Anti-spoofing biometrico nel KYC: liveness detection e certificazione forense della sessione
L'onboarding bancario digitale è diventato nel 2026 il vettore di frode più attivo del sistema finanziario europeo. Le banche e le fintech che hanno spostato la videoidentificazione su canali remoti per ridurre i tempi di apertura conto si trovano oggi davanti a un avversario diverso: video deepfake generati in tempo reale, foto sintetiche indistinguibili da scatti autentici e voci clonate da pochi secondi di campione audio. Il protocollo di anti-spoofing biometrico nel KYC, nato per fermare maschere di silicone e foto stampate, è sotto pressione da un livello di sofisticazione che nessuno aveva previsto due anni fa.
La risposta tecnica è la liveness detection: una serie di controlli che verificano se davanti alla telecamera c'è una persona viva o un artefatto. Funziona, fino a un certo punto. I framework dei fornitori più diffusi (FaceTec, iProov, Onfido Studio) integrano controlli attivi e passivi sempre più raffinati, ma il rapporto FIDO Alliance del 2025 ha mostrato che alcuni attacchi deepfake con generative adversarial networks superano i controlli passivi con un tasso di successo che in laboratorio arriva al 30% sui sistemi non aggiornati. La domanda che ogni responsabile della conformità in una banca si pone non è quindi se il liveness funziona, ma cosa succede quando viene aggirato e l'istituto deve dimostrare di aver eseguito tutti i controlli previsti dalla normativa.
Questo approfondimento fa parte della guida: Frode identità sintetica: come difendere l'onboarding dagli attacchi AI
La risposta è la certificazione forense della sessione di videoidentificazione. Il liveness rileva, la certificazione prova. Sono due livelli complementari: il primo riduce la probabilità di una frode, il secondo riduce l'impatto legale quando la frode passa e arriva l'ispezione di vigilanza o la contestazione del cliente.
Liveness detection nel 2026: cosa rileva, cosa non rileva
I protocolli liveness si dividono in due famiglie. La liveness attiva chiede all'utente di compiere un'azione: girare la testa, sorridere, ripetere una frase casuale, seguire un punto sullo schermo. La liveness passiva analizza il flusso video senza chiedere collaborazione: texture della pelle, micro-movimenti involontari, riflessi degli occhi, segnali di rendering tipici dei contenuti generati da intelligenza artificiale, coerenza tra audio e movimento delle labbra.
Lo standard di riferimento è la norma ISO/IEC 30107 sulla Presentation Attack Detection, articolata in tre parti che definiscono il quadro concettuale, i metodi di test e i criteri di valutazione. Le certificazioni iBeta Level 1 e Level 2 sono diventate il riferimento de facto per banche e PSP: il Level 2 copre attacchi più sofisticati, comprese maschere 3D e video replay ad alta risoluzione, ma non è ancora pienamente attrezzato per i deepfake generativi di ultima generazione.
Il limite strutturale è asimmetrico. Chi attacca ha tempo, risorse di calcolo e accesso ai modelli generativi più recenti. Chi difende deve aggiornare i propri rilevatori a ogni nuova famiglia di attacchi, e ogni aggiornamento crea un periodo di esposizione. Lo studio dell'Università di Edimburgo del 2025 sulle impronte digitali dei modelli generativi ha mostrato che le firme statistiche usate per riconoscere le immagini sintetiche resistono pochi mesi prima che gli stessi attaccanti le rimuovano con tecniche di laundering. Vale per le immagini, vale ancora di più per il video.
In questo contesto, fare affidamento sulla sola liveness detection significa accettare un rischio residuo che non è quantificabile. Per un istituto vigilato, non quantificabile vuol dire non opponibile.
Provvedimento UIF e EBA: cosa devono dimostrare le banche
Il quadro normativo europeo e italiano si è mosso in fretta. Le EBA Guidelines on remote customer onboarding del 2022, applicabili da ottobre 2023, hanno fissato i requisiti minimi per la videoidentificazione: qualità del flusso video, controlli di liveness, verifica dei documenti, registrazione completa della sessione, conservazione dei dati. La Banca d'Italia ha recepito i principi nelle proprie disposizioni e nei controlli periodici, integrando le verifiche dell'UIF in materia antiriciclaggio.
Il punto critico, per chi gestisce la conformità, è la dimostrabilità ex post. Le linee guida non chiedono solo di fare i controlli: chiedono di poterli provare. In caso di frode riuscita, l'istituto deve mostrare che ha applicato il proprio protocollo. In caso di ispezione, deve esibire prove della sessione che resistano a un esame tecnico. Una semplice registrazione video, un file di log o un esito booleano "liveness pass/fail" salvato in tabella non offrono garanzie sufficienti: si possono modificare a posteriori, si possono perdere, si possono contestare.
Il Provvedimento UIF del 12 maggio 2023 sui sospetti di operazioni di riciclaggio e finanziamento del terrorismo richiede tracciamenti puntuali delle attività di adeguata verifica. L'articolo 18 del D.Lgs. 231/2007 e successive modifiche prevede che le evidenze raccolte siano conservate in modo da garantirne integrità nel tempo. Tradotto in linguaggio operativo: ogni sessione di onboarding deve produrre un fascicolo che includa l'identità verificata, il flusso video integrale, gli esiti dei controlli biometrici, le interazioni con il sistema, in una forma che resista a un contraddittorio.
Per i quattro pilastri di un fascicolo opponibile, vale questa lettura sintetica:
| Pilastro | Cosa serve dimostrare | Cosa non basta |
|---|---|---|
| Integrità della sessione | Il video acquisito è quello originale, non manipolato dopo la sessione | File MP4 caricato sul server interno |
| Esecuzione dei controlli | I controlli liveness e i prompt anti-spoofing sono stati eseguiti e con quale esito | Riga di log "PASS" in tabella |
| Tempo certificato | La sessione si è svolta in una finestra temporale opponibile a terzi | Timestamp di sistema dell'applicativo |
| Catena di custodia | L'evidenza non è stata modificata tra la sessione e l'esibizione | Copia archiviata sui sistemi interni |
Senza questi quattro pilastri il fascicolo è incompleto. Con questi quattro pilastri, l'istituto sposta il rischio: la frode resta possibile, ma la responsabilità del controllo diligente è documentata. Come approfondito nella guida sulla difesa dell'onboarding bancario dagli attacchi AI, la dimostrabilità è oggi il vero terreno di gioco della conformità antifrode.
Certificazione forense della sessione di onboarding con TrueScreen
TrueScreen integra la certificazione forense della sessione di videoidentificazione bancaria direttamente nel flusso esistente, senza sostituire il fornitore di liveness detection già adottato. La logica è semplice e complementare: il sistema biometrico fa il proprio lavoro, TrueScreen produce l'evidenza opponibile di tutto ciò che è accaduto durante la sessione.
L'acquisizione avviene alla fonte. Ogni frame video, ogni segnale audio, ogni interazione dell'utente con i prompt anti-spoofing viene catturato e fissato con hash SHA-256 nel momento stesso della cattura, prima che il dato lasci il dispositivo o il browser. A questo blocco vengono applicati il sigillo elettronico erogato da un QTSP qualificato terzo integrato nella piattaforma e una marca temporale qualificata, che certifica con valore legale opponibile in tutta l'Unione Europea quando si è svolta la sessione. Il risultato è un verbale forense della sessione di videoidentificazione: un documento che riassume identità verificata, controlli eseguiti, esiti e che porta i sigilli necessari a renderlo immodificabile dopo la generazione.
Per la banca, il valore è triplice. Primo, la prova di corretta esecuzione del processo KYC e dei controlli liveness è già pronta nel momento in cui la sessione si chiude: non va ricostruita a posteriori. Secondo, l'archivio delle sessioni certificate funziona come tracciato di verifica per le ispezioni di Banca d'Italia e per le richieste dell'UIF, riducendo i tempi e i rischi di rilievo. Terzo, in caso di contestazione da parte del cliente o di scoperta di una frode, l'istituto dispone di un fascicolo che dimostra la diligenza applicata, spostando il dibattito dal "non si può provare cosa è successo" al "ecco esattamente cosa è successo, certificato".
L'integrazione è API-first. Il servizio si inserisce nel flusso senza modificare l'interfaccia utente e senza aggiungere passi al cliente finale, che continua a vivere la stessa esperienza di onboarding. È una scelta deliberata: la certificazione forense non deve degradare il tasso di conversione, deve solo rendere ogni sessione difendibile.
