Fraude de identidad sintética: cómo funciona y cómo frenarlo

El fraude de identidad sintética consiste en crear una persona falsa a partir de una mezcla de datos personales reales e inventados, como un número de la Seguridad Social estadounidense (Social Security number) auténtico combinado con un nombre y una fecha de nacimiento ficticios, que después se utiliza para abrir cuentas, construir un historial crediticio y robar. A diferencia de la suplantación de identidad común, no hay una única víctima a la que se le arrebate toda su identidad, por lo que a menudo pasa desapercibido hasta que el dinero ya ha desaparecido.

Esta guía explica cómo se construyen las identidades sintéticas, qué dimensión tiene el problema, por qué los exchanges de criptomonedas están expuestos, qué señales delatan una identidad sintética y qué defensas funcionan. Está pensada para equipos de cumplimiento y para cualquiera que se pregunte por qué un exchange pide un selfi en directo además de un documento de identidad.

Qué es el fraude de identidad sintética

En 2021, un grupo de trabajo de la Reserva Federal formado por 12 expertos en fraude acordó una definición para el sector: el fraude de identidad sintética es «el uso de una combinación de información de identificación personal para fabricar una persona o entidad con el fin de cometer un acto deshonesto para obtener un beneficio personal o económico» (Reserva Federal, resumen de la definición). FinCEN emplea una descripción similar: una combinación de información personal real y falsa utilizada «para fabricar una persona o entidad que supere los procesos de validación» (alerta de FinCEN FIN-2024-Alert004).

La diferencia con la suplantación de identidad tradicional es importante:

• La suplantación de una identidad real utiliza la identidad completa de una persona existente. La víctima suele darse cuenta pronto, por cuentas, facturas o consultas de crédito que no reconoce, y lo denuncia.
• El fraude de identidad sintética inventa una persona nueva. Parte de los datos puede pertenecer a alguien real, pero nadie es dueño de la identidad completa, así que a menudo no hay nadie que dé la voz de alarma.

Un pódcast de la Fed de Boston lo resumió como «el Frankenstein del fraude de identidad»: piezas tomadas de varias personas y cosidas en una sola persona falsa (Fed de Boston, 31 de marzo de 2025).

Cómo se construye una identidad sintética

La Reserva Federal divide los ingredientes en dos grupos. Los elementos primarios son los que, combinados, suelen ser exclusivos de una persona: nombre, fecha de nacimiento, número de la Seguridad Social u otro identificador oficial, como un pasaporte o un número fiscal. Los elementos secundarios hacen que una identidad parezca más real, pero no pueden establecerla por sí solos: dirección postal, correo electrónico, número de teléfono y huella digital, como el identificador del dispositivo o la dirección IP.

Un esquema típico en EE. UU. sigue el patrón que la Fed describió al publicar su libro blanco de 2019, con detalles de la entrevista de la Fed de Boston:

1. Combinar. Un número de la Seguridad Social real, a menudo robado en una filtración de datos, se combina con un nombre, una dirección o una fecha de nacimiento ficticios.
2. Obtener un expediente. Solicitar crédito crea un expediente en una agencia de crédito para la nueva identidad, y la primera tarjeta aprobada le da lo que la especialista de la Fed llama «prueba de vida».
3. Hacerla crecer. El estafador abre cuentas pequeñas, paga puntualmente y deja que los límites aumenten.
4. El «bust-out». La identidad agota todas sus líneas de crédito y desaparece. Como la persona nunca existió, apenas hay posibilidad de recuperar el dinero.

La aleatorización de los números de la Seguridad Social hizo menos útil una antigua comprobación. Desde el 25 de junio de 2011, los tres primeros dígitos ya no reflejan el estado en que se emitió el número (Social Security Administration), y la antigua lista «high group» que se usaba para validar números perdió su relevancia.

La IA generativa aporta los toques finales. FinCEN informó en noviembre de 2024 de que los delincuentes han combinado imágenes generadas por IA con datos personales robados o totalmente falsos para crear identidades sintéticas, y han usado la IA para alterar o generar las imágenes de permisos de conducir y pasaportes.

La dimensión del problema

El fraude sintético es difícil de medir porque buena parte se da de baja como deuda incobrable corriente. Las cifras disponibles son estimaciones, así que conviene tomarlas como órdenes de magnitud:

• Exposición de los prestamistas. TransUnion situó la exposición de los prestamistas estadounidenses a identidades sintéticas en préstamos para automóviles, tarjetas de crédito bancarias, tarjetas de comercios y préstamos personales sin garantía en 3.200 millones de dólares al cierre del primer semestre de 2024, frente a 3.000 millones un año antes y un máximo histórico. Los préstamos para automóviles representaban 2.000 millones de esa cifra, y el 0,20 % de las cuentas nuevas abiertas en esos cuatro productos estaba vinculado a identidades sintéticas (comunicado de TransUnion, vía FF News).
• Crecimiento. El mismo análisis de TransUnion concluyó que el fraude de identidad sintética fue el tipo de fraude digital que más creció a escala mundial entre el segundo semestre de 2023 y el primero de 2024, con un aumento del 153 %.
• Coste total. En una entrevista de la Fed de Boston de marzo de 2025, una especialista en fraude en pagos de la Reserva Federal estimó que el coste había pasado de unos 8.000 millones de dólares hacia 2020 a más de 30.000 millones.
• Deepfakes. FinCEN observó un aumento, de 2023 a 2024, de los informes de actividad sospechosa que describían presuntos contenidos deepfake en esquemas de fraude, a menudo con documentos de identidad alterados o creados con IA.

Quién sale perjudicado

A veces se describe el fraude sintético como un delito sin víctimas. No lo es. La persona cuyo número de la Seguridad Social se utilizó puede encontrarse el fraude vinculado a su número al solicitar crédito, y el documento de la Fed de 2019 señala efectos colaterales como prestaciones por discapacidad denegadas, declaraciones de impuestos rechazadas y errores en historiales médicos.

Algunos grupos son objetivo porque sus números permanecen sin usar durante años. La entrevista de la Fed de Boston cita tres: los niños, cuyos números pueden quedar sin uso durante 14 o 15 años; las personas mayores, que rara vez solicitan nuevo crédito; y las personas en prisión, que no pueden ver que se está usando su número. Los prestamistas y los emisores de tarjetas soportan las pérdidas directas.

Por qué los exchanges de criptomonedas están expuestos

Las plataformas cripto dan de alta a sus clientes a distancia, a menudo en minutos, y las transferencias cripto son difíciles de revertir. Esa combinación hace que una cuenta en un exchange resulte útil a una red de fraude de varias formas:

• Blanqueo y retirada de fondos. FinCEN detectó cuentas abiertas con identidades presuntamente generadas por IA que se usaban para recibir y blanquear el producto de otros fraudes, y cita entre las señales de alerta los pagos elevados a exchanges de activos digitales y las retiradas a exchanges offshore justo después de un depósito.
• Sustituir a las mulas de dinero. A las mulas hay que reclutarlas y pagarles. La entrevista de la Fed de Boston describe cómo los estafadores pasan a abrir cuentas a nombre de identidades sintéticas, porque así controlan ellos mismos la cuenta.
• Abuso de bonos y promociones. Las recompensas por registro y por referidos se pagan por cada cuenta nueva, de modo que un lote de identidades falsas puede explotarlas. TransUnion constató que el abuso de promociones fue el tipo de fraude digital más denunciado a escala mundial en el primer semestre de 2024.
• Alta con deepfakes. Los documentos y rostros generados por IA apuntan directamente a las comprobaciones remotas de documento y selfi en las que se apoyan los exchanges.

Fuera de EE. UU. no hay un número de la Seguridad Social que tomar prestado, así que la misma idea suele aparecer como un documento fabricado o generado por IA unido a una mezcla de datos reales e inventados. El Reglamento de la UE contra el blanqueo de capitales, el Reglamento (UE) 2024/1624, aplicable a partir del 10 de julio de 2027, exige verificar la identidad mediante un documento de identidad y, cuando proceda, información de fuentes fiables e independientes, o mediante una identificación electrónica eIDAS con nivel de seguridad sustancial o alto (artículo 22, apartado 6).

Señales que apuntan a una identidad sintética

Ninguna señal aislada demuestra un fraude, y FinCEN subraya que importan todas las circunstancias. Estos son los patrones citados con más frecuencia, extraídos de las señales de alerta de FinCEN y de las orientaciones de la Fed:

• Una identidad escasa o superficial. Las personas reales dejan rastros largos: un correo electrónico usado durante años, un número de teléfono antiguo, vínculos familiares. Un correo recién creado, un teléfono de hace una semana y ningún historial son una señal de alerta.
• Datos incoherentes. Una foto que parece mucho mayor o más joven que la fecha de nacimiento, varios documentos que no coinciden, o datos de dispositivo y ubicación que no encajan con los documentos.
• Imágenes alteradas o generadas. Signos visuales de edición, un selfi marcado por la detección de deepfakes o una búsqueda inversa de imágenes que encuentra el rostro en una galería de caras generadas por IA.
• Evitar las comprobaciones en directo. «Fallos técnicos» repetidos, peticiones de cambiar de canal durante una verificación por vídeo o un complemento de cámara web de terceros capaz de introducir vídeo pregrabado.
• Cuentas coordinadas. Varias cuentas similares que comparten dispositivos, rangos de IP o comportamiento.
• Comportamiento inicial de la cuenta. Transacciones rápidas en una cuenta nueva o fondos retirados inmediatamente después del depósito de formas difíciles de revertir.

FinCEN pide a las entidades financieras estadounidenses que incluyan el término clave «FIN-2024-DEEPFAKEFRAUD» en los informes de actividad sospechosa vinculados a estos esquemas. Para patrones a nivel de transacción, consulte nuestra guía de señales de alerta AML en cripto.

Defensas que funcionan

Las identidades sintéticas están diseñadas para superar una comprobación cada vez, así que la respuesta es superponer comprobaciones que evalúen cosas distintas:

1. Autenticidad del documento. Examinar los elementos de seguridad, las plantillas y las tipografías, y leer el chip cuando el documento lo tenga.
2. Prueba de vida y comparación facial. Confirmar que hay una persona viva presente y que coincide con la foto del documento. Es una barrera clave frente a los rostros generados por IA y los vídeos reproducidos. Consulte la prueba de vida y la verificación facial.
3. Comprobación con fuentes oficiales. En EE. UU., el servicio eCBSV de la Social Security Administration permite a las entidades financieras autorizadas confirmar, con el consentimiento firmado de la persona, si un nombre, una fecha de nacimiento y un número de la Seguridad Social coinciden con los registros de la SSA, con una respuesta de sí o no. En la UE, la identificación electrónica eIDAS cumple una función similar.
4. Profundidad y señales del dispositivo. La antigüedad del correo y del teléfono, la reputación del dispositivo y los vínculos con otras solicitudes ponen en evidencia identidades que solo existen sobre el papel.
5. Documentos complementarios. Una comprobación del justificante de domicilio añade otra fuente independiente con la que comparar.
6. Monitorización continua. Las identidades sintéticas están pensadas para parecer limpias en el alta, así que la monitorización de transacciones y las revisiones periódicas detectan la fase de bust-out o de blanqueo.

La mayoría de los exchanges compran estas capas a proveedores especializados en lugar de desarrollarlas. iDenfy, por ejemplo, combina verificación de documentos, prueba de vida y comparación facial con revisión humana. Nuestra comparativa de proveedores de software KYC para cripto cubre el mercado en su conjunto.

Para los particulares, las defensas son sencillas: comparta su número de identificación y las copias de su documento solo cuando sea imprescindible, revise sus informes de crédito en busca de cuentas que no reconozca y nunca venda ni «alquile» su cuenta verificada de un exchange a otra persona. Así es como identidades reales acaban sirviendo de fachada para el fraude.

Preguntas frecuentes

¿Qué es el fraude de identidad sintética?

Es un fraude que utiliza una identidad falsa construida con una mezcla de datos personales reales e inventados, como un número de la Seguridad Social real con un nombre y una fecha de nacimiento ficticios. La identidad se usa para abrir cuentas, construir un historial crediticio y después robar o blanquear dinero.

¿En qué se diferencia el fraude de identidad sintética de la suplantación de identidad?

La suplantación de identidad tradicional utiliza la identidad completa de una persona real, que normalmente se da cuenta. El fraude sintético crea una persona nueva a partir de fragmentos de datos de varias personas y detalles inventados, de modo que nadie es dueño de la identidad completa y a menudo no hay nadie que lo denuncie.

¿Qué dimensión tiene el fraude de identidad sintética?

Las estimaciones varían. TransUnion situó la exposición de los prestamistas estadounidenses a identidades sintéticas en 3.200 millones de dólares al cierre del primer semestre de 2024, y una especialista en fraude de la Reserva Federal estimó en marzo de 2025 que el coste había pasado de unos 8.000 millones de dólares en 2020 a más de 30.000 millones.

¿Por qué se atacan los números de la Seguridad Social de los niños?

Porque a menudo permanecen sin usar durante 14 o 15 años. Un estafador puede construir un historial crediticio con el número de un niño durante años antes de que nadie lo compruebe.

¿Cómo detectan los exchanges de criptomonedas las identidades sintéticas?

Superponiendo comprobaciones: autenticidad del documento, prueba de vida y comparación facial, verificación de datos con fuentes oficiales, señales de antigüedad del dispositivo y del correo, y monitorización tras el alta para detectar depósitos y retiradas rápidos o cuentas coordinadas.

¿Pueden los deepfakes superar los controles KYC?

A veces. FinCEN ha informado de cuentas abiertas con documentos de identidad presuntamente generados por IA. La prueba de vida, la detección de deepfakes y las comprobaciones con fuentes de datos independientes lo dificultan mucho, por eso los exchanges las combinan cada vez más.

Siga leyendo

• Prueba de vida y verificación facial
• Justificante de domicilio: documentos aceptados y por qué lo piden los exchanges
• Señales de alerta AML en cripto
• ¿Qué es el KYC en cripto?
• Estafas cripto en 2026

Este artículo es divulgativo y no constituye asesoramiento jurídico ni financiero. Las cifras son estimaciones de las fuentes enlazadas en el texto, tal como se publicaron: los datos de TransUnion corresponden al primer semestre de 2024, la entrevista de la Fed de Boston es del 31 de marzo de 2025 y la alerta de FinCEN FIN-2024-Alert004 es del 13 de noviembre de 2024. Fuentes consultadas el 8 de octubre de 2026.