La fraude à l'identité synthétique combine un véritable numéro d'identification avec des informations personnelles fabriquées pour créer une identité qui n'appartient à personne. Contrairement à la fraude par usurpation d'identité, il n'y a aucune victime qui surveille le compte pour y déceler toute activité suspecte, c'est pourquoi il peut falloir des mois ou des années pour la repérer. L'identité fabriquée ressemble souvent à celle d'un client normal et solvable.

À l'échelle mondiale, la fraude à l'identité synthétique coûte aux entreprises entre 20 à 40 milliards de dollars par an selon les estimations, et les incidents de fraude devraient continuer à augmenter.

Nous expliquons ci-dessous le fonctionnement du cycle de vie de la fraude, la façon de prévenir la fraude à l'identité synthétique et les raisons pour lesquelles les outils standard de détection de la fraude peuvent ne pas la repérer.

L’essentiel à retenir

• la fraude à l'identité synthétique associe un vrai numéro d'identification à un nom et une adresse fabriqués, de sorte qu'il n'y a aucune victime réelle pour signaler une activité suspecte ;

• la fraude se déploie généralement sur des mois ou des années via une phase de renforcement du crédit avant de se terminer par un défaut de paiement massif qui épuise le crédit disponible ;

• les entreprises qui proposent un onboarding rapide, des incitations à l'inscription ou un crédit aux clients ayant des dossiers minces sont les plus exposées à ce type de fraude.

Qu'est-ce que la fraude à l'identité synthétique ?

La fraude à l'identité synthétique se produit lorsqu'une personne associe de véritables informations personnelles, généralement un numéro d'identification tel qu'un numéro de sécurité sociale (SSN), à des données fabriquées telles qu'un nom, une date de naissance ou une adresse inventés. Cela crée une identité de client qui ne correspond à aucune personne réelle.

Comment fonctionne la fraude à l'identité synthétique ?

Le cycle de vie de la fraude à l'identité synthétique se déroule en plusieurs étapes.

Voici comment elle se déploie généralement :

Création d'identité

L'acteur frauduleux associe un vrai numéro d'identification à un nom, une date de naissance et une adresse postale inventés, puis fait une demande pour un produit de crédit de faible valeur, tel qu'une carte bancaire garantie ou une carte de magasin dont l'évaluation des risques est souple. Même une demande refusée est utile, car elle lie le numéro d'identification et le faux nom dans un fichier d'agence d'évaluation du crédit, créant ainsi ce que le secteur appelle un numéro de profil de crédit.

Renforcement du crédit

Dès que ce dossier mince existe, l'identité se comporte comme un véritable emprunteur. Cela peut durer des mois ou, plus souvent, des années. L'utilisateur frauduleux peut utiliser le dossier pour devenir un utilisateur autorisé sur le compte de quelqu'un d'autre afin d'hériter de son historique de paiement, d'effectuer de petits achats et de les payer à temps, puis de demander progressivement plus de crédit au fur et à mesure que le dossier s'étoffe. Il s'agit de tactiques courantes dans la fraude à l'identité synthétique.

Coordination de réseau

Certaines opérations gèrent des dizaines d'identités synthétiques à la fois, puis les croisent en tant qu'utilisateurs autorisés sur les comptes des uns et des autres pour accélérer le développement. Cela transforme un processus individuel lent en un système semblable à une chaîne de montage.

Défaut de paiement massif

Dès qu'une identité a accumulé suffisamment de crédit, son gestionnaire épuise toutes les lignes disponibles, y compris les cartes bancaires, les prêts personnels et les soldes de paiement différé (BNPL) dans un délai court, parfois en quelques jours, puis disparaît.

Exploitation des incitations

Sur les plateformes proposant des primes d'inscription ou des récompenses de parrainage, le défaut de paiement massif se présente différemment. L'identité peut encaisser des récompenses ou exploiter un crédit promotionnel avant de devenir inactive plutôt que d'épuiser une ligne de crédit.

Les outils d'IA ont modifié l'économie de la fraude à l'identité synthétique. En quelques minutes, les modèles génératifs peuvent produire un faux document d'identité convaincant avec photo. Les grands modèles de langage (LLM) peuvent générer les historiques de transactions cohérents et la correspondance qui nécessitaient auparavant un effort manuel sur des dizaines de faux profils.

Pourquoi la fraude à l'identité synthétique est-elle si difficile à détecter ?

La plupart des systèmes de détection de la fraude sont conçus pour repérer quelqu'un qui se fait passer pour une personne réelle et identifiable, mais dans le cas de la fraude à l'identité synthétique, il n'y a aucune personne réelle à laquelle se comparer. Le dossier de crédit d'une identité synthétique semble légitime parce qu'il a été constitué de la même manière que le serait un vrai : grâce à des paiements ponctuels et à des plafonds qui augmentent progressivement. C'est pourquoi il n'apparaîtra pas comme frauduleux lors d'une vérification de crédit standard.

Les règles de vérification d'identité basées sur la correspondance de documents présentent des lacunes similaires. Une personne peut soumettre un permis de conduire avec un nom inventé qui correspond à l'adresse enregistrée, et la vérification du numéro d'identification sera valide car le numéro lui-même est réel, mais simplement mal attribué. Cette demande passera toutes les vérifications d'un système basé sur des règles. La fraude ne devient évidente qu'au moment du défaut de paiement massif, et la perte est alors déjà intervenue.

Les équipes de lutte contre la fraude examinent souvent un petit nombre de comptes suspects dispersés parmi une base de clients beaucoup plus vaste à un moment donné. La création d'une seule identité synthétique prenant des mois, les équipes doivent examiner les comptes sur la durée pour repérer un modèle plutôt que de se concentrer sur une seule transaction ou un seul compte.

Quelles entreprises sont les plus exposées à la fraude à l'identité synthétique ?

La fraude à l'identité synthétique a tendance à se concentrer là où se croisent les avantages pour les nouveaux comptes, les extensions de crédit et les clients avec peu d'antécédents de crédit.

Quelques catégories présentent une forte exposition :

• Fournisseurs de paiement différé : Ces entreprises accordent souvent des crédits à de nouveaux emprunteurs ayant des antécédents de crédit limités, ce qui rend plus difficile la distinction entre un nouveau client légitime et un client synthétique.

• Plateformes d'abonnement proposant des essais gratuits ou des bonus de parrainage : Il existe une incitation financière à créer de nouveaux comptes, mais la vérification d'identité lors de la souscription à un abonnement est souvent plus souple que ce qu'une banque exigerait.

• Marketplaces proposant des bonus d'onboarding : Un seul réseau peut créer des dizaines de comptes pour obtenir des crédits d'inscription ou des récompenses de parrainage avant qu'un compte n'attire l'attention.

• Émetteurs de cartes bancaires et prêteurs à la consommation : Ceux qui se font concurrence sur le volume de nouveaux comptes avec des délais d'approbation rapides sont particulièrement exposés, car une évaluation des risques plus rapide implique généralement moins de temps pour vérifier l'identité.

• Entreprises s'adressant aux populations plus jeunes ou sans antécédents de crédit : Les produits financiers destinés aux étudiants entrent dans cette catégorie, car ces clients ont naturellement des dossiers de crédit limités, ce qui rend plus difficile la distinction entre un véritable nouvel emprunteur et un emprunteur synthétique.

Comment les entreprises luttent-elles contre la fraude à l'identité synthétique ?

Pour prévenir la fraude à l'identité synthétique, commencez par déterminer l'origine de votre exposition. Si la plupart de vos nouveaux comptes proviennent de clients avec des antécédents de crédit établis, votre profil de risque est différent de celui d'emprunteurs novices ou de campagnes d'incitation à l'inscription qui attirent davantage de tentatives de fraude. Associez vos pertes liées à la fraude à l'ancienneté des comptes, car les pertes dues aux identités synthétiques se concentrent sur des comptes ouverts depuis des mois ou des années. Lorsque vos données de défaut de paiement et de rétrofacturation ne sont pas segmentées ainsi, il est difficile de déterminer quelle part de vos pertes est réellement d'origine synthétique ou liée à d'autres facteurs.

Vérifiez ensuite si votre méthode de vérification actuelle est ponctuelle ou continue. Une vérification d'identité unique lors de l'inscription ne détecte pas les dérives comportementales qui apparaissent pendant la phase de renforcement du crédit, comme un changement soudain dans les habitudes de transaction juste avant un défaut de paiement massif. Stripe Radar résout ce problème en évaluant les signaux de risque tout au long du cycle de vie du client plutôt qu'uniquement lors de la création du compte. Radar s'appuie sur les modèles observés sur le réseau d'entreprises de Stripe pour signaler tout comportement qui ne correspond pas au développement habituel d'un compte légitime.

Quels que soient les outils utilisés, prévoyez un rythme de test. Les réseaux frauduleux changent de tactiques, ce qui signifie qu'un système de détection, tel qu'un modèle de prise d'empreinte d'appareil spécifique ou une séquence particulière de comportements de compte, qui fonctionne bien ce trimestre, peut perdre de son efficacité le trimestre suivant si ce système n'est pas réévalué avec de nouvelles données.

Quelles sont les contraintes et les limites de la prévention de la fraude à l'identité synthétique ?

Les modèles de machine learning ont besoin d'exemples historiques de fraudes synthétiques confirmées pour s'entraîner. Ce type de fraude n'étant souvent découvert qu'au moment du défaut de paiement massif, des mois ou des années après l'ouverture du compte, les données étiquetées disponibles pour l'entraînement sont par nature différées et incomplètes.

Il existe également un compromis entre la puissance de détection et l'expérience d'inscription. Exiger des étapes supplémentaires, comme la correspondance d'un selfie avec une pièce d'identité officielle ou la vérification par vidéo en direct, permet d'identifier davantage d'identités synthétiques, mais ajoute des complications qui peuvent amener des clients légitimes à abandonner le processus en cours de route. Suivez votre taux de faux positifs ainsi que votre taux de détection. Il peut s'avérer coûteux de refuser des clients légitimes ou de les contraindre à suivre des étapes de vérification inutiles. Les entreprises doivent décider de la part de ce compromis qu'elles sont prêtes à accepter.

Le partage de données entre institutions est également utile. Une identité synthétique qui semble vierge dans une entreprise peut présenter des comportements suspects dans de nombreuses autres. Le partage est toutefois limité par les réglementations en matière de confidentialité et par le fait que les concurrents ne souhaitent pas toujours échanger des signaux de fraude. Les modèles de données de consortium résolvent ce problème. Toutefois, la couverture varie selon les secteurs, et une entreprise d'un secteur moins couvert ne bénéficie pas du même avantage qu'une entreprise du secteur bancaire ou de l'émission de carte.

Comment Stripe Radar peut vous aider

Stripe Radar contribue à détecter la fraude et à stimuler la croissance, grâce à une IA entraînée sur les données du réseau mondial de Stripe. Radar aide à protéger votre entreprise de la fraude tout au long du cycle de vie des clients avant que cela n'affecte vos résultats, tout en vous aidant à approuver davantage de paiements et de clients légitimes.

Radar peut aider votre entreprise à :

• prévenir les pertes liées à la fraude : l'IA de Radar apprend de plus de 1 900 milliards de dollars de transactions annuelles sur le réseau mondial de Stripe, ce qui l'aide à identifier et à bloquer les modèles de fraude que les entreprises individuelles ne pourraient pas détecter seules ;

• unifier la protection face à l'évolution des attaques frauduleuses : Radar rassemble la protection contre la fraude liée aux transactions, la fraude liée aux comptes et les abus de clients en une seule solution, afin de vous offrir une protection unifiée contre les principaux types de fraude ;

• s'adapter à l'évolution de la fraude : Radar s'adapte en permanence aux nouveaux modèles de fraude, de la fraude de première partie aux transactions par agent, ce qui aide à protéger votre entreprise contre les menaces émergentes ;

• s'intégrer à votre infrastructure technologique existante : utilisez Radar avec les paiements Stripe sans aucune intégration, ou accédez à l'intelligence de Radar via des API programmables, que vous traitiez des paiements sur Stripe ou non.

En savoir plus sur Stripe Radar, ou démarrez dès aujourd’hui.

FAQ sur la fraude à l'identité synthétique