，从而控制账户。Shufti 的生物识别人脸认证要求在完成任何密码重置之前，必须将用户提供的实时自拍照与 KYC 记录进行匹配。仅凭电子邮件或手机号码被盗用无法解锁此步骤。使用 TOTP 的多因素身份验证 (MFA) 可确保重置流程不依赖于可被攻击者利用的手机号码。设备指纹识别功能会在重置请求来自未知设备或网络时发出警报，从而触发额外的账户锁定。
已添加欺诈性支付目的地
攻击者一旦获得账户的部分访问权限，便会在合法用户察觉之前立即将自己的银行账户添加为提款目的地。Shufti 的生物识别人脸认证功能要求在保存任何新的提款目的地之前进行实时生物识别匹配。攻击者无法在没有合法账户持有人注册人脸的情况下完成此步骤。设备指纹识别功能会在新添加的提款目的地来自未知设备或网络时发出警报。这种逐步验证机制确保即使部分凭证泄露，无论攻击者掌握多少其他信息，资金都不会被转移。
更改身份信息以逃避安检
收到反洗钱警告的客户试图更改其注册姓名或出生日期，意图向监控系统伪装成新的、未经审查的身份。舒夫提 AML Screening 当核心身份字段发生更改时，系统会自动重新审核账户。新值会与任何新客户的信息在同一次审核中，对照观察名单和负面媒体进行比对。文件验证会确认所有新的身份文件与原始注册的生物识别信息匹配，而不仅仅是更新后的字段。即使更改后的姓名通过了姓名核查，面部识别仍然无法与原始 KYC 记录进行匹配。
持续会话接管
窃取的会话令牌（在原始身份验证之后提取）允许攻击者在不触发新的登录事件的情况下，修改帐户设置并在整个会话期间提取数据。Shufti 的行为生物识别技术监控整个身份验证会话期间的交互模式，而不仅仅是登录时。当不同的人接管设备时，导航节奏、现场交互模式和设备操作都会发生显著变化。设备指纹识别技术会在会话活动从不同的硬件或新网络继续进行时发出警报。任何检测到的偏差都会触发立即重新身份验证的要求，然后会话才能继续。
支持社会工程
攻击者利用受害者的个人身份信息（PII），包括姓名、地址、母亲的婚前姓氏和出生日期，致电客服渠道，并以此诱使客服人员更改账户详情或提高限额。Shufti 的生物识别人脸认证要求在进行任何账户级更改之前，必须进行实时生物特征匹配。任何 PII 信息都无法替代真实账户持有人注册的人脸信息。快速身份验证功能允许真实账户持有人在直接发起请求时快速重新验证身份。即使通过社交工程手段成功发起对话，如果没有生物特征确认步骤，也无法实现任何账户更改。
钓鱼攻击，诱骗更改设置
虚假的客服沟通，无论是通过短信、电子邮件还是应用内消息，都会将用户引导至一个伪造的页面，该页面旨在窃取凭据，然后在后台更改帐户。Shufti 的生物识别人脸认证与真正的 SDK 流程绑定。伪造的网站无法复制触发已验证设置更改所需的加密握手。行为生物识别技术会标记任何与帐户持有人正常交互模式不符的设置更改会话。如果没有 SDK 强制执行的生物识别层，钓鱼页面捕获的凭据将毫无用处。
升级
伪造文件以获得更高等级
客户提交伪造的护照或虚假的水电费账单，试图在未满足相应级别真实身份验证要求的情况下解锁更高的交易限额。Shufti 的文档验证功能在级别升级时会执行与初始注册时相同的取证检查。无论何时提交文档，模板完整性、字体一致性、MRZ 验证和 AI 生成的伪造品检测等功能均适用。NFC 验证会读取提交的身份证件中的加密芯片。购买的假证件没有可用的芯片，因此会立即无法通过芯片读取。此外，证件上的面部信息必须与初始注册时录入的生物特征信息相符；更换证件不能替代新的身份信息。
地址欺诈导致等级升级
伪造的公用事业账单被用作地址证明，目的是迁入风险较低的司法管辖区，从而获得更高的限额或更少的持续验证要求。Shufti 的地址验证功能会将申报的地址与独立的数据源进行交叉比对。无论伪造的账单图像看起来多么逼真，它在相关机构或政府记录中都找不到匹配的电子信息。文档验证功能会将公用事业账单的模板与已知的发行机构模板进行比对，并标记出字体、徽标和布局方面的不一致之处，这些不一致之处表明账单是伪造的。即使通过了视觉检查，文档仍然无法通过独立的交叉比对。
支持利用社会工程手段提高限额
攻击者利用从数据泄露或社交工程中获取的个人身份信息 (PII)，在客服互动中冒充账户持有人，试图在未经正式重新验证的情况下申请提高额度。Shufti 的生物识别人脸认证要求在进行任何额度变更之前，必须提供与 KYC 记录匹配的实时自拍照。客服渠道无法绕过此要求。快速身份验证允许真正的账户持有人在 30 秒内自行完成此步骤（如果他们主动发起请求）。任何数量的 PII 信息都无法绕过生物识别要求。
深度伪造技术在重新验证中
攻击者生成一段合成人脸视频，试图在升级账户限额所需的生物识别步骤中冒充真正的账户持有人。Shufti 的人脸验证功能已达到 iBETA 3 级，这是目前最高级别的独立 PAD 认证，APCER 和 BPCER 均为 0%，它同时应用了 3D 深度映射、微动作分析和注入检测技术。在进行任何面部比对之前，系统会在硬件层拒绝合成视频、3D 面具和摄像头注入的媒体。深度伪造视频无法在单次会话中通过所有三层检测。
信用等级适用性虚假陈述
客户虚报收入或财务状况，以提升信用等级或获得他们并不符合条件的低利率产品。Shufti 的文件验证取证检查通过字体、元数据和模板完整性分析，识别出人眼难以发现的伪造工资单和银行对账单。eIDV 会将申报的收入和就业数据与可用的独立记录进行交叉比对。如果申报的财务状况没有任何电子记录佐证，则在批准等级变更之前，系统会启动审查。
低风险层级的管辖权欺诈
用户通过 VPN 或伪造地址文件来篡改其位置，从而进入验证要求较低或交易限额较高的司法管辖区。Shufti 的地址验证功能独立于提交的文件，将申报的地址与相关机构和政府数据进行交叉比对。设备指纹识别功能会标记 VPN 使用情况以及与申报司法管辖区不符的 IP 地址与位置信息。eIDV 功能会同时验证身份的已知数据足迹是否与所声称的位置在所有三个数据源中一致。
定期审查
制裁名单重新列入未被发现
一位通过所有入驻审核的客户随后被列入全球制裁名单，但由于平台的年度审核周期，这一变化需要数周甚至数月才能被发现。Shufti 的持续运营 AML Screening 系统会持续对照实时制裁数据库进行重新筛查。一旦出现新的制裁名单，系统会在同一会话中立即发出警报，而非等到下一次年度审核。当反洗钱状态发生变化时，持续KYC系统会自动更新客户的风险概况，合规团队会立即收到警报。在警报审核完成之前，不会处理任何后续交易。
风险概况漂移
客户的交易行为在数月内逐渐转向高风险模式，包括转账量增加、新增高风险收款人以及未申报的司法管辖区变更，但风险评估并未反映出这些变化。Shufti 的永久 KYC 系统持续监控行为信号，并动态更新客户的风险评分，而非像传统 KYC 那样在固定的年度审核日期进行更新。交易监控功能可追踪支付行为随时间的变化，并在风险模式达到本应在数月前触发强化尽职调查的阈值之前将其识别出来。当风险评分超过设定的阈值时，系统会自动启动强化尽职调查 (EDD) 要求。
规避定期审查
如果客户了解定期审核的安排，他们会在审核前几周暂时抑制可疑活动，然后在审核结果显示正常后恢复活动。Shufti 的永久 KYC 系统采用事件驱动而非日历驱动的方式。它会持续评估完整的账户历史记录，而不仅仅是审核前最近的记录。抑制活动四周的客户不会重置其风险评分；抑制期本身会成为完整行为记录中的一个信号。审核时，系统会提供完整的交易和风险历史记录，而不仅仅是最近的记录。
重新验证时的身份互换
在重新进行 KYC 验证时，客户提交了不同的身份证明文件，声称原证件遗失或过期，意图用他人的身份信息替换自己登记的身份。Shufti 的生物特征人脸认证要求当前自拍照必须与首次注册时录入的生物特征信息匹配，无论同时提交了哪些新文件。iBETA 3 级人脸验证确保在重新验证阶段，生物特征匹配不会被深度伪造技术所欺骗。如果新提交的文件无法通过与初始录入生物特征的人脸匹配，则会立即触发升级流程，而非重新注册。
揭开老旧合成身份的面纱
通过数月的小额存款和不断积累的交易记录，精心构建的合成身份能够通过初始和后续的定期审核，并在攻击者认为安全时尝试窃取大额资金。Shufti 的电子身份验证 (eIDV) 会在每次审核时持续将该身份与权威数据源进行交叉比对。持续的 KYC 流程会追踪客户交易行为与其申报信息之间的偏差。当客户注册时看似可信的身份，会随着虚假数据足迹的发展而变得不真实，无法像真实个人的财务生活那样自然演变。一旦发生窃取尝试，账户就会立即被冻结。
再次出现的负面媒体
一位客户在开户时信用记录良好，但之后在开户后发布的新闻中却被牵扯进金融犯罪，包括执法行动、欺诈指控或调查，而这些在开户时并不存在。舒夫提的持续报道 AML Screening 持续监控超过 50,000 万个负面媒体来源，涵盖 80 多种语言，而非仅在新用户上线或定期审核时进行监控。一旦发现新的负面媒体报道，系统会立即发出警报，无需等到下一个审核周期。该警报会关联到客户现有的风险记录，并连同严重程度分类和来源信息一起提交给合规团队。
关闭账户
SAR 前关闭
一名正在接受合规调查的客户同时要求关闭账户和删除数据，试图在提交可疑活动报告 (SAR) 之前销毁交易和身份证据。Shufti 的交易监控和持续监控 AML Screening 在处理任何账户关闭请求之前，请先进行最终历史记录审查。待处理标记会阻止账户进入关闭状态。根据《第六项反洗钱指令》(AMLD6) 和《犯罪收益法》，监管保留义务优先于删除请求；关闭请求不会删除必须依法保留的记录。 AML Screening 在批准结案之前，确认是否存在未结案件的标记。
关闭前平衡提取
客户在收到合规通知后立即提取了账户全部余额，然后提交销户申请，以避免可能随之而来的资产冻结。Shufti 的交易监控系统会标记出在收到合规通知后发生的全额提款事件。这种提款模式是公认的销户前提款类型。生物识别人脸认证确认提款是由真正的账户持有人授权，而非由触发合规警报的攻击者发起。在审核提款期间，销户申请将被自动冻结。
使用新身份重新申请
被注销的客户使用不同的证件（例如兄弟姐妹的身份证、伪造的护照或新获得的身份）申请新账户，前提是平台无法将新申请与已关闭的账户关联起来。Shufti 的 1:N 人脸去重功能会将每个新申请人的自拍照与所有之前的账户（包括已停用和已关闭的账户）进行比对。无论提交何种证件，同一张脸都无法创建新账户。 AML Screening 系统会将新申请与已关闭账户的风险记录进行交叉比对。该链接会在新申请进入身份验证步骤之前显示。
GDPR 数据擦除以销毁证据
客户在关闭账户时援引 GDPR 第 17 条赋予的删除权，要求删除可能用于支持反欺诈或反洗钱调查的交易记录和身份数据。Shufti 的系统执行第 17 条第 3 款 (b) 项的豁免规定。根据反洗钱、反欺诈或监管保留义务，在法定保留期限内，客户不得要求删除相关记录。系统会记录该请求，并提供相应的法律依据，从而生成删除尝试的审计记录。在整个保留期限内，执法部门或监管机构仍可访问已保留的记录。
结算时的退款级联
客户在账户关闭时对所有刷卡交易提出异议，声称所有交易均未经授权，而实际上他们已经通过货币转换或转账转移了资金。Shufti 的授权验证功能会在每笔刷卡交易发生时生成加密记录，将已验证的账户持有人与每笔授权付款关联起来。当客户发起拒付流程时，平台会为每笔争议交易生成带有时间戳且可验证的授权记录。在任何拒付到达发卡机构之前，每项争议的理由都会被记录在案。
协调账户关闭环
在诈骗活动完成后，多个关联账户会同时关闭，以减少可调查的痕迹，并增加重建诈骗网络或追回赃款的难度。Shufti 的欺诈中心会监控平台上的协同账户活动，并标记来自共享设备信号、身份关联或交易流程的账户的同步关闭请求。1:N 面部去重功能会将使用同一张脸在不同注册身份下的账户关联起来。 AML Screening 在任何记录被标记为关闭之前，对圈内所有账户进行最终检查。
合规官
每个用户一个审计跟踪记录，每次检查一个证据导出记录。风险分级逻辑、符合DORA标准的供应商文档以及符合AMLD6要求的CDD记录均可在不切换门户的情况下访问。
产品主管
按风险等级和地理位置配置验证深度。本地化的通过率数据和无需编写代码的工作流构建器，可帮助您在新市场推出产品前优化转化率。
工程主管
一个REST API即可覆盖完整的用户生命周期。提供Web和移动端SDK。几分钟即可获得沙盒访问权限。SOC 2 Type II和DORA信息登记文档可按需提供。
欺诈分析师
统一的欺诈中心将设备、行为、身份和交易数据中的所有信号集中在一个案例视图中。在案例开启之前，即可了解触发标记的原因。
不要只听我们的一面之词，听听我们客户的评价吧。
客户对我们的信心
数字身份的未来取决于信任、互操作性和监管一致性，因此我们与 Shufti 的合作巩固了 DevCode Identity 致力于为全球客户提供当今最安全、一流、合规的身份验证解决方案的承诺。
将我们的转化驱动型合规协调平台与 Shufti 的全球 KYC 和 IDV 功能相结合，不仅能够帮助我们的客户应对复杂的监管要求，还能以最高的转化率保持无缝的客户注册体验。
我们很荣幸能与舒夫提继续合作，共同拓展新的业务领域。
Shufti 的验证技术不仅加强了我们的合规框架，而且还确保我们的玩家享受流畅、安全的注册体验。
我们致力于为客户及其交易员提供最好的工具来完成他们的工作，我们很高兴能够与 Shufti 合作。
他们是行业领先的公司，我们期待通过我们的客户关系管理系统向我们的客户提供他们的解决方案。
我们与 Shufti 的合作关系源于对现有供应商的不满，所以我们首先与 Shufti 展开了讨论。
从开始与销售人员沟通到演示顺利进行，响应速度非常快。
您需要了解的所有信息都在这里
常見問題解答
获得英国授权的金融科技公司须遵守英国金融行为监管局 (FCA) 的消费者责任规定（2023 年 7 月生效）、支付服务指令 2 (PSD2) 的强客户认证要求以及第六次反洗钱指令/反洗钱监管条例 (AMLD6/AMLR) 框架（一般转换截止日期为 2027 年 7 月 10 日）。自 2025 年 1 月 17 日起生效的 DORA 为技术栈中的每个信息通信技术 (ICT) 供应商增加了弹性和事件报告义务。Shufti 维护着覆盖 240 多个国家/地区的合规规则集，并积极进行处理。
风险分级准入流程支持在验证步骤中配置漏洞指标标志，从而生成符合 FCA/ICO 联合声明的每位客户的消费者责任记录。该记录可导出以供监管机构审查，无需额外调用供应商数据。
ISO/IEC 30107-3 PAD 3级是生物特征活体检测领域最高级别的独立认证。iBETA 按照该标准最严苛的级别，对 Shufti 的系统进行了测试，抵御了呈现攻击、视频重放、深度伪造注入和 3D 面具等攻击。Shufti 是首家在 iOS 和 Android 平台上均达到 0% APCER 和 0% BPCER 的欧洲 3 级认证供应商。
DORA要求受监管实体记录所有关键ICT供应商，并在合同条款中涵盖弹性、事件通知、审计权和退出策略。Shufti提供包含SOC 2 II型、ISO 27001、业务连续性计划/灾难恢复文档、事件通知服务级别协议（SLA）和子处理商列表的信息登记包，可按需提供。
沙盒访问即时可用。单一的 REST API 涵盖文档验证、生物特征活体检测、电子身份验证 (eIDV) 等功能。 AML screening以及将交易监控集成到一个系统中。平均生产部署周期为 2 至 8 周，具体取决于部署范围。
是的。Shufti 代表客户处理验证数据，并不拥有数据的所有权。符合《欧盟基本权利宪章》第 28 条规定的数据处理协议、子处理者名单、欧盟和英国的数据驻留选项以及删除证书功能均在合同签订阶段提供。
将 Shufti 与您当前的金融科技合规体系进行对比评估
FCA消费者责任、DORA和AMLD6要求采用一种验证架构，将注册身份验证与持续交易监控连接起来，并生成单一的审计跟踪。单点解决方案无法从共享记录中实现这一点。请评估您当前的解决方案是否满足要求。