您刚刚批准的客户并不存在。虚假身份如何通过 KYC 验证，以及如何识别它们。

想象一下一位新客户。身份证号码是真实的：它存在于国家数据库中，并且位数正确。申请表上的姓名与记录中的姓名接近，但不完全相同。出生日期相差一年。自拍照是真人拍摄的。

单独来看，每一项检查结果都是肯定的。号码有效。活体检测找到了真人。电话号码会收到一个验证码。但没有人会去追问，号码、姓名、生日和照片是否都属于同一个人。

不，他们没有。这个号码属于一个从未听说过你的人。其余信息都是编造的，或者从别人那里借来的。你账上的客户根本不存在，而你却给这个人开通了账户、设置了额度，还给他加了认证徽章。

这是合成身份欺诈。

什么是合成身份

美国联邦储备委员会召集行业专家共同商定并于2021年发布了合成身份欺诈的定义：合成身份欺诈是指利用多种个人身份信息捏造个人或实体身份，以实施不诚实行为，从而谋取个人或经济利益 （在新标签页中打开）。该定义仅为行业自愿性指导，不构成任何法律义务。

同一页面区分了两种类型的信息。主要信息，例如姓名、出生日期和政府颁发的身份识别号码，通常组合起来才能唯一地识别一个人。补充信息，例如地址、电话号码或电子邮件地址，可以辅助识别身份，但本身并不能确定一个人的身份。

这个问题的症结就在于此。诈骗分子只需要一个真实的主要信息，通常是身份证号码，其余信息都可以捏造或替换。

这需要花费你多少钱？

美联储将合成身份欺诈描述为美国增长最快的金融犯罪类型 （在新标签页中打开）。我们尚未找到针对非洲市场的类似公开数据，因此不予引用。损失的最终体现方式相同。

• 根本没人追究责任。如果贷款对象是盗用身份的人，一旦出现违约，真正的受害者就会投诉，诈骗行为才会被发现。但如果贷款对象是虚构的人，一旦出现违约，看起来就像普通的违约一样，会被记为信用损失，然后这种手法又会被再次使用。

• 您的档案看起来没问题。记录显示身份证号码有效，且本人照片真实。除非损失事件指向该档案，否则审核人员没有理由打开它。

• 这种诈骗手段可以大规模实施。一个人只要掌握一串真实的身份证号码，就能开设多个账户。美联储的工具包指出，同一种合成身份信息可以同时用于欺诈多个行业 （在新标签页中打开）。

为什么单项检查能通过？

美联储对识别合成身份的指导意见直截了当：合成身份通常能通过初步身份验证，而且通常没有任何单一指标可以明确识别合成身份 （在新标签页中打开）。每项常见的核查措施所回答的问题都比表面看起来要狭窄得多。

• “这个身份证号码有效吗？”是的，这是一个真实的号码。这个问题并没有问是谁的。

• “这份文件是真的吗？”它可能是真的，也可能是经过精心编辑的。一份没有历史记录的文件，只能与它自身进行比较。

• “现场是否有人？” 是的。有人在场证明有人在场，但并不能证明此人就是该号码的持有人。

• “这个电话或邮箱能用吗？”可以。这些都是辅助元素，也是创建身份标识中最经济的部分。

身份标准准确地描述了这种差距。美国 NIST 数字身份指南将身份验证分为解析、验证和确认 （在新标签页中打开）三个步骤：收集详细信息、对照可信来源确认其准确性，以及确认申请人是这些信息的真正所有者。如果跳过第二步和第三步，或者使用从未进行比对的不同来源，则虚假身份仍然存在。

暴露它的组合

这些有效的核查措施确保每个细节都与权威记录相符。

• 该号码与记录相符。请在来源处查找该号码。这将确认该号码存在，并返回政府掌握的与其相关的详细信息。

• 将姓名和出生日期与同一份记录进行核对。对比申请人提供的信息和记录上的内容。用错误的姓名冒充真实号码是典型的合成号码。

• 将真人照片与档案照片进行比对。这是伪造身份最难的环节。诈骗者可以随意填写任何名字，但他们无法更改政府保存的照片。

• 同一人或同一设备在不同账户间重复出现。美联储称，账户间相似的客户信息 （在新标签页中打开）是最大的警示信号。五个账户背后都是同一个人，或者同一个手机号码对应五个账户，这种模式在单个应用程序中是无法体现的。

我们的文件核查与政府数据库核查指南更深入地介绍了前三点，而查找重复账户则介绍了第四点。

什么 Toden 做

• 核对源头号码。在尼日利亚、加纳、肯尼亚、南非和科特迪瓦， Toden 将身份证件与政府数据库进行比对。这包括仅包含数字的身份证件，例如： BVN 和 NIN 。

• 比对你所掌握的信息。传递你收集到的姓名和出生日期， Toden 将它们与记录进行比较。默认情况下，不匹配项将导致验证失败。您可以选择记录不匹配项并将其发送给审核人员，方法是使用以下方式：verification.nameMatch和verification.dateOfBirthMatch在决策规则中。

• 将实时自拍照片与最可靠的照片进行匹配。该照片可以是政府存档照片，也可以是护照芯片上的验证照片。匹配结果会告诉你使用的是哪张照片。facialMatchSource因此，与印刷照片的比对结果绝不会与与记录的比对结果混淆。

• 告诉你它通过的程度。每次通过的验证都代表着一个保证级别：chip，gov_db或者document您可以批准前两项，然后审核第三项。

• 一次运行中验证多个 ID。例如，一个工作流可以要求提供两个或三个 ID。 NIN 和 BVN 一张自拍就覆盖了所有照片。一个虚构人物现在必须与两张记录相符。

• 系统会检查您的所有账户。人脸搜索功能可以找到已在您这里注册过账户的人。设备智能功能默认开启，会报告其他ID号码以及在同一设备上出现过的其他用户，您的规则会决定是否审核或拒绝该信息。

它不做什么

• 除这五个市场外，其他地区均不进行政府数据库核查。在这些地区，验证依赖于证件本身，以及护照读取时所依据的芯片信息。 NFC 这需要 React Native 或 Flutter。 SDK 如果没有记录可以比对，就很难发现一个包含虚构细节的实数。

• 姓名和出生日期比对需要更多详细信息。如果比对结果不包含任何详细信息，则说明没有错误需要纠正。

• 人脸识别和设备查找功能仅涵盖您自己的客户和流量，不会泄露您在其他机构的账户信息。

• 由真实所有者提供的完整、真实的身份信息并非伪造，这些验证都能通过。那是身份洗钱的问题，需要在注册后进行监控。

• 没有任何一套核查措施能够杜绝这种欺诈行为。它们只会提高伪造身份的成本。

向服务提供者提出的问题

• 在哪些国家，你会将身份证号码与政府记录进行核对？在哪些国家，你只会查看证件内容？

• 您是否将姓名和出生日期与该记录进行比对？我能否查看哪个字段不一致？

• 这张自拍照是与哪张照片进行比对的：唱片、芯片还是打印的文件？结果如何？

• 您能否向我展示我现有客户中相同的面孔或相同的设备？

• 如果检查无法进行，你是直接说明无法进行，还是返回“通过”？

本文仅供参考，不构成法律建议。监管机构对客户身份识别的具体要求取决于您的许可证和所在国家/地区，本文引用的资料来自美国，仅用于解释相关模式。

想查看检查结果是否与您自身流程一致或不一致吗？打开一个 Toden 工作区 （在新标签页中打开）或查看 KYC 按国家/地区划分的覆盖范围。