Nel panorama attuale delle minacce cyber, in cui l’identità digitale è diventata di fatto la nuova superficie di attacco, è ormai chiaro che non è più possibile lasciare le credenziali di accesso in balìa di password troppo semplici o addirittura riciclate. Spesso, tuttavia, la soluzione per aumentare la security introduce un livello di complessità eccessivo per buona parte dell’utenza. Una alternativa interessante ai due estremi presentati è Onfido, scaleup con oltre 100 milioni di revenue annuali, più di 600 dipendenti in tutto il mondo e finanziamenti che superano i 200 milioni di dollari. Numeri che, da soli, testimoniano quanto oggi la protezione delle identità sia un tema caldo.

Security Open Lab ha discusso di questa soluzione con Andrea Bondi, SVP Digital Identity Solutions – Italy di Onfido, che ha ripercorso velocemente le tappe di crescita dell’azienda. Onfido nasce nel 2012, quando tre studenti di Oxford, complice la loro origine straniera, incontrarono difficoltà ad aprire un conto corrente online e dovettero recarsi fisicamente in filiale. Il problema era la verifica dell’identità con documenti stranieri. Da qui nacque l’idea di creare una tecnologia capace di verificare l’identità di una persona con un documento di identità proveniente da oltre 200 Paesi del mondo.

Dopo 12 anni, Onfido è uno dei principali provider di verifica dell’identità da remoto a livello globale. I finanziamenti sono stati quasi interamente destinati alla Ricerca e Sviluppo, che ha messo a punto un prodotto pratico, veloce e sicuro, in continuo aggiornamento e miglioramento. I principali clienti di Onfido sono i servizi finanziari, fra i quali Bondi cita a titolo di esempio Western Union, Revolut, Hype, Banca Profilo: tutte realtà che hanno la necessità di verificare l’effettiva identità di chi chiede via web o tramite app di aprire un prodotto finanziario che può essere un conto corrente, un finanziamento, un mutuo. Si tratta di una necessità che a seguito della pandemia è ormai ampiamente condivisa anche dalle banche di tipo tradizionale, che stanno investendo per costringere sempre meno clienti a recarsi in filiale.

Andrea Bondi, SVP Digital Identity Solutions di Onfido

Altre categorie attive di clienti hanno a che vedere con servizi di telemedicina, noleggio auto e in generale tutti i vertical che necessitano di appurare l’identità di chi fruisce di un servizio, in modo da essere certi che la persona dall’altra parte dell’interfaccia sia chi dice di essere.

Che cosa offre Onfido

Onfido risponde alle esigenze sopra indicate con la verifica di una Real Identity, ottenuta in maniera semplice e veloce tramite un selfie, un video selfie o la validazione di un documento di identità mediante la cosiddetta step-up authentication. Così facendo, assicura Bondi, “il rischio cyber è molto ridotto perché la verifica si basa sul matching della persona reale condotto con il supporto di sofisticati modelli di Intelligenza Artificiale e Machine Learning. Questa è la direzione che stanno prendendo i sistemi antifrode, anche in ottemperanza delle normative vigenti”.

Bondi ricorda infatti che nell’ambito financial esistono precisi requisiti di legge che tutti gli istituti di credito sono tenuti a rispettare. Un esempio su tutti: la Banca d'Italia, a cui fanno capo le aziende che forniscono servizi finanziari, obbliga a raccogliere la documentazione dei clienti invitando le persone a recarsi fisicamente presso le filiali, oppure usando soluzioni digitali come la Real Identity, che comporta meno perdite di tempo. Onfido ovviamente non è l’unica opzione disponibile sul mercato. Bondi sottolinea uno dei suoi tratti distintivi, la garanzia di una copertura globale: “Onfido può verificare circa 5.000 tipologie differenti di documenti rilasciati da 200 Paesi del mondo. Non solo la carta di identità, quindi, ma anche la patente di guida, il passaporto, eccetera, rilasciati in diversi periodi storici”.

Bias e deepfake

Qualcuno, pensando all’Intelligenza Artificiale, potrebbe sollevare l’obiezione sui bias. Bondi assicura che la tecnologia di Onfido è inclusiva al massimo e che i bias etnici sono stati azzerati il più possibile. Non solo: sul fronte dell'inclusività, è compresa anche “la parte di esperienza utente, perché vengono contemplate le varie disabilità temporanee o permanenti, come per esempio la cecità”.

Tutto questo è dovuto sia ai forti investimenti di Onfido sulle AI (e sugli LLM da prima che diventassero popolari per via di ChatGPT), sia al fatto che più della metà dei suoi dipendenti è impiegata nel dipartimento di Ricerca e Sviluppo. Fra le attività di sviluppo è ovviamente incluso il contrasto ai deepfake realizzati dai criminali informatici con finalità di truffe, per lo più finanziarie appunto. A tale riguardo Bondi dà una importante indicazione per comprendere la portata del problema: “i truffatori sono continuamente alla ricerca di soluzioni economiche da poter replicare su larghissima scala. Nell’ultimo anno abbiamo registrato un incremento del 3000% dell’uso dei deepfake perché il costo di produzione di un deepfake si è drasticamente ridotto. Anche in passato si potevano realizzare deepfake, ma costavano molto e richiedevano molto tempo. Oggi questa tecnologia è molto più accessibile, quindi gli attaccanti generano grandi quantità di deepfake con costi estremamente ridotti, così da attaccare più sistemi possibili”.

Fonte: Identity Fraud Report 2024

Onfido ostacola questo progresso tecnologico con soluzioni all’avanguardia. “Esistono diversi segnali per identificare un deepfake – argomenta Bondi - All'occhio umano sfuggono, ma i sistemi di intelligenza artificiale adeguatamente addestrati dal nostro Fraud Lab riescono a fare addirittura una distinzione dei singoli pixel, e quindi a individuare la maschera virtuale sovrapposta al volto fisico di una persona con una precisione estremamente elevata. Inoltre, i nostri sistemi rilevano, oltre al volto, anche lo sfondo, l'indirizzo IP, la tipologia del device con cui è stata catturata l’immagine e via discorrendo, fornendo all’AI una vasta base di dati su cui lavorare. Ai fini di addestramento dell’AI noi stessi generiamo decine di migliaia di deepfake, sia biometrici autentici che fake, che poi sottoponiamo al sistema per insegnargli a rilevare i vettori di attacco sui quali dobbiamo migliorare la nostra tecnologia”. In più sono implementate tutte le tecniche morfologiche usate dall’Interpol, come la distanza degli occhi dal naso e via discorrendo.

Detto questo, la tecnologia che lavora in background è unica, ma il livello di dettaglio dei servizi è personalizzato in funzione delle necessità del singolo cliente, perché “clienti diversi hanno diversi profili di rischio e di tolleranza, pertanto chiedono livelli di verifica più o meno approfonditi. Per esempio, ci sono clienti che accettano l’upload di una scansione di un documento di identità, altri che non la accettano perché nasconde più agevolmente un falso” conclude Bondi.

Un mercato potenzialmente enorme

Finora abbiamo parlato di verifica di documenti e di servizi finanziari. Tuttavia, sappiamo bene che all’interno delle imprese di tutti i settori, dal retail al manifacturing, passando per l’IT e le infrastrutture critiche, è sempre più vitale poter verificare che effettivamente un utente sia chi dice di essere. In quest’ottica, Onfido può essere calato anche all’interno di installazioni Zero Trust, dove appunto è la verifica dell’identità uno dei presupposti fondanti per l’accesso alla rete. A questo proposito sono già in essere collaborazioni con clienti – anche di alta caratura - che hanno integrato la tecnologia Onfido nelle proprie soluzioni di identity access per la prevenzione di attacchi cyber.

Questo approccio soddisfa due necessità: da una parte quella di maggiore semplicità da parte degli utenti, dall’altro la richiesta di maggiori tutele rispetto ai rischi di furto della identità, che suscitano le più forti preoccupazioni.

Real Identity Platform

La soluzione proposta da Onfido si chiama Real Identity Platform e consiste in un prodotto venduto solo ai clienti B2B, che dispone sia dell’interfaccia B2B di controllo sia di quella dedicata al cliente finale. Quest’ultima viene integrata direttamente con la piattaforma del cliente, di modo che l’utente possa fruire di un’esperienza d’uso fluida, senza essere reindirizzato all’esterno dell’ambiente a cui è già connesso.

Fonte: Identity Fraud Report 2024

Tramite una procedura guidata, il software acquisisce l'immagine del documento e il selfie del cliente e se il documento viene identificato come legittimo, in una manciata di secondi ottiene l’accesso ai servizi richiesti. Tecnicamente parlando, il servizio risiede in cloud: “l'immagine viene caricata sui nostri server con un trasferimento dati cifrato, nel pieno rispetto della normativa sulla privacy dei Paesi coinvolti” puntualizza Bondi.

Il cliente B2B può anche integrare la soluzione Onfido nei propri sistemi tramite API. Bondi sottolinea inoltre che “esiste una versione no code low code che permette, letteralmente nel giro di qualche ora, di stipulare il contratto di fornitura e disporre del servizio”.

Le frodi di identità e l’Italia

Nell’Identity Fraud Report 2024 pubblicato da Onfido figurano anche numerosi dati riguardanti l’Italia. Uno su tutti è che il passaporto italiano è uno dei documenti più contraffatti. Il problema, ha spiegato Bondi, risiede nel fatto che varie versioni dei passaporti hanno livelli di protezione differenti. L’Italia è fra i Paesi con una maggiore presenza di passaporti datati, che in quanto tali sono soggetti a vulnerabilità corrette nelle versioni successive. A questo si aggiunge il fatto che l’Italia non è sempre in prima fila nell’adozione delle nuove tecnologie, il che non aiuta.

Anche per questo motivo Onfido, dopo il grande successo all’estero, ha deciso di investire sul Belpaese, che è un mercato dall’elevato potenziale in cui le soluzioni di verifica dell'identità sono quantomai indispensabili per garantire ai cittadini un uso sicuro dei servizi di primaria importanza che siano essi governativi, finanziari, di telemedicina o di qualsiasi altro tipo.