Почему deepfake становится риском для KYC и криптоаккаунтов?

Deepfake становится риском для KYC и криптоаккаунтов, потому что проверка личности все чаще проходит удаленно. Если злоумышленник может сымитировать лицо, голос или документальный контекст, он может попытаться пройти onboarding, восстановить доступ, обойти поддержку или усилить социальную инженерию против пользователя и платформы.

Почему крипто особенно чувствительно к identity fraud?#

Криптосервисы часто работают глобально, быстро и с необратимыми переводами. Если аккаунт захвачен, вывод средств может пройти быстрее, чем пользователь успеет заметить проблему. Поэтому identity fraud здесь связан не только с compliance, но и с прямой безопасностью активов.

Deepfake добавляет новый слой. Раньше злоумышленнику были нужны украденные документы и убедительная переписка. Теперь он может использовать синтетическое видео, голос или изображение, чтобы убедить систему или сотрудника поддержки.

Что происходит с KYC?#

KYC пытается установить, кто пользователь и допустим ли он к сервису. Но удаленная проверка зависит от документов, селфи, liveness-сигналов, устройства, географии и поведения. Deepfake атакует именно слабые места этой цепочки.

FinCEN выпускал предупреждение о fraud schemes involving deepfake media и о признаках, на которые финансовым организациям стоит обращать внимание: FinCEN deepfake alert. Для крипто это означает, что проверка личности должна быть процессом, а не разовой загрузкой изображения.

Как это касается обычного пользователя?#

Пользователь может столкнуться не только с поддельной регистрацией, но и с попыткой восстановить доступ к его аккаунту. Злоумышленник может собрать утечки, сделать поддельное видео, обратиться в поддержку и убедить ее изменить почту, телефон или способ входа.

Другой сценарий — deepfake-звонок от «сотрудника платформы», который просит код, seed phrase, remote access или срочный перевод. CFTC отдельно предупреждает о фроде вокруг AI и инвестиционных обещаний: CFTC AI fraud advisory.

Где ограничения и риски?#

Первый риск — ложное доверие к видео. Человек может считать, что видеозвонок надежнее текста, хотя синтетическое видео уже стало доступным инструментом атаки.

Второй риск — слабое восстановление аккаунта. Если support-процедура позволяет заменить фактор входа слишком легко, MFA теряет часть смысла.

Третий риск — утечки данных. Чем больше личной информации доступно в сети, тем проще собрать правдоподобный сценарий.

Какие меры выглядят разумно?#

Пользователю стоит включить MFA не через SMS, использовать passkeys или hardware keys, поставить allowlist адресов вывода, отслеживать новые устройства и не передавать коды поддержки. Платформам нужны liveness checks, риск-скоринг, задержки на изменение критических настроек и ручная проверка необычных кейсов.

Главная защита — не верить одному сигналу. Лицо, голос, документ, устройство и поведение должны проверяться вместе.