Identificazione e verifica del cliente

Screening, monitoraggio, Travel Rule e segnalazioni presuppongono che l’impresa sappia chi è il proprio cliente. Un prestatore di servizi per le cripto-attività che acquisisce clienti da remoto in pochi minuti fa questa supposizione su larga scala: perciò l’identificazione e la verifica sono il punto di partenza di gran parte delle frodi e di molte constatazioni delle autorità di vigilanza. Questa lezione illustra quali dati raccogliere, come verificarli, come valutare l’identità digitale in base al livello di garanzia e quali attacchi prendono di mira il processo.

Cosa richiede la Raccomandazione 10

La Raccomandazione 10 del GAFI (adeguata verifica della clientela) impone ai soggetti obbligati di identificare il cliente e di verificarne l’identità utilizzando documenti, dati o informazioni provenienti da fonti affidabili e indipendenti. La stessa raccomandazione riguarda i titolari effettivi (vedi la lezione Persone giuridiche e titolarità effettiva), lo scopo e la natura prevista del rapporto e l’adeguata verifica continua (vedi la lezione Adeguata verifica continua e cessazione dei rapporti).

L’adeguata verifica della clientela è richiesta quando:

• viene instaurato un rapporto d’affari;
• un’operazione occasionale supera la soglia stabilita, che la INR.15 fissa a USD/EUR 1.000 per i prestatori di servizi per le attività virtuali (VASP), ben al di sotto dei 15.000 USD/EUR previsti in generale;
• sussiste un sospetto di riciclaggio di denaro o finanziamento del terrorismo, indipendentemente dall’importo;
• l’impresa dubita della veridicità o dell’adeguatezza dei dati identificativi ottenuti in precedenza.

La verifica dovrebbe avvenire prima o durante l’acquisizione del cliente. Lo standard consente di completarla poco dopo, a condizione che ciò avvenga non appena ragionevolmente possibile, sia essenziale per evitare interruzioni della normale attività e i rischi siano gestiti. Un VASP che si avvale di questa opzione consente in genere i depositi, ma blocca i prelievi fino al completamento della verifica. Se non è possibile completare l’adeguata verifica della clientela, l’impresa non dovrebbe aprire il conto, dovrebbe porre fine a un rapporto esistente e dovrebbe valutare la presentazione di una segnalazione di operazione sospetta. Le norme nazionali differiscono sui campi di dati obbligatori: un’impresa globale stabilisce quindi il proprio standard minimo in base al regime più rigoroso a cui è soggetta oppure mantiene una mappatura dei campi per ogni paese.

Dati identificativi e prove

Le linee guida del GAFI sulle attività virtuali e sui VASP indicano, come esempi di informazioni aggiuntive che un VASP può raccogliere, un indirizzo IP con data e ora, dati di geolocalizzazione, identificativi del dispositivo, indirizzi dei wallet e hash delle transazioni, perché nelle relazioni d’affari non in presenza spesso rivelano più informazioni sul cliente di un indirizzo postale.

La verifica si svolge in due forme. La verifica documentale controlla un documento rilasciato da un’autorità pubblica: le sue caratteristiche di sicurezza, le cifre di controllo nella zona a lettura ottica e, per i passaporti e le carte d’identità elettronici conformi alla norma ICAO Doc 9303, il chip. Leggere il chip e convalidare la firma digitale dello Stato emittente sui relativi dati (autenticazione passiva) è molto più efficace che esaminare una foto del documento. La verifica non documentale confronta i dati del cliente con fonti affidabili e indipendenti, come registri ufficiali ove accessibili, dati creditizi o delle telecomunicazioni oppure un conto bancario intestato al cliente. L’utilizzo di due fonti indipendenti riduce il rischio che una fonte compromessa consenta di superare i controlli con un’identità falsa. I documenti che attestano il domicilio, come le bollette, sono facili da falsificare e non dovrebbero essere considerati affidabili se utilizzati da soli.

Acquisizione da remoto e identità digitale

Le Linee guida sull’identità digitale del GAFI (marzo 2020) suddividono un sistema di identità digitale in accertamento dell’identità e registrazione (raccolta e verifica delle prove, quindi associazione dell’identità a un autenticatore), autenticazione e gestione del ciclo di vita (conferma che la persona che ritorna sia quella registrata e gestione delle credenziali smarrite o compromesse) e, facoltativamente, portabilità e interoperabilità (riutilizzo altrove di un’identità verificata). Le linee guida chiedono alle imprese di comprendere il livello di garanzia di qualsiasi sistema su cui fanno affidamento e di adeguarlo al proprio rischio.

Le linee guida utilizzano la pubblicazione speciale NIST 800-63 come esempio principale. Il NIST distingue i livelli di garanzia dell’identità (IAL), i livelli di garanzia dell’autenticazione (AAL) e i livelli di garanzia della federazione (FAL). La quarta revisione, completata nel luglio 2025, ha aggiunto controlli contro gli attacchi di iniezione e i contenuti falsificati, come i deepfake.

Tre aspetti delle linee guida del GAFI sono importanti nella pratica. L’impresa regolamentata rimane responsabile dell’adeguata verifica della clientela anche quando i controlli sono svolti da un fornitore di identità digitale. L’impresa deve poter accedere ai dati identificativi sottostanti, oppure disporre di una procedura che consenta alle autorità di ottenerli. Inoltre, l’acquisizione da remoto non è automaticamente ad alto rischio: un’identità digitale affidabile e indipendente, con misure di mitigazione adeguate, può comportare un rischio standard o persino inferiore. Le modifiche del GAFI del febbraio 2025 alla INR.10 hanno espresso lo stesso principio nello standard stesso, considerando i rapporti non in presenza potenzialmente più rischiosi solo in assenza di un’adeguata mitigazione del rischio.

Controlli di vitalità e deepfake

La verifica da remoto confronta di solito un selfie con la foto del documento (corrispondenza facciale uno a uno) ed esegue un controllo di vitalità per confermare che davanti alla fotocamera ci sia una persona in carne e ossa. La serie ISO/IEC 30107 definisce questo processo come rilevamento degli attacchi di presentazione e stabilisce come sottoporlo a test. Il controllo di vitalità può essere passivo (analisi di una singola acquisizione) o attivo (l’utente gira la testa o segue delle istruzioni).

Due famiglie di attacchi richiedono difese diverse:

• Gli attacchi di presentazione mettono qualcosa davanti alla fotocamera: una foto stampata, la riproduzione su uno schermo, una maschera. Il controllo di vitalità mira a contrastarli.
• Gli attacchi di iniezione aggirano completamente la fotocamera, immettendo un video deepfake o un’immagine manipolata nel flusso di dati tramite una fotocamera virtuale, un emulatore o un’app manomessa. Il rilevamento degli attacchi di presentazione non li rileva. Le difese includono controlli sull’integrità del dispositivo e sugli emulatori, attestazione della fotocamera e dell’app e analisi dei metadati di acquisizione.

Una terza minaccia elude entrambe le difese: una persona reale pagata per superare la verifica di un conto che sarà utilizzato da qualcun altro. Per rilevarla occorre collegare i segnali tra i diversi conti: lo stesso volto associato a nomi diversi, molti conti sullo stesso dispositivo e un conto il cui comportamento successivo non corrisponde alla persona registrata.

Identità sintetiche e acquisizione del controllo di un conto

Un’identità sintetica combina dati reali e inventati, ad esempio un numero identificativo autentico appartenente a un minore o a una persona deceduta, associato a un nuovo nome, una nuova foto e un nuovo numero di telefono. Supera i controlli che verificano soltanto l’esistenza di ogni singolo attributo. Tra i segnali d’allarme figurano un’impronta di dati esigua o molto recente, un numero identificativo rilasciato in una data incompatibile con la data di nascita e numeri di telefono, indirizzi e-mail o dispositivi condivisi con altri conti.

L’acquisizione del controllo di un conto è il problema opposto: un cliente autentico e verificato il cui conto è ora controllato da un criminale tramite phishing, riutilizzo massivo di credenziali rubate, scambio di SIM o furto di sessione. Poiché i prelievi di cripto-attività sono irreversibili, la sequenza abituale è rapida: accesso da un nuovo dispositivo, modifica dell’e-mail o del secondo fattore, aggiunta di un nuovo indirizzo di prelievo, svuotamento del conto. I controlli includono:

• autenticazione resistente al phishing per gli accessi e i prelievi (un AAL più elevato);
• nuova autenticazione e un periodo di attesa dopo una modifica delle credenziali, del dispositivo o dei recapiti;
• liste di indirizzi di prelievo autorizzati, con un intervallo di tempo prima che sia possibile utilizzare un nuovo indirizzo;
• avvisi per gli accessi da un nuovo dispositivo o da una nuova area geografica, inviati al canale di contatto verificato del cliente.

Le linee guida del GAFI sull’identità digitale osservano che autenticare i clienti ogni volta che accedono a un conto contribuisce all’adeguata verifica continua. L’acquisizione del controllo di un conto è anche un problema di antiriciclaggio, perché un conto compromesso può fungere da conto mulo con un KYC regolare.

Documentazione della verifica

Un’autorità di vigilanza o un revisore dovrebbe poter ricostruire cosa è stato controllato, con quale metodo e risultato e chi ha preso la decisione. Un registro minimo della verifica:

{
  "customer_id": "C-20418",
  "verified_at": "2026-09-14T10:22:05Z",
  "method": "remote_document_and_biometric",
  "assurance_target": "IAL2",
  "document": {"type": "passport", "issuer": "Country B", "mrz_check": "pass", "chip_passive_auth": "pass"},
  "biometric": {"face_match_score": 0.94, "liveness": "pass", "injection_signals": "none"},
  "data_checks": {"independent_sources_matched": 2, "duplicate_face_or_device": false},
  "outcome": "approved",
  "reviewer": "auto",
  "ruleset_version": "kyc-rules-4.3"
}

Il registro indica il metodo e il livello di garanzia previsto, conserva separatamente il risultato di ciascun controllo anziché registrare un unico esito complessivo, specifica se sono stati rilevati volti o dispositivi duplicati e riporta la versione del set di regole, in modo che la decisione possa essere spiegata in seguito. Una regola decisionale tipica approva il caso quando tutti i controlli sono superati, lo sottopone a un revisore umano quando un controllo è inconcludente (un punteggio di corrispondenza facciale basso, un documento deteriorato) e lo respinge in caso di un esito chiaramente negativo, come un chip contraffatto o segnali di iniezione. I registri devono essere conservati per almeno cinque anni dalla cessazione del rapporto (vedi la lezione Conservazione dei registri, protezione dei dati e condivisione delle informazioni).

Focus sull'esame: i quattro casi che attivano l’adeguata verifica della clientela nella R.10 e la soglia di 1.000 USD/EUR per le operazioni occasionali dei VASP prevista dalla INR.15; le condizioni per completare la verifica dopo l’acquisizione del cliente; la verifica documentale rispetto a quella non documentale, compresa l’autenticazione passiva basata sul chip; i componenti di un sistema di identità digitale e i livelli di garanzia (IAL, AAL, FAL) delle Linee guida sull’identità digitale del GAFI (marzo 2020), con NIST SP 800-63 come esempio; il fatto che l’acquisizione da remoto non sia automaticamente ad alto rischio; gli attacchi di presentazione rispetto a quelli di iniezione e i relativi controlli; i segnali di identità sintetiche e i controlli contro l’acquisizione del controllo di un conto; cosa deve riportare un registro di verifica.