Shufti-onderzoek: deepfake-documenten domineren AI-fraude bij identiteitscontrole

Bij de identiteitscontroles die het Britse verificatiebedrijf Shufti tussen januari en juni 2026 uitvoerde voor klanten in elf sectoren, kwam fraude voor bij 4,24% van de checks in de banksector — merkelijk lager dan bij digitale activa (22,49%), fintech (18,36%) of forex (17,18%). Van alle fraude die Shufti met AI-technieken opspoorde over die elf sectoren samen, ging 80,10% om vervalste documenten die met deepfake-technologie zijn gegenereerd, tegenover 12,31% synthetische identiteiten, 4,01% ingevoegde video’s en 3,58% “face swaps”, meldt Shufti in zijn Identity Fraud Report 2026, verspreid via een persbericht op GlobeNewswire.

Het rapport brengt ook georganiseerde fraude in kaart: van de overeenkomsten tussen afzonderlijke fraudepogingen ging 65,68% terug op hergebruikte vervalste documenten, 17,67% op een gedeeld, gecontroleerd IP-adres en 16,64% op een gedeeld apparaat. Het grootste netwerk dat Shufti optekende, koppelde 70 identiteiten aan 13 toestellen, met één toestel dat 16 verificatiepogingen deed. Slechts 2,01% van dat netwerkfraudepatroon overschreed een landsgrens, wat er volgens Shufti op wijst dat de meeste fraudenetwerken vooralsnog binnen één land opereren.

Wat betekent dit voor banken in België?

Shufti noemt geen Belgische klanten of cijfers; de meting is wereldwijd en zegt niets rechtstreeks over de fraudegraad bij Belgische banken. Wie in België op afstand een klant identificeert voor een rekening of lening, gebruikt wel dezelfde soort documentcontroles als de elf onderzochte sectoren, en loopt dus tegen dezelfde vervalsingstechniek aan. Dat 80% van de AI-fraude in dit onderzoek via een vervalst document verloopt — en niet via een deepfake-video tijdens een gesprek — is een nuttige correctie op een publiek debat dat vaak vooral over “pratende” deepfakes gaat.

Toezichthouders volgen die verschuiving. Op 31 juli 2026 riepen EBA, EIOPA en ESMA in een gezamenlijke verklaring financiële instellingen op om hun governance rond ICT-risico’s van geavanceerde AI-modellen te versterken. Documentfraude via deepfakes is precies zo’n risico: een aanval die niet op de servers van een bank inbreekt, maar op het onboardingproces zelf. Net als bij CRIF’s detectietool voor vervalste onboardingdocumenten die we eerder beschreven, wijst dit onderzoek in dezelfde richting: de eerste verdedigingslinie tegen documentvervalsing verschuift van het menselijke oog naar een detectiesysteem, precies omdat de vervalsing zelf steeds moeilijker met het blote oog te zien is.