Identidade sintética

O que é uma identidade sintética

Uma identidade sintética é uma identidade construída que não corresponde a nenhuma pessoa real. É montada combinando dados: alguns verdadeiros e pertencentes a pessoas diferentes, alguns inventados, todos coerentes entre si.

Não é um documento falso nem o uso do documento de outra pessoa. É um dossiê novo que nenhuma base tinha antes e que, revisado campo por campo, não tem nada errado.

É isso que a diferencia de todo o resto. Em um roubo de identidade há uma pessoa real cujos dados foram usados. Em um account takeover há um titular que perde a conta. Em uma identidade sintética não há ninguém do outro lado. Nunca houve.

A chave está na coerência: não se trata de um dado falso dentro de um cadastro correto, mas de um cadastro inteiro que resiste às verificações habituais porque foi montado para resistir a elas.

Não há vítima que reclame, e por isso se descobre tarde

A maioria das fraudes de identidade é detectada porque alguém avisa. A pessoa cuja identidade foi usada recebe uma notificação que não entende, o titular de uma conta vê uma movimentação que não fez, e esse aviso é o sinal que inicia a investigação.

Uma identidade sintética não gera esse sinal. O dossiê paga suas parcelas, atualiza seus dados e se comporta melhor do que a média da carteira, porque a fraude exige que ele se comporte bem. Não há uma pessoa esperando um aviso nem uma reclamação a abrir.

A consequência é que a organização fica sabendo do caso no final e da pior maneira. O dossiê para de pagar de um dia para o outro e não responde a nenhum contato. Esse momento se chama bust-out.

E há um efeito que agrava o problema: quando o bust-out chega, o caso se parece com uma inadimplência. Um cliente com histórico que parou de pagar é a definição de inadimplência. A menos que alguém olhe com critério de fraude, a perda é classificada como risco de crédito, provisionada como inadimplência e nunca chega à equipe de fraude. A identidade sintética que funcionou não aparece em nenhuma estatística de fraude, porque ficou registrada como outra coisa.

Daí vem a consequência operacional: o roubo de identidade é detectado de fora, quando o titular real avisa. A sintética só é detectada de dentro, quando a organização busca padrões sem que ninguém tenha avisado que há algo a buscar. É por isso que costuma conviver muito mais tempo com a carteira, e por isso é frequentemente classificada como incobrável antes de ser classificada como fraude.

Como o ataque corre, passo a passo

É a fraude mais lenta do conjunto. Seu ciclo se mede em meses, e essa paciência é exatamente o que a torna rentável.

1. Construir a identidade. Combinação de fragmentos: um número de documento pouco usado ou sem histórico associado, um nome inventado, uma data de nascimento que não corresponde, um endereço real de um imóvel sem relação. O objetivo não é imitar ninguém, é montar algo consistente.
2. Dar a ela um rastro. Um número de telefone, um e-mail, um endereço que receba correspondência, presença mínima online. Cada elemento que a identidade acumula a torna mais crível para a verificação seguinte.
3. Entrar pelo produto mais acessível. Uma conta sem linha de crédito, uma carteira digital, um serviço de assinatura, um produto de baixo risco. O primeiro cadastro quase nunca é o objetivo: é o que produz o primeiro registro verificável.
4. Construir histórico. Meses de uso normal e pagamentos em dia. Cada mês de bom comportamento melhora a qualificação da identidade e habilita o produto seguinte.
5. Escalar o crédito. Ampliação de limites, novos produtos, cadastros em outras instituições usando o histórico já construído. Com frequência a mesma identidade opera em várias instituições ao mesmo tempo, e nenhuma vê o conjunto.
6. Bust-out. Uso simultâneo de todo o crédito disponível em todas as instituições e desaparecimento. Não há contato posterior, não há endereço, não há pessoa.
7. A perda é classificada errado. Sem uma análise específica, o dossiê entra no processo de cobrança e termina provisionado como incobrável.

O passo 4 é o que quase nenhum controle olha, porque sua forma é indistinguível da de um bom cliente. E o passo 7 é o que impede aprender com o caso.

Onde aparece em uma jornada de identidade

• Cadastro de conta — o momento próprio dessa fraude. Toda identidade sintética entra pelo cadastro, porque é ali que ela é construída.
• Verificações documentais e contra listas — o cadastro passa, porque os dados são consistentes e não há antecedente para contrastar.
• Comportamento posterior — a identidade opera normalmente e constrói histórico, o que a torna crível diante dos controles seguintes.

Um KYC bem executado comprova que o cadastro é consistente. A identidade sintética foi projetada exatamente para isso.

A validação documental não a detecta, e o motivo é estrutural

Um controle de cadastro pergunta se os dados são válidos e se o documento é autêntico. Uma identidade sintética é desenhada para que essas duas respostas saiam bem: os dados são coerentes, o formato está correto e o documento, quando existe, é construído sobre um modelo real.

A pergunta que nenhum controle de coerência faz é se por trás desses dados existe uma pessoa. E essa pergunta não se responde olhando o dossiê, porque o dossiê é impecável. Responde-se comparando-o com os demais.

Daí vem a mudança de enfoque que define a defesa contra essa fraude. A verificação que serve não é "esse dado é válido", e sim "esse rosto já está registrado nesta base sob outra identidade".

Quem afeta e quanto custa

O dano se concentra onde há crédito, e aparece com atraso.

• Serviços financeiros e crédito ao consumidor — o caso central. A perda é o crédito concedido e seu custo real é maior do que o nominal, porque ficou mal provisionado durante meses.
• Telecomunicações e aparelhos parcelados — ativação de linhas com financiamento de aparelhos, que combinam produto físico e crédito.
• Varejo com financiamento no ponto de venda — ciclos mais curtos e controle mais leve, o que os torna um bom primeiro degrau para o passo 3.
• Apostas e gaming — menos pelo crédito e mais para burlar os limites por pessoa e os requisitos de verificação de idade e identidade.
• Governo — acesso a benefícios e subsídios em nome de pessoas que não existem, com o agravante de que o processo de conciliação costuma ser anual.

O custo que não se contabiliza é o da cegueira. Enquanto as perdas forem registradas como inadimplência, o modelo de risco é recalibrado com dados contaminados e a organização acaba ajustando sua política de crédito para um problema que não tem.

Quais controles a detêm

A defesa se divide entre a origem, o contexto e a carteira. Os três trechos importam e nenhum provedor cobre os três.

Na origem, no momento do cadastro.

• Deduplicação biométrica — comparação do rosto do solicitante com os rostos já registrados na base, para detectar a mesma cara operando sob identidades diferentes. É o controle que ataca a fraude na raiz, porque não pergunta se os dados são válidos, e sim se essa pessoa já está lá. Um operador de identidades sintéticas trabalha em escala e reutiliza rostos: é ali que ele é visto.
• Prova de vida — obriga a que haja um rosto real presente no momento da captura, que é a condição prévia para a deduplicação ter com o que comparar. Sem ela, o rosto pode ser sintético e a comparação perde o sentido.
• Detecção de ataques de injeção — identifica câmeras virtuais e substituição do fluxo de vídeo. É um controle distinto da prova de vida, não uma variante.
• Consulta à fonte emissora do documento — cotejar o número com o registro do órgão que o emitiu. Detecta números inexistentes, de pessoas falecidas ou que não correspondem aos dados declarados. Sua disponibilidade varia por país e por integração.

No contexto, ao redor do cadastro.

• Contraste com bureaus de crédito e dossiês finos — uma identidade sem histórico não é suspeita por si só, e um histórico que surge do nada em um adulto é. Quem fornece isso são os bureaus, não os provedores de identidade.
• Análise de vínculos entre dossiês — endereços, telefones e e-mails compartilhados entre solicitantes sem relação aparente. É a contraparte não biométrica da deduplicação e costuma ser resolvida com analítica interna ou com ferramentas de análise de grafos.
• Sinais de dispositivo e velocidade de cadastro — o mesmo aparelho por trás de várias identidades, ou uma cadência de solicitações que nenhuma pessoa produz.
• Troca de dados entre instituições — consórcios ou bureaus de fraude compartilhados. É a única coisa que vê o padrão que nenhuma instituição vê sozinha, e depende do mercado e do marco regulatório de cada país, não de um produto.

Na carteira, depois.

• Revisão da carteira vencida com critério de fraude — reclassificar inadimplências que compartilham atributos: mesmo dispositivo, mesmo endereço, mesma coorte de cadastro, ausência total de contato posterior. É trabalho de analítica e de processo, não de produto, e é o que corrige o passo 7.
• Vigilância de padrões de bust-out — consumo acelerado do limite disponível pouco depois de uma ampliação, em vários produtos ao mesmo tempo.

Os bureaus, os consórcios de dados e a revisão da carteira vencida não são fornecidos por um provedor de verificação de identidade, e são metade da defesa. Uma equipe que planeje cobrir identidade sintética só com controles de cadastro vai melhorar muito sua origem e não vai recuperar nada do que já está na carteira.

Como a VU aborda

A VU trabalha sobre a origem, que é onde a fraude pode ser cortada antes de começar a construir histórico.

O Verifica aplica deduplicação biométrica sobre a base de identidades já registradas: contrasta o rosto do novo solicitante com os existentes para detectar a mesma pessoa operando sob identidades diferentes. É a verificação que responde à pergunta que o dossiê não responde.

No mesmo fluxo corre a prova de vida, que é o que garante que o rosto comparado pertença a alguém presente no momento da captura. É certificada pela iBeta no Nível 2 de seu programa de testes, que aplica a metodologia da norma ISO/IEC 30107-3. É evidência produzida por um terceiro credenciado, e seu alcance são os ataques de apresentação.

Onde existe integração com o órgão emissor, o documento é contrastado com a fonte em vez de com a sua imagem, que é o que detecta um número que não corresponde aos dados declarados.

Os bureaus, a troca entre instituições e a revisão da carteira vencida continuam vindo de outro lugar.