O cliente que você acabou de aprovar não existe. Como identidades sintéticas passam pela verificação KYC e como detectá-las.

Imagine um novo cliente. O número de identificação é real: existe no banco de dados nacional e tem a quantidade correta de dígitos. O nome no formulário de inscrição é semelhante ao nome registrado, mas não idêntico. A data de nascimento está errada por um ano. A selfie é de uma pessoa real.

Cada verificação, lida isoladamente, diz sim. O número é válido. A verificação de presença encontrou uma pessoa. O número de telefone recebe um código. Ninguém pergunta se o número, o nome, a data de nascimento e o rosto pertencem à mesma pessoa.

Não. O número pertence a alguém que nunca ouviu falar de você. O resto foi inventado ou copiado de outra pessoa. O cliente em seus registros é uma pessoa que não existe, e você acabou de criar uma conta, conceder um limite e um selo de verificação para essa pessoa.

Isso é fraude de identidade sintética.

O que é uma identidade sintética?

O Federal Reserve dos EUA reuniu especialistas do setor para chegar a uma definição, que foi publicada em 2021: fraude de identidade sintética é o uso de uma combinação de informações de identificação pessoal para fabricar uma pessoa ou entidade com o objetivo de cometer um ato desonesto para obter ganho pessoal ou financeiro (abre num novo separador) . A definição é uma orientação voluntária para o setor e não cria nenhuma obrigação legal.

A mesma página separa dois tipos de dados. Elementos primários, como nome, data de nascimento e documento de identidade emitido pelo governo, em conjunto, são geralmente únicos para uma pessoa. Elementos suplementares, como endereço, número de telefone ou endereço de e-mail, podem auxiliar na identificação, mas não a estabelecem por si só.

Essa distinção resume todo o problema em uma única frase. Um fraudador precisa de um elemento primário genuíno, geralmente o número de identificação, e pode inventar ou trocar o resto.

Quanto isso te custa?

O Federal Reserve descreve a fraude de identidade sintética como o tipo de crime financeiro que mais cresce nos Estados Unidos (abre num novo separador) . Não encontramos uma medida equivalente publicada para os mercados africanos, portanto, não a citaremos. A forma como o prejuízo se apresenta é a mesma.

• Não há ninguém para perseguir. Quando um empréstimo para uma identidade roubada dá errado, uma vítima real reclama e a fraude é descoberta. Quando um empréstimo para uma pessoa fictícia dá errado, parece uma inadimplência comum. É contabilizado como perda de crédito e o método é usado novamente.

• Seu arquivo parece limpo. O registro mostra um número de identificação válido e uma pessoa real. Um revisor não tem motivo para abri-lo até que as perdas apontem para ele.

• É escalável. Uma única pessoa com uma lista de números de identificação reais pode abrir várias contas. O guia do Federal Reserve observa que o mesmo documento sintético pode ser usado para fraudar vários setores simultaneamente (abre num novo separador) .

Por que cheques individuais são aprovados?

A orientação do Federal Reserve sobre detecção é direta: identidades sintéticas frequentemente passam pela verificação inicial de identidade e, normalmente, nenhum indicador isolado caracteriza uma identidade sintética (abre num novo separador) . Cada verificação comum responde a uma questão mais específica do que aparenta.

• "Este número de identificação é válido?" Sim. É um número real. A pergunta nunca foi de quem.

• "Este documento é autêntico?" Pode ser, ou pode ser uma boa edição. Um documento lido sem um registro que o sustente só pode ser comparado a si mesmo.

• "Há uma pessoa viva presente?" Sim. A presença de uma pessoa viva comprova que ela está lá. Não comprova que seja a pessoa a quem o número pertence.

• "Este telefone ou e-mail funciona?" Sim. Esses são elementos complementares e representam a parte mais barata de se criar uma identidade visual.

Os padrões de identidade descrevem a lacuna com precisão. Os EUA NIST As diretrizes de identidade digital dividem a comprovação em resolução, validação e verificação (abre num novo separador) : coletar os dados, confirmar sua precisão com base em uma fonte confiável e confirmar que o solicitante é o verdadeiro proprietário dos dados. Uma identidade sintética persiste quando a segunda e a terceira etapas são ignoradas ou realizadas com base em fontes diferentes que nunca são comparadas.

As combinações que o expõem

As verificações úteis forçam que cada detalhe esteja de acordo com um registro oficial.

• O número consta no registro. Consulte a fonte para verificar se o número existe e para obter os detalhes que o governo possui sobre ele.

• O nome e a data de nascimento devem ser comparados no mesmo registro. Compare o que o solicitante informou com o que consta no registro. Um número real com um nome errado é um exemplo clássico de documento falso.

• O rosto ao vivo comparado com a foto cadastrada. Essa é a verificação mais difícil para uma identidade falsa. O fraudador pode digitar qualquer nome. Ele não pode alterar a foto que o governo possui.

• O mesmo rosto ou dispositivo em diferentes contas. O Federal Reserve considera informações semelhantes do mesmo cliente em diferentes contas (abre num novo separador) o principal indicador. Um rosto por trás de cinco nomes, ou cinco números de identificação de um mesmo telefone, é um padrão que nenhum aplicativo individual revela.

Nosso guia sobre verificação de documentos versus verificação em bancos de dados governamentais aborda os três primeiros tópicos com mais detalhes, e a identificação de contas duplicadas aborda o quarto.

O que Toden faz

• Verifica o número na origem. Na Nigéria, Gana, Quênia, África do Sul e Costa do Marfim, Toden valida a identidade comparando-a com o banco de dados do governo. Isso inclui documentos de identidade compostos apenas por números, como o BVN e NIN .

• Compara os dados que você possui. Informe o nome e a data de nascimento que você coletou e Toden compara-os com o registro. Por padrão, uma incompatibilidade resulta em falha na verificação. Você pode optar por registrá-la e enviá-la para revisão, usandoverification.nameMatcheverification.dateOfBirthMatchem uma regra de decisão.

• Compara a selfie ao vivo com a foto mais relevante. Essa foto pode ser a foto oficial do governo ou a foto verificada no chip do passaporte. O resultado indica qual foto foi usada.facialMatchSourcePortanto, uma comparação com uma foto impressa nunca deve ser confundida com uma comparação com o registro.

• Indica o grau de aprovação. Cada verificação aprovada implica um nível de garantia .chip,gov_dboudocumentVocê pode aprovar os dois primeiros e revisar o terceiro.

• Verifica mais de um ID em uma execução. Um fluxo de trabalho pode solicitar dois ou três IDs, por exemplo. NIN e um BVN , com uma única selfie abrangendo todas elas. Uma pessoa inventada agora precisa concordar com dois recordes.

• Analisa todas as suas contas. A busca facial encontra pessoas que já possuem uma conta com você. A Inteligência de Dispositivo, ativada por padrão, reporta outros números de identificação e outras pessoas vistas no mesmo dispositivo, e suas regras decidem se isso significa revisão ou recusa.

O que não faz

• Fora desses cinco mercados, não é feita nenhuma verificação em banco de dados governamental. A verificação nesses locais se baseia no documento e no chip, quando o passaporte é lido por um agente. NFC , que precisa do React Native ou Flutter SDK Um número real com detalhes inventados é mais difícil de identificar sem um registro para comparação.

• A comparação entre nome e data de nascimento requer detalhes para ser realizada. Se a sua integração não passar em nenhum deles, não há nada a contradizer.

• A busca facial e as informações sobre dispositivos abrangem seus próprios clientes e seu próprio tráfego. Elas não informarão sobre uma conta em outra instituição.

• Uma identidade completa e genuína, emprestada por seu verdadeiro proprietário, não é sintética, e essas verificações a comprovarão. Esse é um problema de identidade falsa e precisa ser monitorado após o cadastro.

• Nenhum conjunto de verificações elimina essa fraude. Elas aumentam o custo de fabricar uma pessoa.

Perguntas a fazer a um profissional de saúde

• Em quais países você verifica o número de identificação em relação ao registro do governo e em quais você apenas lê o documento?

• Você compara o nome e a data de nascimento com esse registro? Posso ver qual campo apresentou a discrepância?

• Com qual foto a selfie foi comparada: o registro, o chip ou o documento impresso? O resultado indica isso?

• Você pode me mostrar o mesmo rosto ou o mesmo dispositivo entre meus clientes atuais?

• Quando uma verificação não pôde ser executada, você informou isso ou retornou um "não"?

Este artigo fornece orientações gerais e não constitui aconselhamento jurídico. Os requisitos de identificação do cliente exigidos pelo seu órgão regulador dependem da sua licença e do seu país, e as fontes aqui citadas são orientações dos EUA, utilizadas para explicar o padrão.

Quer ver se as verificações concordam ou discordam no seu próprio fluxo? Abra um Toden espaço de trabalho (abre num novo separador) ou veja KYC Cobertura por país .