Le client que vous venez d'approuver n'existe pas. Comment les identités synthétiques passent le contrôle d'identité et comment les détecter.

Imaginez un nouveau client. Son numéro d'identification est valide : il figure dans la base de données nationale et comporte le bon nombre de chiffres. Le nom indiqué sur la demande est proche de celui enregistré, mais pas identique. Sa date de naissance est erronée d'un an. Le selfie représente une personne réelle.

Chaque vérification, prise individuellement, indique une confirmation. Le numéro est valide. La vérification de présence a permis d'identifier une personne. Le numéro de téléphone reçoit un code. Personne ne se demande si le numéro, le nom, la date de naissance et le visage correspondent bien à une seule et même personne.

Non. Ce numéro appartient à une personne qui ne vous connaît pas. Le reste est fictif ou emprunté. Le client enregistré est une personne imaginaire à laquelle vous venez de créer un compte, d'attribuer une limite et de vous attribuer un badge de vérification.

Il s'agit d'une fraude à l'identité synthétique.

Qu'est-ce qu'une identité synthétique ?

La Réserve fédérale américaine a réuni des experts du secteur afin de convenir d'une définition, qu'elle a publiée en 2021 : la fraude à l'identité synthétique consiste à utiliser une combinaison d'informations personnelles identifiables pour créer de toutes pièces l'identité d'une personne ou d'une entité et commettre un acte malhonnête à des fins personnelles ou financières (s’ouvre dans un nouvel onglet) . Cette définition constitue une recommandation à titre indicatif pour le secteur et n'entraîne aucune obligation légale.

Cette même page distingue deux types d'informations. Les éléments principaux, tels qu'un nom, une date de naissance et un numéro d'identification officiel, sont généralement uniques à une personne. Les éléments complémentaires, tels qu'une adresse, un numéro de téléphone ou une adresse électronique, peuvent étayer une identité, mais ne suffisent pas à eux seuls à l'établir.

Cette distinction résume tout le problème. Un fraudeur a besoin d'un élément principal authentique, généralement le numéro d'identification, et peut inventer ou remplacer le reste.

Ce que cela vous coûte

La Réserve fédérale américaine décrit la fraude à l'identité synthétique comme le type de criminalité financière qui connaît la croissance la plus rapide aux États-Unis (s’ouvre dans un nouvel onglet) . Nous n'avons trouvé aucune mesure publiée équivalente pour les marchés africains et nous n'en citerons donc aucune. L'impact de cette perte est néanmoins le même.

• Il n'y a personne à poursuivre. Lorsqu'un prêt accordé sous une identité usurpée tourne mal, une véritable victime porte plainte et la fraude est découverte. En revanche, lorsqu'un prêt accordé à une personne fictive tourne mal, cela ressemble à un simple défaut de paiement. Il est comptabilisé comme une perte sur créances, et la même méthode est réutilisée.

• Votre dossier semble en règle. Il comporte un numéro d'identification valide et une photo réelle. Un examinateur n'a aucune raison de l'ouvrir tant que les pertes ne sont pas mises en cause.

• Le procédé est facilement adaptable. Une seule personne disposant d'une liste de véritables numéros d'identification peut ouvrir de nombreux comptes. La Réserve fédérale américaine indique dans ses guides que le même code frauduleux peut être utilisé pour escroquer simultanément plusieurs secteurs d'activité (s’ouvre dans un nouvel onglet) .

Pourquoi les contrôles uniques réussissent-ils ?

Les directives de la Réserve fédérale en matière de détection sont sans équivoque : les identités synthétiques passent souvent la première vérification d’identité, et généralement aucun indicateur isolé ne permet de les identifier (s’ouvre dans un nouvel onglet) . Chaque contrôle courant répond à une question plus précise qu’il n’y paraît.

• « Ce numéro d'identification est-il valide ? » Oui. C'est un vrai numéro. La question ne portait pas sur le propriétaire.

• Ce document est-il authentique ? Il peut l’être, ou il peut s’agir d’une falsification. Un document lu sans contexte ne peut être comparé qu’à lui-même.

• « Y a-t-il une personne présente ? » Oui. La présence d'une personne prouve qu'elle est là. Cela ne prouve pas pour autant qu'il s'agit de la personne à qui appartient le numéro.

• « Ce numéro de téléphone ou cette adresse e-mail fonctionnent-ils ? » Oui. Ce sont des éléments complémentaires, et c'est la partie la moins coûteuse à créer d'une identité.

Les normes d'identité décrivent précisément cet écart. Les États-Unis NIST Les directives relatives à l'identité numérique divisent la vérification en trois étapes : résolution, validation et vérification (s’ouvre dans un nouvel onglet) . Il s'agit de recueillir les informations, de confirmer leur exactitude auprès d'une source crédible et de vérifier que le demandeur en est bien le propriétaire légitime. Une identité synthétique peut subsister si les étapes 2 et 3 sont omises ou réalisées à partir de sources différentes qui ne sont jamais comparées.

Les combinaisons qui le révèlent

Ces contrôles utiles permettent de s'assurer que chaque détail concorde avec un document de référence unique.

• Vérifiez le numéro auprès de la source. Cela confirmera son existence et vous fournira les informations que le gouvernement détient à son sujet.

• Le nom et la date de naissance doivent être comparés aux informations figurant dans le registre. Un numéro réel associé à un nom erroné est l'exemple typique d'une identité synthétique.

• Comparer le visage réel à la photo officielle. C'est le contrôle le plus difficile à déceler pour un usurpateur d'identité. Il peut saisir n'importe quel nom, mais il ne peut pas modifier la photo détenue par l'État.

• La présence d'un même visage ou appareil sur plusieurs comptes. La Réserve fédérale considère la similitude des informations client sur différents comptes (s’ouvre dans un nouvel onglet) comme le principal indicateur. Un même visage associé à cinq noms, ou cinq numéros d'identification provenant d'un même téléphone, constitue un schéma qu'aucune application ne révèle.

Notre guide comparant les vérifications de documents et les vérifications dans les bases de données gouvernementales aborde les trois premiers points plus en détail, et la recherche de comptes en double traite du quatrième.

Quoi Toden fait

• Vérifie le numéro à la source. Au Nigéria, au Ghana, au Kenya, en Afrique du Sud et en Côte d'Ivoire, Toden valide l'identité par rapport à la base de données gouvernementale. Cela inclut les identifiants numériques tels que le BVN et NIN .

• Compare les informations que vous détenez. Transmettez le nom et la date de naissance que vous avez recueillis et Toden compare les données avec l'enregistrement. Par défaut, une non-concordance entraîne l'échec de la vérification. Vous pouvez choisir de l'enregistrer et de l'envoyer pour vérification, en utilisantverification.nameMatchetverification.dateOfBirthMatchdans une règle de décision.

• Compare le selfie pris en direct à la photo la plus fiable. Il s'agit de la photo officielle ou de la photo vérifiée sur la puce du passeport. Le résultat indique laquelle a été utilisée.facialMatchSource, de sorte qu'une comparaison avec une photo imprimée ne doit jamais être confondue avec une comparaison avec le disque.

• Indique le niveau de réussite de la vérification. Chaque vérification réussie comporte un niveau d'assurance :chip,gov_dboudocumentVous pouvez approuver les deux premiers et examiner le troisième.

• Vérifie plusieurs identifiants lors d'une même exécution. Un flux de travail peut demander deux ou trois identifiants, par exemple un NIN et un BVN Une seule photo les recouvre toutes. Un personnage fictif doit désormais se conformer à deux records.

• Effectue une recherche sur vos comptes. La recherche faciale permet de trouver une personne possédant déjà un compte chez vous. L'analyse de l'appareil, activée par défaut, signale les autres numéros d'identification et les autres personnes vues sur le même appareil ; vos règles déterminent s'il convient de les examiner ou de les refuser.

Ce qu'il ne fait pas

• En dehors de ces cinq marchés, aucune vérification dans une base de données gouvernementale n'est effectuée. La vérification repose alors sur le document et sur la puce lors de la lecture d'un passeport. NFC , qui nécessite React Native ou Flutter SDK Un chiffre réel avec des détails inventés est plus difficile à appréhender sans un enregistrement de référence.

• La comparaison des noms et dates de naissance nécessite des informations détaillées. Si votre intégration ne fournit aucune donnée, il n'y a rien à comparer.

• La recherche faciale et la localisation des appareils concernent vos propres clients et votre propre trafic. Elles ne vous informeront pas de l'existence d'un compte auprès d'un autre établissement.

• Une identité complète et authentique, fournie par son véritable propriétaire, n'est pas synthétique et passera ces contrôles sans problème. Il s'agit d'un problème lié aux mules, qui nécessite un suivi après leur intégration.

• Aucun système de contrôle ne permet d'éliminer cette fraude. Ils augmentent le coût de la fabrication d'un faux profil.

Questions à poser à un prestataire

• Dans quels pays vérifie-t-on le numéro d'identification par rapport aux registres gouvernementaux, et dans quels pays se contente-t-on de lire le document ?

• Pouvez-vous comparer le nom et la date de naissance avec cet enregistrement, et puis-je voir quel champ présente une divergence ?

• À quelle photo le selfie a-t-il été comparé : à l’enregistrement, à la puce ou au document imprimé ? Le résultat l’indique-t-il ?

• Pouvez-vous me montrer le même visage ou le même appareil chez tous mes clients actuels ?

• Lorsqu'une vérification n'a pas pu être effectuée, l'indiquez-vous ou renvoyez-vous un résultat positif ?

Cet article fournit des indications générales et ne constitue pas un avis juridique. Les exigences de votre organisme de réglementation en matière d'identification des clients dépendent de votre licence et de votre pays. Les sources citées ici sont des directives américaines, utilisées pour illustrer les principes généraux.

Vous voulez voir si les vérifications concordent ou non avec votre propre flux ? Ouvrez un Toden espace de travail (s’ouvre dans un nouvel onglet) ou voir KYC Couverture par pays .