A fraude de identidade sintética combina um número de identificação real com detalhes pessoais fabricados para criar uma identidade que não pertence a ninguém. Ao contrário da fraude de roubo de identidade, não há uma vítima monitorando a conta em busca de atividades suspeitas, e é por isso que pode levar meses ou anos para ser detectada. A identidade fabricada geralmente se parece com a de um cliente normal e com bom crédito.

Globalmente, a fraude de identidade sintética custa às empresas cerca de US$ 20 bilhões a US$ 40 bilhões anualmente, e espera-se que os incidentes de fraude continuem crescendo.

Abaixo, abordaremos como o ciclo de vida da fraude funciona, como evitar a fraude de identidade sintética e por que as ferramentas padrão de detecção de fraudes podem não detectá-la.

Principais conclusões

• A fraude de identidade sintética combina um número de identificação real com um nome e endereço fabricados, de modo que não há nenhuma vítima real para sinalizar atividades suspeitas.

• A fraude normalmente se desenrola ao longo de meses ou anos por meio de uma fase de construção de crédito antes de terminar em um golpe que esgota o crédito disponível.

• As empresas que oferecem onboarding rápido, incentivos de inscrição ou crédito a clientes com arquivo fino enfrentam a maior exposição a esse tipo de fraude.

O que é a fraude de identidade sintética

A fraude de identidade sintética acontece quando alguém combina um dado pessoal real, geralmente um número de identificação, como um SSN (Social Security number, número de seguro social), com detalhes fabricados, como um nome, data de nascimento ou endereço inventados. Isso cria uma identidade de cliente que não corresponde a uma pessoa real.

Como funciona a fraude de identidade sintética

O ciclo de vida da fraude de identidade sintética se desenrola em estágios.

Veja como isso costuma acontecer:

Criação de identidade

O fraudador combina um número de identificação real com um nome, data de nascimento e endereço de correspondência fabricados e, em seguida, solicita um produto de crédito de baixo valor, como um cartão garantido ou cartão de loja com avaliação de risco flexível. Até mesmo uma inscrição negada ajuda, pois vincula o número de identificação e o nome falso em um arquivo de agência de crédito, criando o que o setor chama de número de perfil de crédito.

Construção de crédito

Quando esse arquivo fino existe, a identidade se comporta como a de um tomador de empréstimo real. Isso pode durar meses ou, mais frequentemente, anos. O usuário fraudulento pode usar o arquivo para se tornar um usuário autorizado na conta de outra pessoa para herdar seu histórico de pagamento, fazer pequenas compras e pagá-las em dia, e depois solicitar gradualmente mais crédito à medida que o arquivo aumenta. Essas são táticas comuns na fraude de identidade sintética.

Coordenação de quadrilha

Algumas operações gerenciam dezenas de identidades sintéticas de uma só vez, cruzando-as como usuários autorizados nas contas uns dos outros para acelerar a construção. Isso transforma um processo individual lento em algo mais parecido com uma linha de montagem.

O golpe

Depois que uma identidade acumula crédito suficiente, seu manipulador esgota todas as linhas disponíveis, incluindo cartões de crédito, empréstimos pessoais e saldos de BNPL (Buy now, pay later, compre agora e pague depois) em um curto espaço de tempo, às vezes apenas dias, e depois desaparece.

Exploração de incentivos

Em plataformas com bônus de inscrição ou recompensas por indicação, o golpe parece diferente. A identidade pode resgatar recompensas ou explorar um crédito promocional antes de ficar inativa, em vez de esgotar uma linha de crédito.

As ferramentas de IA mudaram a economia da fraude de identidade sintética. Em apenas alguns minutos, modelos generativos podem produzir um documento de identidade fabricado convincente com uma foto. LLMs (Large language models, grandes modelos de linguagem) podem gerar o histórico de transação e a correspondência consistentes que antes exigiam esforço manual em dezenas de perfis falsos.

Por que a fraude de identidade sintética é tão difícil de detectar

A maioria dos sistemas de detecção de fraudes é criada para flagrar alguém se passando por uma pessoa real e identificável, mas, com a fraude de identidade sintética, não há uma pessoa real para comparar. O arquivo de crédito de uma identidade sintética parece legítimo porque foi construído da mesma forma que um verdadeiro seria: por meio de pagamentos em dia e do aumento gradual de limites. É por isso que ela não aparecerá como fraudulenta em uma consulta de crédito padrão.

As regras de verificação de identidade baseadas na correspondência de documentos têm pontos cegos semelhantes. Alguém pode enviar uma carteira de motorista com um nome fabricado que corresponda ao endereço registrado, e a verificação do número de identificação retornará como válida porque o próprio número é real, apenas atribuído incorretamente. Essa inscrição passará por todas as verificações em um sistema baseado em regras. A fraude só se torna evidente no golpe e, até lá, a perda já ocorreu.

As equipes de fraude costumam analisar um pequeno número de contas suspeitas espalhadas por uma base de clientes muito maior em um determinado momento. Como a construção de uma única identidade sintética leva meses, as equipes devem analisar as contas ao longo do tempo para identificar um padrão, em vez de se concentrarem em uma única transação ou conta.

Quais empresas correm mais risco de fraude de identidade sintética?

A fraude de identidade sintética tende a se concentrar onde há intersecção entre incentivos para novas contas, extensão de crédito e clientes com histórico de crédito limitado.

Algumas categorias apresentam alta exposição:

• Provedores de BNPL (Buy Now, Pay Later, compre agora e pague depois): Estas empresas costumam conceder crédito a novos tomadores de empréstimo com histórico de crédito limitado, o que torna mais difícil distinguir um novo cliente legítimo de um sintético.

• Plataformas de assinatura com teste gratuito ou bônus de indicação: Há incentivo financeiro para criar novas contas, mas a verificação de identidade durante a inscrição da assinatura costuma ser menos rigorosa do que a exigida por um banco.

• Marketplaces com bônus de onboarding: Uma única quadrilha pode criar dezenas de contas para resgatar créditos de cadastro ou recompensas de indicação antes que qualquer uma dessas contas chame a atenção.

• Emissores de cartão e provedores de crédito ao consumidor: Aqueles que competem pelo volume de novas contas com tempos de aprovação rápidos estão especialmente expostos, já que uma avaliação de risco mais rápida geralmente significa menos tempo para verificar a identidade.

• Empresas que atendem a populações mais jovens ou sem histórico de crédito: Produtos financeiros voltados para estudantes se enquadram neste grupo porque esses clientes naturalmente têm pouco histórico de crédito, o que dificulta distinguir entre um novo tomador de empréstimo real e um sintético.

Como as empresas evitam a fraude de identidade sintética

Para evitar a fraude de identidade sintética, comece onde sua exposição realmente está. Se a maioria de suas novas contas vem de clientes com histórico de crédito estabelecido, você tem um perfil de risco diferente do que teria com tomadores de empréstimo de primeira viagem ou ao oferecer incentivos de inscrição que atraem mais tentativas de fraude. Mapeie as perdas por fraude de acordo com a antiguidade da conta, já que as perdas por identidade sintética se concentram em contas com meses ou anos. Quando seus dados de inadimplência e de estorno não são segmentados dessa forma, fica difícil saber quanto da sua perda é realmente sintética ou se trata de outra coisa.

A partir daí, verifique se a sua verificação atual é pontual ou contínua. Uma verificação de identidade única no momento da inscrição não detecta o desvio comportamental que aparece durante a fase de construção de crédito, como uma mudança repentina nos padrões de transação logo antes de um golpe. O Stripe Radar resolve isso avaliando os sinais de risco em todo o ciclo de vida do cliente, em vez de apenas na criação da conta. Ele utiliza padrões observados na rede de empresas da Stripe para sinalizar comportamentos que parecem inconsistentes com a forma como uma conta legítima costuma amadurecer.

Seja quais forem as ferramentas que você usa, planeje uma cadência de testes. As quadrilhas de fraude mudam de tática, o que significa que uma configuração de detecção, como um padrão específico de identificação de dispositivo ou uma sequência particular de comportamentos de conta, que funciona bem neste trimestre pode perder a eficácia no próximo se ninguém a reavaliar com novos dados.

Quais são as restrições e limitações da prevenção a fraudes de identidade sintética

Os modelos de machine learning precisam de exemplos históricos de fraudes sintéticas confirmadas para treinamento. Como esse tipo de fraude muitas vezes não é descoberto até o golpe, meses ou anos após a abertura da conta, os dados rotulados disponíveis para treinamento são inerentemente atrasados e incompletos.

Há também um compromisso entre a força da detecção e a experiência de inscrição. Exigir etapas extras, como uma correspondência de selfie com um documento de identidade oficial ou verificação por vídeo ao vivo, detecta mais identidades sintéticas, mas adiciona complicações que podem fazer com que os clientes legítimos abandonem o processo no meio. Acompanhe sua taxa de falsos positivos junto com sua taxa de detecção. Pode custar caro se clientes legítimos forem recusados ou forçados a passar por etapas de verificação desnecessárias. As empresas precisam decidir o quanto desse compromisso estão dispostas a aceitar.

O compartilhamento de dados entre instituições também ajuda. Uma identidade sintética que parece limpa em uma empresa pode mostrar padrões suspeitos em muitas outras. No entanto, o compartilhamento é limitado pelos regulamentos de privacidade e pelo fato de que os concorrentes nem sempre querem trocar sinais de fraude. Os modelos de dados de consórcio resolvem isso. No entanto, a cobertura varia por setor, e uma empresa em um setor com menos cobertura não tem o mesmo benefício de uma empresa do ramo bancário ou de emissão de cartão.

Como o Stripe Radar pode ajudar

O Stripe Radar ajuda a detectar fraudes e impulsionar o crescimento, usando IA treinada com dados da rede global da Stripe. O Radar ajuda a proteger sua empresa contra fraudes durante todo o ciclo de vida do cliente antes que isso afete seus resultados financeiros, além de ajudar a aprovar mais clientes e pagamentos legítimos.

O Radar pode ajudar sua empresa a:

• Evite perdas por fraude: a IA do Radar aprende com mais de US$ 1,9 trilhão em transações anuais na rede global da Stripe, ajudando a identificar e bloquear padrões de fraude que empresas individuais podem não detectar sozinhas.

• Unifique a proteção contra ataques de fraude em evolução: o Radar reúne a proteção contra fraude de transação, fraude de conta e abuso de cliente em uma única solução, para que você tenha uma proteção unificada contra os principais tipos de fraude.

• Adapte-se à medida que a fraude evolui: o Radar se adapta continuamente às mudanças nos padrões de fraude, da fraude de primeira parte às transações baseadas em agentes, ajudando a proteger sua empresa contra ameaças emergentes.

• Trabalhe com sua pilha de tecnologia existente: use o Radar com os pagamentos da Stripe sem necessidade de integração ou acesse a inteligência do Radar por meio de APIs programáveis, quer você processe pagamentos na Stripe ou não.

Saiba mais sobre o Stripe Radar, ou comece hoje mesmo.

Perguntas frequentes sobre a fraude de identidade sintética