📸 Обхід перевірки KYC (верифікації) для більшості сайтів

Ця схема не дає 100% гарантії. Але вивчити можна для ознайомлення.

Я не несу відповідальності за зловживання і невдачі під час використання методу (прим. автора цього манула). Цей пост створено для тих користувачів, хто з якоїсь причини не може відновити доступ до свого аккаунту (стикався з таким у Фейсбуці та не тільки, досить неприємно).

Основні види верифікації

1. Старий стандарт: Завантажте документ і фотографію з підписом або з написаним ім’ям чи датою на аркуші.
2. ScanFace: Простий запит на сканування обличчя (фото).
3. Покрутити головою: Потрібно покрутити головою.
4. Blink Life Test: Потрібно моргати протягом зворотного відліку часу.
5. ID Card+Face Selfie(Док + селфі): найпопулярніший серед додатків Індонезії, таких як електронний гаманець і обмінник.

Підробка веб-камери

Більшість веб-сайтів у наші дні застосовують перевірку через selfie-камеру, сайт попросить вас дозволити увімкнути камеру і записати ваше обличчя, що може мати серйозні наслідки, якщо компанія, послугами якої ви користуєтеся, погано зберігає свої дані.

Є спосіб протистояти цьому захисту…

Вам необхідно завантажити:

• OBS (з плагіном віртуальної камери)
• ManyCams — Не безкоштовно, будь ласка, зайдіть на reddit piracy megathread, щоб знайти безпечну і чисту піратську версію.
• Встановіть обидві програми та підготуйте документи.
• Тепер відкрийте OBS і на вкладці “Sources” натисніть на “+”, а потім “Image”.
• Потім виберіть шлях до зображення і натисніть “ОК”. Ви побачите вибране зображення в OBS.
  Тепер відкрийте ManyCams, перейдіть на вкладку “Text” і зніміть прапорець “Show ManyCams logo”.
  Поверніться в OBS і натисніть “Start Virtual camera”.
• Тепер поверніться на сайт, на якому ви намагаєтеся верифікуватися, і запустіть перевірку веб-камери, дозвольте доступ, і ви маєте побачити обрану фотографію на веб-сторінці.
• Ви можете змінити положення фотографії (якщо ви верифікуєте selfie, то обличчя має потрапити в “коло”) на OBS, переміщуючи фотографію або змінюючи її розмір, захопивши кут фотографії.

Що робити якщо ваш KYC переводить вас у повноекранний режим, щойно ви починаєте перевірку, і скасовує її, якщо ви виходите з повноекранного режиму?

Якщо ви виходите з повноекранного режиму, відкрийте OBS, потім почніть верифікацію, і щойно ви перейдете в повноекранний режим, ALT+TAB у вікно OBS, щоб верифікацію не було скасовано, і ви зможете переміщати свою фотографію.

Після цього просто підберіть потрібний вам розмір фотографії та зробіть знімок”.

Що робити якщо на сайті верифікація де потрібно покрутити головою?

Щоб обійти це, перейдіть за адресою: smoothie-3d.com/site/page_index.php і створіть там обліковий запис (для цього вам буде потрібно зробити невелике пожертвування, щоб скористатися їхніми послугами, я настійно раджу вам зробити це, оскільки це допоможе вам в обході KYC).

Після того, як ви успішно створили акаунт і зробили невелике пожертвування, почніть новий проєкт і виберіть “Image”, а потім “Add”.

Після цього ви побачите свою фотографію на сайті, потім ви повинні побачити невелике меню в центрі вгорі, виберіть “Mode to draw smooth shapes”.

Після того, як ви вибрали правильний режим, акуратно намалюйте форму навколо голови вашого селфі.
Після того, як ви це зробили, ви маєте побачити, що виділена область світліша за фон.

З лівого боку ви побачите невелику рамку, виберіть “Rotation mode” і злегка посувайте курсором в області рамки, щоб повернути виділену область.

Після того, як вам вдалося перетворити своє селфі на 3D-модель, ви можете записати свій екран, обертаючи головою, а потім в OBS у вкладці “Sources” вибрати “Media source”.

Або ви можете вибрати “Window capture” і вибрати вкладку “Smoothie-3d” і обертати головою в реальному часі, коли ви робите свою верифікацію KYC.

Добре, але моє селфі виглядає “не справжнім”, як мені зробити його більш живим?

Примітка: ця частина методу передбачає використання телефону. (прим.але походу емуль теж підійде).
Деякі з сайтів (банки, основні сайти криптовалютних бірж тощо) можуть побачити, що ваше selfie – звичайна фотографія, оскільки в ній немає ніякої “жвавості”.

Щоб обійти цю проблему, вам потрібні дві речі.

1. Акаунт на TikTok
2. Смартфон із працюючою камерою.

Якщо у вас це є, скачайте TikTok і створіть акаунт.

Після того як акаунт TikTok буде готовий, відкрийте своє селфі на комп’ютері, створіть нове відео на TikTok і виберіть фільтр “Dynamic Photo”.

Після того як ви вибрали фільтр, ви побачите, що селфі рухається, посміхається, обертає очима тощо.

Запишіть невелике відео і завантажте його в TikTok (переконайтеся, що воно загальнодоступне).

Після того як відео буде завантажено, перейдіть за посиланням: https://ssstik.io/en (ticktock video downloader) і вставте посилання на ваше відео.

Завантажте ваше відео без тега TikTok.

Після цього все просто: зайдіть в OBS, у розділі “Sources” виберіть “Media” і виберіть ваше відео з TikTok, яке ви щойно завантажили.

Мій цільовий сайт вимагає, щоб я верифікувався через телефон.

Ця частина, якщо верифікація можлива тільки через додаток.

Для цього вам знадобиться кілька інструментів:

• LDplayer (емулятор Android)
• Програмне забезпечення для захоплення Logitech.

Після того як ви завантажили ці 2 інструменти, створіть новий емулятор LDplayer для Android і виберіть роздільну здатність 640×640

Потім відкрийте програму Logitech capture software, відкрийте фотографію selfie/docs, виберіть роздільну здатність 1080p, а потім у “Source 1” виберіть назву відкритої фотографії.

Потім перейдіть у ManyCams, виберіть джерело камери як “Logi Capture”.

Потім поверніться до емулятора android, зробіть kyc і коли емулятор запитає.

Чи хочете ви використовувати веб-камеру або обрізку екрана, виберіть веб-камеру, і ви маєте побачити завантажену фотографію прямо там, перейдіть до зміни розміру або положення фотографії відповідно до ваших потреб і зробіть знімок.

Ось і все! Цього має бути достатньо, щоб обійти багатьох kyc-провайдерів і дасть вам змогу легко верифікувати свій акаунт!

Діпфейки

Коли було випущено новий інструмент під назвою “Deepfake Offensive Toolkit”, який стверджує, що тепер можна в реальному часі вводити глибокі підробки у свою віртуальну камеру й обходити біометричні перевірки на життєздатність, я був у захваті! Як ви могли помітити, всі мої останні пости пов’язані з підробкою особистих даних і обходом перевірок KYC у фінансових установах. Я подумав, чому б не спробувати і не обійти біометричну перевірку за допомогою машинного навчання?

Перш ніж приступити до роботи, мені потрібно було знайти цільовий застосунок і визначити умови тестування. Переглянувши кілька необанків на своєму телефоні, я знайшов один, який просив надати короткий відеозапис у деяких випадках скидання рахунку, коли банк не був упевнений у вашій особистості. При цьому для отримання доступу до рахунку все одно потрібно було мати під рукою багато інформації: фотографії посвідчень особи, доступ до електронної пошти і, можливо, реквізити картки.

Для створення пристойного deepfake потрібні години високоякісного відео або фото людини. Усе це важко отримати, якщо злочинці не знають жертву. Але все змінюється, якщо це хтось зсередини. Ваша дитина-підліток, ваш розгніваний колишній або ваш діловий партнер отримають фотографії вашого посвідчення особи, приватні відеозаписи і тимчасовий доступ до вашої електронної пошти та телефону. Це і є наш зловмисник.

Коли ми з’ясували всі передумови, ми можемо пограти з фреймворками ML. Але перш ніж приступити до створення фальшивих відеороликів, нам потрібно пройтися по немодифікованому сценарію верифікації, щоб мати точку відліку. Я перезавантажив застосунок, запустив умови перевірки, створив відеоролик із роздільною здатністю 640×480 і, використовуючи свій зламаний iPhone, успішно відправив його і пройшов перевірку.

Під час перевірки я виявив таке:

• Я можу запускати запити на перевірку й автоматично підставляти відеофайли для перевірки.
• Я можу проводити стільки перевірок, скільки захочу. Навіть якщо одна спроба виявиться невдалою, я можу запустити іншу, на яку не вплинуть попередні результати.
• Кожна верифікація займатиме різний час для затвердження, тому, найімовірніше, вона виконується людьми.

Приклад 1. Deepfake Offensive Toolkit, спроба 1

Я попросив друга зі схожою стрижкою і рисами обличчя записати тестове відео і надіслати його мені, щоб я міг застосувати до нього інструментарій deepfake. На жаль, якість виявилася незадовільною:

Статус: верифікацію не розпочато ☒

Приклад 2. Deepfake Offensive Toolkit, спроба 2

Після того як я перестав грати з різними варіантами налаштувань, я вирішив застосувати свою власну фотографію до свого власного відео!

Це те, з чим я можу працювати! Спочатку я був упевнений, що процедура верифікації відео не пройде і мені доведеться надавати додаткові документи. Але ні! Перевірка пройшла успішно, попри явні ознаки відеомонтажу: розмите обличчя, нерівний край обличчя і сліди відеомонтажу в підсумковому файлі.

Статус: верифікація пройдена ☑

Приклад 3. DeepFaceLab, спроба 1

Я зрозумів, що до реалістичних діпфейків у реальному часі ще далеко. Але мені не потрібна була підміна в реальному часі, тому я спробував інший проєкт – DeepFaceLab. Цей фреймворк дає змогу досягти вражаючих результатів за наявності якісних джерел відео і достатньої кількості ресурсів, витрачених на навчання моделі.

Але щоб заощадити час, я почав з тієї ж вимоги: замінити себе на себе. Я записав 1000-кадрове відео самого себе, а потім навчив SAEHD-модель, яку помістили на інше моє відео.

Це фальшивий я, згенерований фреймворком DFL. І знову ознаки глибокої підробки в наявності. Видно підмінені розмиті обриси обличчя, які можуть обдурити тільки людину, яка дуже погано бачить. Але і це спрацювало! Поки що все добре.

Статус: верифікація пройдена ☑

Приклад 4. DeepFaceLab, спроба 2

Я взяв вихідне відео, яке запросив у свого друга, і застосував до нього перенавчену модель:

Вийшло відео більш пристойної якості, ніж у першій спробі, але все ще далеке від досконалості. Тут є кілька проблем:

• Різні кольори обличчя, що робить краї більш очевидними. Як я виявив пізніше, правильні параметри моделі DFL виправляють це.
• Прямий край тіні бахроми. Це можна виправити за допомогою правильного цільового відео та відповідного тренування маски.
• Відсутність окулярів. Це може стати тривожним сигналом для служб відеорозпізнавання. На жаль, носіння окулярів створює жахливі артефакти. Ці умови слід вивчити детальніше.
• У цільовому записі була неправильна артикуляція, що могло б викликати ще один тривожний сигнал.

На жаль, цей ролик не пройшов перевірку. Але я був упевнений, що можна створити правильне відео, яке пройде процедуру верифікації.

Статус: перевірка не пройдена ☒

Приклад 5. Без очок

Після кількох невдалих перевірок ніхто не намагався заблокувати мене назавжди. Ось дивно, подумав я! Отже, я можу спробувати визначити деякі умови “чорної скриньки” процесу верифікації.

Оскільки окуляри є невід’ємною частиною життя деяких людей, що, якщо їхня відсутність є основною причиною невдалої верифікації? Я надіслав немодифіковане відео себе без окулярів. І не пройшов верифікацію! Незважаючи на те, що абсолютно нічого не змінилося!

Статус: перевірка не пройдена ☒

Приклад 6. DeepNostalgia+Wav2lip+Face-SPARNet

Тепер, коли ми знаємо, що окуляри мають вирішальне значення, я знаю, що мені потрібно у фінальному відео. Є тільки одна проблема: deepfakes з окулярами завжди були дуже низької якості.

Один із блискучих ML-науковців, Олександр, запропонував мені подивитися на https://www.myheritage.com/deep-nostalgia, щоб анімувати фотографію з окулярами, які не вийдуть за межі форми мого обличчя. Я використовував його для створення короткого відеоролика про себе:

Не найкраща якість, але й не найгірша.

Тепер потрібно позбутися водяних знаків (за це прошу вибачення) і застосувати фреймворк wav2lip, який змусить мене “вимовляти” слова. Через це якість кінцевого відео стала ще нижчою, тому я поліпшив його за допомогою Face-SPARNet:
На жаль, підсумкова якість виявилася недостатньо хорошою, і верифікація не вдалася.

Статус: перевірка не пройдена ☒

Приклад 7. Анімація фотографій AI+Wav2lip+ Face-SPARNet+DeepFaceLab

У якийсь момент у мене в голові щось клацнуло. Якщо у мене є трисекундний запис, я можу зробити одну фотографію жертви, створити анімоване відео тільки з цієї фотографії, а потім повторно накласти на неї вихідні дані з високою роздільною здатністю за допомогою DeepFaceLab, щоб різко поліпшити якість! Останні кроки, на яких вирішуються наявні проблеми попередніх прикладів:

1.  Якість кінцевого відео DFL було покращено за рахунок придбання Animate Photos AI (https://pixbim.com/animate-photos-pixbim). Це також допомогло видалити водяні знаки.
2. Animate Photos AI виявляє обличчя і робить квадратне відео, тому довелося “обдурити” алгоритм, щоб він зробив відео, яке можна було б потім нарізати на кадри з роздільною здатністю 640×480:
3. Wav2lip і постредагування за допомогою Face-SPARNet призвели до появи додаткових артефактів у нижній частині відео:
   Wav2lip-HQ не робила достатньо якісну синхронізацію. Тому я записав губи, які вимовляють те, що мені потрібно, і наклав їх поверх відео. Оскільки в подальшому вони будуть замінені на DFL, це не має значення!
4. Ідеальне джерело для синхронізації
5.  Візьмемо решту відео високої роздільної здатності з “жертвою” і використаємо її як SRC для DFL. Я навчив модель SAEHD за допомогою Google Colab з нуля, і, чесно кажучи, результати вражають:

drive.google.com/file/d/1Ei9W5t9KDOLZUtfrXgjmAfWJVEVLejoM/view?usp=sharing

Статус: верифікація пройдена ☑

Заключний приклад. RealTimeVoiceCloning

Коли я перевіряв, чи може бути проблемою синхронізація губ, я вирішив зробити відео, в якому губи не показують, що говорить голос. На додаток до цього я вирішив згенерувати повністю штучний голос. У інсайдера може бути запис голосу жертви, але навряд чи це буде саме та фраза, яку банк очікує від нього почути. І оскільки ця стаття присвячена інструментам deepfake, я взяв фреймворк RealTimeVoiceCloning. Після короткого навчання на 10-15 хвилинах голосу я створив підробку голосу пристойної якості, яка говорила все, що я хотів:

https://drive.google.com/file/d/1Dseplf_nbtact6rTKPScpe19UhYRl_WD/view?usp=sharing

Як ви бачите, цей голос звучить досить далеко від мого оригінального голосу. Крім того, я записав відеоролик, у якому я вимовляю слова, відмінні від слів на аудіо:

Тож я знову не був упевнений, що пройду перевірку.

Але все вийшло! Це означає, що у співробітників банку немає еталона мого голосу. Той, хто перевіряє записи, звертає більше уваги на відео, ніж на аудіо.

Статус: верифікація пройдена ☑

Роздуми про процес верифікаційного тестування.

Мені пощастило. Я знайшов умови тестування, які дозволили мені викликати запити на верифікацію і навіть провалювати або проходити її, не впливаючи безпосередньо на подальші тести. Такі умови дозволяють організувати тестування методом проб і помилок – саме те, що мені було потрібно.

За різними таймаутами кожної верифікації я дійшов висновку, що остаточне підтвердження робила людина. У завантажені та неробочі години час перевірок був більшим, ніж у неробочий час. Якщо перевірка здійснюється тільки людьми, то завжди присутній фактор упередженості. Одне й те саме відео, надіслане знову і знову, в кінцевому підсумку може бути прийнято.
При створенні deepfake важливим є збіг облич на вихідному і кінцевому відео.

А також умови освітлення, якість відео і ще більш дрібні деталі: які окуляри ви носите, яка у вас бахрома? У своїх тестах я дозволяв собі деяку гнучкість, якої не було у злочинців.
Процес перевірки досі залишається “чорною скринькою” – я не знаю, чи вплинули всі мої тести в сукупності на результат, чи ні.
Зрештою будь-яку перевірку, виконану людиною, можна обійти.