Identidad sintética

Qué es una identidad sintética

Una identidad sintética es una identidad construida que no corresponde a ninguna persona real. Se arma combinando datos: algunos verdaderos y pertenecientes a personas distintas, algunos inventados, todos coherentes entre sí.

No es un documento falso ni el uso del documento de otra persona. Es un expediente nuevo que ninguna base tenía antes y que, revisado campo por campo, no tiene nada mal.

Ahí está lo que la diferencia de todo lo demás. En una suplantación de identidad hay una persona real cuyos datos fueron usados. En un account takeover hay un titular que pierde su cuenta. En una identidad sintética no hay nadie del otro lado. Nunca lo hubo.

La clave está en la coherencia: no se trata de un dato falso dentro de un expediente correcto, sino de un expediente entero que resiste las comprobaciones habituales porque fue armado para resistirlas.

No hay víctima que reclame, y por eso se descubre tarde

La mayoría de los fraudes de identidad se detectan porque alguien avisa. La persona suplantada recibe una notificación que no entiende, el titular de una cuenta ve un movimiento que no hizo, y ese aviso es la señal que arranca la investigación.

Una identidad sintética no genera esa señal. El expediente paga sus cuotas, actualiza sus datos y se comporta mejor que el promedio de la cartera, porque el fraude requiere que se comporte bien. No hay una persona esperando un aviso ni un reclamo que abrir.

La consecuencia es que la organización aprende del caso al final y de la peor manera. El expediente deja de pagar de un día para el otro y no responde a ningún contacto. Ese momento se llama bust-out.

Y hay un efecto que agrava el problema: cuando llega el bust-out, el caso se parece a un incumplimiento. Un cliente con historial que dejó de pagar es la definición de mora. Salvo que alguien lo mire con criterio de fraude, la pérdida se clasifica como riesgo de crédito, se provisiona como mora y nunca llega al equipo de fraude. La identidad sintética que funcionó no aparece en ninguna estadística de fraude, porque quedó registrada como otra cosa.

De ahí sale la consecuencia operativa: la suplantación se detecta desde afuera, cuando el titular real avisa. La sintética solo se detecta desde adentro, cuando la organización busca patrones sin que nadie le haya avisado que hay algo que buscar. Es la razón por la que suele convivir mucho más tiempo con la cartera y por la que a menudo se la clasifica como incobrable antes que como fraude.

Cómo corre el ataque, paso a paso

Es el fraude más lento del conjunto. Su ciclo se mide en meses, y esa paciencia es exactamente lo que lo vuelve rentable.

1. Construir la identidad. Combinación de fragmentos: un número de documento poco usado o que no tiene historial asociado, un nombre inventado, una fecha de nacimiento que no corresponde, un domicilio real de un inmueble sin relación. El objetivo no es imitar a nadie, es armar algo consistente.
2. Darle una huella. Un número telefónico, un correo, una dirección que reciba correspondencia, presencia mínima en línea. Cada elemento que la identidad acumula la vuelve más creíble para la comprobación siguiente.
3. Entrar por el producto más accesible. Una cuenta sin línea de crédito, una billetera, un servicio de suscripción, un producto de bajo riesgo. El primer alta casi nunca es el objetivo: es la que produce el primer registro verificable.
4. Construir historial. Meses de uso normal y pagos puntuales. Cada mes de buen comportamiento mejora la calificación de la identidad y habilita el producto siguiente.
5. Escalar el crédito. Ampliación de límites, nuevos productos, altas en otras entidades usando el historial ya construido. Con frecuencia la misma identidad opera en varias instituciones a la vez, y ninguna ve el conjunto.
6. Bust-out. Uso simultáneo de todo el crédito disponible en todas las entidades y desaparición. No hay contacto posterior, no hay domicilio, no hay persona.
7. La pérdida se clasifica mal. Sin un análisis específico, el expediente entra en el proceso de cobranza y termina provisionado como incobrable.

El paso 4 es el que casi ningún control mira, porque su forma es indistinguible de un buen cliente. Y el paso 7 es el que impide aprender del caso.

Dónde aparece en un recorrido de identidad

• Alta de cuenta — el momento propio de este fraude. Toda identidad sintética entra por el alta, porque ahí es donde se la construye.
• Comprobaciones documentales y contra listas — el expediente pasa, porque los datos son consistentes y no hay antecedente que contrastar.
• Comportamiento posterior — la identidad opera con normalidad y construye historial, que es lo que la vuelve creíble frente a los controles siguientes.

Un KYC bien ejecutado comprueba que el expediente es consistente. La identidad sintética está diseñada para que lo sea.

La validación documental no la detecta, y el motivo es estructural

Un control de alta pregunta si los datos son válidos y si el documento es auténtico. Una identidad sintética está diseñada para que esas dos respuestas den bien: los datos son coherentes, el formato es correcto y el documento, cuando existe, se construye sobre una plantilla real.

La pregunta que ningún control de coherencia hace es si detrás de esos datos hay una persona. Y esa pregunta no se responde mirando el expediente, porque el expediente es impecable. Se responde comparándolo con los demás.

De ahí sale el cambio de enfoque que define la defensa contra este fraude. La comprobación que sirve no es "este dato es válido", sino "este rostro ya está registrado en esta base bajo otra identidad".

A quién afecta y qué cuesta

El daño se concentra donde hay crédito, y aparece con retraso.

• Servicios financieros y crédito al consumo — el caso central. La pérdida es el crédito otorgado y su costo real es mayor que el nominal, porque estuvo mal provisionado durante meses.
• Telecomunicaciones y equipamiento en cuotas — altas de líneas con financiación de equipos, que combinan producto físico y crédito.
• Comercio con financiación en el punto de venta — ciclos más cortos y control más liviano, lo que los vuelve un buen primer escalón para el paso 3.
• Apuestas y gaming — menos por el crédito y más por evadir los límites por persona y los requisitos de verificación de edad e identidad.
• Gobierno — acceso a beneficios y subsidios en nombre de personas que no existen, con el agravante de que el proceso de conciliación suele ser anual.

El costo que no se contabiliza es el de la ceguera. Mientras las pérdidas se registren como mora, el modelo de riesgo se recalibra con datos contaminados y la organización termina ajustando su política de crédito para un problema que no tiene.

Qué controles la detienen

La defensa se reparte entre el origen, el contexto y la cartera. Los tres tramos importan y ningún proveedor cubre los tres.

En el origen, en el momento del alta.

• Deduplicación biométrica — comparación del rostro del solicitante contra los rostros ya registrados en la base, para detectar la misma cara operando bajo identidades distintas. Es el control que ataca el fraude de raíz, porque no pregunta si los datos son válidos sino si esa persona ya está. Un operador de identidades sintéticas trabaja a escala y reutiliza rostros: ahí es donde se lo ve.
• Prueba de vida — obliga a que haya un rostro real presente en el momento de la captura, que es la condición previa para que la deduplicación tenga con qué comparar. Sin ella, el rostro puede ser sintético y la comparación pierde sentido.
• Detección de ataques de inyección — identifica cámaras virtuales y sustitución del flujo de video. Es un control distinto de la prueba de vida, no una variante.
• Consulta a la fuente emisora del documento — cotejar el número contra el registro del organismo que lo emitió. Detecta números inexistentes, de personas fallecidas o que no corresponden a los datos declarados. Su disponibilidad varía por país y por integración.

En el contexto, alrededor del alta.

• Contraste con burós de crédito y expedientes delgados — una identidad sin historial no es sospechosa por sí sola, y un historial que aparece de la nada en un adulto sí lo es. Lo proveen burós, no proveedores de identidad.
• Análisis de vínculos entre expedientes — domicilios, teléfonos y correos compartidos entre solicitantes sin relación aparente. Es la contraparte no biométrica de la deduplicación y suele resolverse con analítica interna o con herramientas de análisis de grafos.
• Señales de dispositivo y velocidad de alta — el mismo equipo detrás de varias identidades, o una cadencia de solicitudes que ninguna persona produce.
• Intercambio de datos entre instituciones — consorcios o burós de fraude compartidos. Es lo único que ve el patrón que ninguna entidad ve sola, y depende del mercado y del marco regulatorio de cada país, no de un producto.

En la cartera, después.

• Revisión de la cartera vencida con criterio de fraude — reclasificar incumplimientos que comparten atributos: mismo dispositivo, mismo domicilio, misma cohorte de alta, ausencia total de contacto posterior. Es trabajo de analítica y de proceso, no de producto, y es lo que corrige el paso 7.
• Vigilancia de patrones de bust-out — consumo acelerado del límite disponible poco después de una ampliación, en varios productos a la vez.

Los burós, los consorcios de datos y la revisión de la cartera vencida no los provee un proveedor de verificación de identidad, y son la mitad de la defensa. Un equipo que planifique cubrir identidad sintética solo con controles de alta va a mejorar mucho su origen y no va a recuperar nada de lo que ya está en la cartera.

Cómo lo aborda VU

VU trabaja sobre el origen, que es donde el fraude puede cortarse antes de que empiece a construir historial.

Verifica aplica deduplicación biométrica sobre la base de identidades ya registradas: contrasta el rostro del nuevo solicitante contra los existentes para detectar la misma persona operando bajo identidades distintas. Es la comprobación que responde la pregunta que el expediente no responde.

En el mismo flujo corre la prueba de vida, que es lo que asegura que el rostro comparado pertenezca a alguien presente en el momento de la captura. Está certificada por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3. Es evidencia producida por un tercero acreditado, y su alcance son los ataques de presentación.

Donde existe integración con el organismo emisor, el documento se contrasta contra la fuente en lugar de contra su imagen, que es lo que detecta un número que no corresponde a los datos declarados.

Los burós, el intercambio entre instituciones y la revisión de la cartera vencida siguen viniendo de otro lado.