AI 伪造身份证突破银行防线：韩国 Deepfake 诈骗警示与法律合规

近期韩国传来的一则消息令人不寒而栗：由 AI 生成的虚假人脸与伪造身份证，正大规模穿透银行及非银机构的“非面对面身份验证（Non-face-to-face Identity Verification）”防线。安全厂商 Entrust 发布的《2026 身份欺诈报告》指出：Deepfake（深度伪造）已占据生物识别欺诈尝试的 20%；2025 年伪造自拍（Fake Selfie）攻击量激增 58%；直接向认证系统注入伪造视频流的“注入攻击（Injection Attack）”上升了 40%。更有 HR 科技领域预测，2026 年韩国 Deepfake 身份欺诈案件或将较 2025 年飙升 495%。这意味着：未来你去银行办卡，对面坐着的“真人客服”或许已是 AI，而屏幕那头手持身份证“刷脸”的“客户”，同样可能是 AI 程序。作为一名律师，我必须警示大家：这不仅仅是一场技术攻防战，更引发了金融监管合规、电子签名效力以及企业 KYC（了解你的客户）义务的全面危机。

韩国媒体揭露的手法，早已超越了我们印象中简单的 PS 合成身份证照片，而是演化成了一条完整的黑色产业链：

攻击类型

技术原理

法律风险

文档 Deepfake（证件深度伪造）

利用生成式 AI（Generative AI）制作高仿真度的身份证、驾驶证、护照图片或视频，包含逼真的 hologram（全息图）及防伪水印。

触犯伪造、变造国家机关证件罪；若用于开户，则构成骗取金融票证罪或贷款诈骗罪。

Fake Selfie（伪造自拍）

借助 GAN（生成对抗网络）生成具备动态眨眼、转头动作的假人脸视频。

突破活体检测（Liveness Detection）机制，致使实名认证失效。

Injection Attack（注入攻击）

不经过物理摄像头，直接伪造视频流数据“喂”入 App 认证接口，误导系统认为接收到了真实的摄像头画面。

绕过客户端检测，属于非法侵入计算机信息系统；若成功开户，后续资金追踪将极其困难。

律师点评：过去我们担忧的是身份证复印件造假，如今 AI 已能制造“活人”。更令人恐惧的是，韩国报道指出，此类技术正被广泛应用于开设银行账户、注册加密货币交易所及绑定移动支付。一旦这些账户卷入洗钱或诈骗案件，公安机关在溯源时，真正的受害者（身份信息被冒用者）与犯罪嫌疑人（AI 背后的操纵者）之间将形成巨大的法律迷宫。

我国《电子签名法》第十三条明确规定，可靠的电子签名必须满足“签署时电子签名制作数据仅由电子签名人控制”等条件。

然而，面对 AI 伪造技术，这一条款正面临严峻挑战：

身份冒用：若骗子利用 Deepfake 通过银行生物识别，系统“误判”为你本人签署电子合同，该合同的法律效力该如何认定？

过错责任：银行或支付机构若因未采用足够安全的核验技术（例如仅依赖单一人脸识别，未启用多因素认证）导致被骗，是否需承担主要赔偿责任？

举证责任：作为身份被冒用的公民，你需要证明“当时我在休息，是 AI 在操作”，这在技术上存在难度，往往需要专业的司法鉴定（Forensic Identification）支持。

律师建议：对于高频、高风险操作（如转账、开户、修改密码），切勿盲目迷信人脸识别。目前最稳妥的方式依然是多因素认证（Multi-factor Authentication, MFA），即“你知道的信息（密码）+ 你持有的物品（手机/U 盾）+ 你自身的特征（指纹/人脸）”。韩国互联网振兴院（KISA）也明确指出，单一认证已难以维持可信度，必须引入基于风险的 MFA 机制。

对于银行、支付机构、网约车平台、招聘网站等需履行 KYC 义务的主体，韩国的案例无疑是一记重锤。

技术升级义务：若市面上已出现能伪造动态人脸的 AI，而你的认证系统仍仅用静态照片比对，那么在法庭上将被认定为“未尽到合理的安全保障义务”。《网络安全法》第二十二条要求网络运营者采取防范网络违法犯罪活动的技术措施。

异常监测义务：仅核验“人证合一”远远不够，还需监测设备环境。例如：是否使用了虚拟摄像头（Virtual Camera）？IP 地址是否异常？操作行为是否符合真人特征？韩国报告特别强调要检测“连接设备、位置、利用履历”。

算法备案与评估：依据《生成式人工智能服务管理暂行办法》及《算法推荐管理规定》，若企业使用 AI 算法进行身份核验，需关注算法的透明度与安全性，必要时进行安全评估和备案。

合规清单：

活体检测（Liveness Detection）：必须支持动作指令（眨眼、转头）或静默活体，且能防御屏幕翻拍与 Deepfake 注入。

设备指纹（Device Fingerprinting）：识别虚拟机、Root/越狱设备、Hook 框架等异常环境。

威胁情报（Threat Intelligence）：接入黑产设备库、代理 IP 库，精准识别已知攻击源。

警惕“远程面签”：任何要求下载不知名 App 进行视频面签、开启“辅助权限”或“无障碍服务”的行为，极有可能是骗局。正规银行 App 绝不会要求用户关闭安全防护。

保护生物信息：切勿轻易在网络发布高清正面露脸视频，以防被用于训练 Deepfake 模型。

定期查询征信与账户：定期登录人民银行征信中心、云闪付 App 等，查询名下是否有未知的贷款或银行卡。一旦发现异常，立即挂失并报警，同时向相关机构提交《异议申请书》。

法律维权：若发现身份被冒用开户，第一时间固定证据（截图、录屏），向公安机关报案，并持《受案回执》要求相关金融机构注销账户、消除不良记录。

韩国预测的 495% 增幅并非天方夜谭，而是一记警钟。AI 伪造技术正将“眼见为实”变为“眼见未必为实”。当技术被用于作恶时，法律必须亮出獠牙。对企业而言，这是合规的生死线；对个人而言，这是财产安全的护城河。作为律师，我建议：在涉及重大财产处分时，请将“人脸识别”仅视为辅助手段，而非终极信任基石。毕竟，在 AI 时代，你的脸，或许已不再只属于你自己。

【附录：AI 伪造身份欺诈法律风险与应对清单】

主体

风险点

应对策略

法律依据

金融机构/企业

未通过 MFA 导致账户被盗开，承担资金损失责任；算法安全漏洞被利用。

1. 强制实施 MFA；2. 引入活体检测 + 设备环境监测；3. 定期开展算法安全评估与渗透测试。

《反洗钱法》、《网络安全法》、《电子签名法》

被冒用身份者

名下出现未知贷款/账户；征信受损；卷入刑事案件调查。

1. 立即报警并获取回执；2. 向金融机构提交异议申请；3. 必要时提起行政或民事诉讼确权。

《民法典》第 1014 条（姓名权）、《居民身份证法》

平台开发者

AI 生成工具被用于伪造证件；未履行内容审核义务。

1. 在模型层面限制生成涉及证件、钞票的内容；2. 添加数字水印（Watermarking）。

《生成式 AI 服务管理暂行办法》第 9 条