La frode basata su identità sintetica combina un numero di identificazione reale a dettagli personali inventati per creare un'identità che non appartiene a nessuno. A differenza della frode per furto di identità, non vi è alcuna vittima che monitora l'account alla ricerca di attività sospette, motivo per cui possono occorrere mesi o anni per scoprirla. L'identità fittizia si presenta spesso come un normale cliente meritevole di credito.

A livello globale, la frode basata su identità sintetica costa alle aziende una cifra stimata in da 20 a 40 miliardi di dollari all'anno e si prevede che gli episodi di frode continueranno ad aumentare.

Di seguito tratteremo il funzionamento del ciclo di vita delle frodi, come prevenire la frode basata su identità sintetica e i motivi per cui gli strumenti standard di rilevamento delle frodi possono non individuarla.

In sintesi

• La frode basata su identità sintetica associa un numero di identificazione reale a un nome e a un indirizzo inventati, perciò non esiste una vittima reale che possa segnalare attività sospette.

• La frode si sviluppa in genere nell'arco di mesi o anni attraverso una fase di costruzione del credito per poi terminare in un bust-out che esaurisce il credito disponibile.

• Le aziende che offrono un'attivazione rapida, incentivi alla registrazione o credito ai clienti con documentazione creditizia limitata sono maggiormente esposte a questo tipo di frode.

Cos'è la frode basata su identità sintetica?

La frode basata su identità sintetica si verifica quando qualcuno associa un dato reale tra le informazioni personali, di solito un numero di identificazione come il Social Security Number (SSN), a dettagli inventati come nome, data di nascita o indirizzo. Si crea così un'identità del cliente che non corrisponde a una persona reale.

Come funziona la frode basata su identità sintetica?

Il ciclo di vita della frode basata su identità sintetica si svolge in più fasi.

Ecco come si svolge in genere:

Creazione dell'identità

L'autore della frode associa un numero di identificazione reale a un nome, una data di nascita e un indirizzo postale inventati, quindi richiede un prodotto di credito di basso valore, come una carta prepagata o una carta fedeltà con una valutazione del rischio flessibile. Anche una richiesta rifiutata è utile perché collega il numero di identificazione e il nome falso in un archivio del garante del credito, creando quello che il settore chiama numero di profilo creditizio.

Costruzione del credito

Una volta creata questa documentazione scarna, l'identità si comporta come un mutuatario reale. Questo processo può durare mesi o, più spesso, anni. L'utente illegittimo potrebbe usare la documentazione per diventare un utente autorizzato sull'account di un'altra persona e poterne così ereditare la cronologia dei pagamenti, effettuare piccoli acquisti e pagarli puntualmente, per poi richiedere gradualmente più credito man mano che la documentazione si arricchisce. Queste sono tattiche comuni nelle frodi basate su identità sintetica.

Coordinamento del gruppo

Alcune organizzazioni gestiscono decine di identità sintetiche contemporaneamente, per poi fare riferimenti incrociati come utenti autorizzati sui reciproci account per accelerarne la costruzione. Questo trasforma un processo lento e individuale in qualcosa di più simile a una catena di montaggio.

Il bust-out

Una volta che un'identità ha accumulato credito sufficiente, il suo gestore esaurisce ogni linea disponibile, tra cui carte di credito, prestiti personali e saldi di pagamento a rate (BNPL) in un breve lasso di tempo, a volte solo di pochi giorni, per poi sparire.

Sfruttamento degli incentivi

Sulle piattaforme che offrono bonus di registrazione o premi per i referral, il bust-out si presenta in modo diverso. L'identità potrebbe incassare premi o sfruttare un credito promozionale per poi diventare inattiva, anziché esaurire una linea di credito.

Gli strumenti di intelligenza artificiale hanno cambiato le dinamiche economiche della frode basata su identità sintetica. In pochi minuti, i modelli generativi possono produrre un falso documento d'identità con foto molto convincente. I modelli linguistici di grandi dimensioni (LLM) possono generare le cronologie delle transazioni e la corrispondenza coerenti che in precedenza richiedevano uno sforzo manuale su decine di profili falsi.

Perché la frode basata su identità sintetica è così difficile da rilevare?

La maggior parte dei sistemi di rilevamento delle frodi è concepita per intercettare qualcuno che si spaccia per una persona reale e identificabile, ma con le frodi basate su identità sintetica non esiste una persona reale con cui fare il confronto. La pratica di credito di un'identità sintetica sembra legittima perché è stata costruita nello stesso modo di una reale: tramite pagamenti puntuali e l'aumento graduale dei limiti. Ecco perché non risulterà fraudolenta a una normale interrogazione del credito.

Le regole di verifica dell'identità basate sulla corrispondenza dei documenti presentano punti ciechi simili. Qualcuno può inviare una patente di guida con un nome falso che corrisponde all'indirizzo in archivio e il controllo del numero di identificazione risulterà valido perché il numero stesso è reale, ma solo attribuito alla persona sbagliata. Quella richiesta supererà tutti i controlli in un sistema basato su regole. La frode diventa evidente solo al momento del bust-out e a quel punto la perdita si è già verificata.

In qualsiasi momento, i team antifrode esaminano spesso un piccolo numero di account sospetti sparsi in una base di clienti molto più ampia. Poiché per creare un'unica identità sintetica occorrono mesi, i team dovrebbero esaminare gli account nel corso del tempo per individuare uno schema, anziché concentrarsi su una singola transazione o su un singolo account.

Quali attività sono più a rischio di frode da identità sintetica?

La frode da identità sintetica tende a concentrarsi laddove si incrociano incentivi per nuovi account, estensione del credito e clienti con una storia creditizia limitata.

Alcune categorie comportano un'esposizione elevata:

• Fornitori di pagamenti a rate: queste attività spesso concedono credito a persone al primo prestito con una storia creditizia limitata, il che rende più difficile distinguere un nuovo cliente legittimo da uno sintetico.

• Piattaforme in abbonamento con prove gratuite o bonus referral: esiste un incentivo finanziario per creare nuovi account, ma la verifica dell'identità durante la registrazione all'abbonamento è spesso più superficiale rispetto a quella richiesta da una banca.

• Marketplace con bonus di attivazione: una singola rete criminale può creare decine di account per richiedere crediti di registrazione o premi referral prima che un singolo account attiri l'attenzione.

• Emittenti di carte e istituti di credito al consumo: quelli in competizione per il volume di nuovi account con tempi di approvazione rapidi sono particolarmente esposti, poiché una valutazione del rischio più rapida di solito significa meno tempo per verificare l'identità.

• Attività che servono popolazioni più giovani o senza storia creditizia: i prodotti finanziari rivolti agli studenti rientrano in questo gruppo perché questi clienti hanno per natura una storia creditizia limitata che rende più difficile distinguere tra un vero nuovo mutuatario e uno sintetico.

Come fanno le aziende a prevenire le frodi basate su identità sintetica?

Per prevenire le frodi basate su identità sintetica, inizia analizzando la tua effettiva esposizione. Se la maggior parte dei nuovi account proviene da clienti con una solida storia creditizia, il tuo profilo di rischio è diverso rispetto a quello che avresti con chi richiede un prestito per la prima volta o con incentivi alla registrazione che attirano maggiori tentativi di frode. Mappa le perdite per frode in base all'anzianità dell'account, poiché le perdite per identità sintetica si concentrano su account aperti da mesi o anni. Se i tuoi dati relativi a storni e insolvenze non sono segmentati in questo modo, è difficile stabilire quale parte delle tue perdite sia effettivamente dovuta a identità sintetica e quale ad altro.

Da lì, verifica se la tua attuale procedura di verifica è puntuale o continua. Un singolo controllo dell'identità al momento della registrazione non rileva i cambiamenti comportamentali che si manifestano durante la fase di costruzione del credito, come un'improvvisa variazione nei modelli di transazione poco prima di un bust-out. Stripe Radar risolve il problema valutando i segnali di rischio durante l'intero ciclo di vita del cliente, non solo alla creazione dell'account. Sfrutta i modelli osservati nella rete di aziende di Stripe per segnalare comportamenti che sembrano incoerenti con la normale evoluzione di un account legittimo.

Qualsiasi strumento tu usi, pianifica una cadenza di test. I gruppi criminali che organizzano le frodi cambiano tattiche, il che significa che un sistema di rilevamento, come uno specifico schema dell'impronta digitale del dispositivo o una particolare sequenza di comportamenti dell'account, che funziona bene questo trimestre potrebbe perdere efficacia il prossimo se nessuno lo rivaluta rispetto a nuovi dati.

Quali sono i vincoli e i limiti della prevenzione delle frodi basate su identità sintetica?

I modelli di machine learning hanno bisogno di esempi storici di frodi sintetiche confermate per l'addestramento. Poiché questo tipo di frode spesso non viene scoperto fino al bust-out, mesi o anni dopo l'apertura dell'account, i dati etichettati disponibili per l'addestramento sono inevitabilmente ritardati e incompleti.

Esiste anche un compromesso tra la capacità di rilevamento e l'esperienza di registrazione. Richiedere passaggi aggiuntivi, come un selfie da confrontare con un documento d'identità ufficiale o la verifica video in tempo reale, rileva un maggior numero di identità sintetiche, ma aggiunge complicazioni che potrebbero spingere i clienti legittimi ad abbandonare la procedura a metà. Monitora il tasso di falsi positivi insieme al tasso di intercettazione. Può essere costoso se i clienti legittimi vengono rifiutati o spinti a eseguire passaggi di verifica non necessari. Le aziende devono decidere fino a che punto accettare questo compromesso.

Anche la condivisione dei dati tra istituti è utile. Un'identità sintetica che sembra affidabile presso un'azienda potrebbe mostrare schemi sospetti in molte altre. Tuttavia, la condivisione è limitata dalle normative sulla privacy e dal fatto che i concorrenti non sempre vogliono scambiarsi i segnali di frode. I modelli di dati basati su consorzi risolvono questo problema; ciononostante, la copertura varia in base al settore e un'azienda in un settore meno coperto non ottiene lo stesso vantaggio di una attiva nel settore bancario o nell'emissione di carte.

In che modo Stripe Radar può esserti utile

Stripe Radar è in grado di prevenire le frodi sfruttando modelli di intelligenza artificiale addestrati con i dati della rete globale di Stripe. Questi modelli vengono costantemente aggiornati in base alle ultime tendenze, proteggendo continuamente la tua attività da sistemi di frode in continua evoluzione.

Con Radar puoi:

• Prevenire le perdite causate da frodi: con più di 1.000 miliardi di dollari elaborati annualmente, Radar è in grado di rilevare e prevenire le frodi con estrema precisione, facendoti risparmiare denaro.

• Unificare la protezione contro i continui attacchi informatici legati alle frodi: Radar riunisce in un'unica soluzione la protezione contro le frodi relative alle transazioni, le frodi sugli account e gli abusi da parte dei clienti, in modo da ottenere una protezione unificata per i principali tipi di frode.

• Adattarsi all'evoluzione delle frodi: Radar si adatta costantemente all'evoluzione dei modelli di frode, dagli abusi di prime parti alle transazioni degli agenti, aiutando a proteggere la tua attività dalle minacce emergenti.

• Collaborare con il tuo stack tecnologico esistente: utilizza Radar con i pagamenti Stripe senza alcuna integrazione richiesta oppure accedi all'intelligenza di Radar tramite API programmabili, indipendentemente dal fatto che tu elabori o meno pagamenti su Stripe.

Scopri di più su Stripe Radar, oppure inizia oggi stesso.

Domande frequenti sulle frodi basate su identità sintetica