A verificación KYC necesita tratamiento fraude de identidad sintética Esto plantea un problema distinto al de la simple falsificación de documentos. En este tipo de fraude, el registro se compone de una combinación de información real e inventada para fabricar una identidad que parezca coherente cuando cada dato se examina de forma aislada.
Por lo tanto, la defensa no debe limitarse a preguntar si el CPF (DNI brasileño), el número de teléfono, el documento o el rostro "superaron" una verificación. El objetivo es demostrar que los elementos conforman una identidad coherente y que esta identidad pertenece realmente a la persona que intenta activar la cuenta.
Resumen
- Las identidades sintéticas pueden combinar datos reales y ficticios para crear un registro aparentemente legítimo.
- Una buena prueba de identidad distingue entre la resolución, la validación de la evidencia y la verificación del vínculo con la persona.
- La información que se obtiene mejor en conjunto es la siguiente: CPF (DNI brasileño), número de teléfono, datos biométricos, historial de registro, cambio de tarjeta SIM, dispositivo y anomalías.
- El proceso debería reducir el fraude sin convertir a cada cliente legítimo en un sospechoso.
- La operación debe realizar un seguimiento de la prevención del fraude, los falsos positivos, las aprobaciones, los abandonos y la revisión manual.
¿Cómo logra el fraude de identidad sintética eludir los registros aparentemente normales?
El error más común es pensar que un fraude sofisticado siempre implica un documento obviamente falsificado o datos absurdos. No siempre es así. La Reserva Federal lo explica Las identidades sintéticas pueden combinar un identificador legítimo con nombres, direcciones o fechas de nacimiento ficticios, y precisamente debido a esta combinación, pueden eludir los procesos de verificación tradicionales.
Para una empresa digital, esto cambia la pregunta central. En lugar de "¿existe este CPF [número de identificación fiscal individual brasileño]?", la operación debe preguntarse: "¿representa este conjunto de información a una persona real, única y coherente?".
Cuando fundamos ZapSign, tenía muy claros dos principios: la experiencia debía ser sencilla y la solución debía ofrecer una seguridad legal genuina. Aplico el mismo criterio a la prevención del fraude. Añadir más pasos al proceso de incorporación puede dar una sensación de seguridad, pero una seguridad mal implementada se traduce en costes, abandono y problemas de soporte. La mejor arquitectura es aquella que aumenta la confianza en la identidad sin obligar a todos los usuarios a pasar por un proceso engorroso.
Este razonamiento también ayuda a separar Identidad y firma electrónicasUna firma registra una declaración vinculada a un proceso; la prueba de identidad busca demostrar quién está al otro lado. Cuanto mayor sea el riesgo de la operación, más sentido tendrá la evidencia. La página en sí... identidad del firmante Muestra cómo se pueden combinar diferentes métodos según el nivel de riesgo, en lugar de aplicar la misma autenticación a cualquier documento o trayecto.
¿Cómo debo estructurar el proceso de verificación de identidad antes de activar mi cuenta?
Un proceso coherente puede organizarse en cuatro etapas: determinar la identidad de la persona, validar los atributos presentados, verificar si la evidencia le pertenece y aplicar señales de riesgo adicionales. El valor de esta secuencia radica en evitar que una simple coincidencia se considere una aprobación automática. Un CPF (número de identificación fiscal brasileño) válido confirma un dato. Una selfie compatible confirma otro vínculo. Un número de teléfono antiguo y consistente aporta contexto. Ningún dato por sí solo debe determinar la decisión final.
1. Resolver la identidad reclamada.
En la primera etapa, la empresa necesita recopilar la información mínima necesaria para identificar a cada usuario dentro de su base de datos. El nombre, el CPF (número de identificación fiscal brasileño), la fecha de nacimiento y la información de contacto pueden servir de base, pero recopilar más datos no implica automáticamente conocer mejor al cliente. combinación de características Debe ajustarse al riesgo real del viaje. El exceso de datos aumenta la exposición y la fricción sin mejorar necesariamente la toma de decisiones.
2. Validar atributos y evidencia
A continuación, cabe preguntarse si los datos y documentos presentados son auténticos y coherentes entre sí. Esto implica verificaciones de antecedentes, análisis de documentos, bases de datos fiables y coherencia entre los distintos campos. La GAO señala que El fraude de identidad sintética es una preocupación creciente en los entornos financieros digitalizados y describe los servicios de verificación electrónica que comparan el nombre, el número de identificación y la fecha de nacimiento. La lección práctica es sencilla: un solo dato puede ser correcto y, sin embargo, pertenecer a una historia falsa.
3. Verificar el vínculo entre la persona y la evidencia.
Es en esta etapa donde la biometría, la prueba de vida y la comparación facial dejan de ser "capas adicionales" y comienzan a responder una pregunta específica: ¿la persona presente verifica y coincide con la evidencia utilizada en el registro? ZapSign ya reúne recursos de este tipo en su... evolución de las autenticacionesLa ventaja no reside en acumular obstáculos, sino en transformar la evidencia independiente en una conclusión más fiable sobre quién está llevando a cabo la acción.
¿Qué señales deben combinarse frente a identidades sintéticas?
El fraude de identidad sintética requiere controles por capas porque el atacante precisamente intenta producir la suficiente coherencia como para eludir las comprobaciones superficiales. GOV.UK recomienda Para verificar la existencia de una identidad a lo largo del tiempo, comparar las identidades sospechosas con fuentes autorizadas de lucha contra el fraude y confirmar que la identidad pertenece a la persona que la reclama. Esto da como resultado un diseño en el que el historial, el teléfono, la biometría y el dispositivo se complementan entre sí.
| Sinal | Que tener en cuenta | Uso en la toma de decisiones |
|---|---|---|
| CPF y número de teléfono | Compatibilidad entre la información de propiedad, registro y contacto proporcionada. | Detección de combinaciones improbables o datos prestados |
| Biometría y detección de vitalidad | Reconocimiento facial y presencia real durante todo el trayecto. | Confirmar el vínculo entre la persona y la evidencia. |
| Historial o permanencia | Existencia y actividad de la identidad a lo largo del tiempo. | Identificar perfiles aerodinámicos de nueva fabricación o perfiles aerodinámicos sin una trayectoria consistente. |
| SÍ intercambiar | Sustitución reciente de la tarjeta SIM o cambio de línea inusual. | Aumenta el riesgo antes de confiar la posesión del teléfono. |
| Huellas digitales del dispositivo | Dispositivo, navegador, recurrencia y asociación con otros registros. | Encontrar redes de cuentas y patrones repetidos |
| Anomalías | Velocidad, secuencia, sincronización y combinación inusual de acciones. | Excepciones anticipadas para la mejora o revisión. |
Cuando demostramos el uso de Open Gateway por parte de ZapSign, la propuesta consistía precisamente en utilizar la infraestructura de red telefónica existente para validar la información del firmante y combatir el fraude de identidad sin generar inconvenientes adicionales para el usuario. Me gusta este ejemplo porque pone de manifiesto una decisión de producto que debería guiar todo proyecto antifraude: siempre que sea posible, mejorar la calidad de la señal internamente antes de solicitar al cliente que realice alguna acción adicional.
Esta lógica también se aplica a las integraciones. Una empresa que ya realiza procesos de incorporación, CRM, suscripción y análisis de riesgos en diferentes sistemas necesita que las señales se comuniquen entre sí. API de firma electrónica e los integraciones entre herramientas Ayudan a reducir las islas operativas. Para flujos más sensibles, un verificación de antecedentes Puede incluirse como un paso adicional, siempre que exista un propósito legítimo, proporcionalidad y una razón clara para dicha recopilación.
¿Cómo podemos reducir el fraude sin aumentar los falsos positivos?
Bloquear más no significa mejor protección. Si la política rechaza a clientes legítimos, aumenta la revisión manual y convierte discrepancias menores en rechazos automáticos, el sistema antifraude termina generando otro tipo de pérdida. El mejor diseño utiliza niveles de riesgo. Un registro consistente se realiza con poca fricción. Un caso intermedio recibe verificación adicional. Un conjunto de señales incompatibles se somete a revisión o bloqueo. Este modelo permite calibrar la seguridad sin considerar cada excepción como un fraude consumado.
En la práctica operativa, monitorizaría al menos cinco indicadores clave de rendimiento (KPI) simultáneamente: tasa de prevención de fraude, falsos positivos, tasa de aprobación, tasa de abandono y porcentaje de revisión manual. Centrarse únicamente en la prevención de fraude incentiva a endurecer el proceso de conversión hasta su completa desaparición. Centrarse únicamente en la aprobación produce el efecto contrario. El equilibrio se alcanza cuando la seguridad y la experiencia del cliente se integran en el mismo panel de control, y cada cambio en las reglas puede compararse con su impacto en el negocio.
- Fraude evitado: Mide la capacidad de prevenir activaciones no deseadas.
- Falsos positivos: Esto demuestra cuántos usuarios legítimos fueron considerados de alto riesgo.
- Aprobación: Registra el porcentaje de viajes completados con éxito.
- Abandono: Ayuda a identificar los puntos de fricción que ahuyentan a los clientes potenciales.
- Revisión manual: Revela hasta qué punto la política de costes humanos se está desplazando hacia las operaciones.
Consulte también estos artículos relacionados:
- Comprenda cómo funciona la validación de identidad en los procesos digitales.
- Descubre cómo la biometría facial puede contribuir a la autenticación y la prevención del fraude.
- Aprenda sobre los componentes principales de un sistema antifraude.
Una buena defensa comienza antes de que se active la cuenta.
El mejor momento para detectar una discrepancia en el registro es antes de otorgar acceso, establecer límites, solicitar firmas o autorizar transacciones. Esto requiere una prueba de identidad que combine resolución, validación, vinculación y señales contextuales, con controles proporcionales al riesgo. Las empresas que ya operan procesos digitales pueden integrar esta lógica en... validación del firmante y a los procesos de suscripción, evitando que la seguridad aparezca solo después del incidente.
Al final, lucha fraude de identidad sintética No se trata de convertir el proceso de incorporación en un interrogatorio. Se trata de generar la confianza suficiente para distinguir a una persona legítima de una identidad falsa, utilizando las pruebas adecuadas en el momento oportuno. Si su operación necesita reforzar este punto antes de activar cuentas o formalizar documentos, obtenga más información sobre... ID de ZapSign y evaluar qué capas tienen sentido en función del riesgo real de su flujo.
Perguntas frecuentes (FAQ)
Se trata de la creación de una identidad artificial mediante la combinación de información real y ficticia. El registro puede utilizar, por ejemplo, un identificador real junto con un nombre, información de contacto, dirección u otros atributos inventados. Dado que algunos de los datos pueden ser válidos, las verificaciones aisladas suelen ser menos efectivas que una prueba de identidad por capas.
No. La validez del CPF (DNI brasileño) solo representa una parte del análisis. Los datos pueden existir y aun así combinarse con números de teléfono, direcciones, documentos o comportamientos que no pertenecen a la misma persona. Por lo tanto, la decisión debe considerar la coherencia entre los atributos, los vínculos con las pruebas, el historial y los indicadores de riesgo en su conjunto.
No por sí sola. La biometría ayuda a verificar si la persona presente coincide con la evidencia biométrica o documental utilizada en la transacción. Aun así, la operación debe validar la identidad declarada, los atributos presentados y otras señales de riesgo. Una mayor seguridad suele provenir de una combinación de evidencias independientes, no de un solo mecanismo.
Las inconsistencias entre el CPF (número de identificación fiscal brasileño) y el número de teléfono, el historial reciente, la existencia de múltiples cuentas asociadas al mismo dispositivo, el reemplazo reciente de la tarjeta SIM, la documentación inconsistente, las anomalías de comportamiento y las discrepancias entre la persona y las pruebas pueden aumentar el riesgo. Ninguno de estos indicios debería conducir automáticamente a una condena. El valor reside en la correlación entre ellos y el contexto de la transacción.
El análisis debe combinar seguridad y experiencia. Una tasa de fraude bloqueada demuestra protección, mientras que las tasas de falsos positivos, aprobación y abandono revelan el costo de dicha protección para los clientes legítimos. La revisión manual completa el panorama al mostrar el esfuerzo operativo requerido. Una buena regla reduce el riesgo sin transferir el problema a la conversión, el soporte o el análisis humano.
Getúlio Santos es el director ejecutivo de ZapSign, abogado, entusiasta de la tecnología y emprendedor.
