Fraude à l'identité synthétique : fonctionnement et parades

La fraude à l'identité synthétique consiste à créer une fausse personne à partir d'un mélange de données personnelles réelles et inventées, par exemple un véritable numéro de sécurité sociale américain (Social Security number) associé à un nom et une date de naissance fictifs, puis à l'utiliser pour ouvrir des comptes, se constituer un historique de crédit et voler. Contrairement à l'usurpation d'identité classique, il n'existe pas de victime unique dont toute l'identité est prise, c'est pourquoi elle passe souvent inaperçue jusqu'à ce que l'argent ait disparu.

Ce guide explique comment les identités synthétiques sont construites, quelle est l'ampleur du problème, pourquoi les plateformes d'échange crypto sont exposées, quels signaux trahissent une identité synthétique et quelles défenses fonctionnent. Il s'adresse aux équipes conformité et à tous ceux qui se demandent pourquoi une plateforme exige un selfie en direct en plus d'une pièce d'identité.

Qu'est-ce que la fraude à l'identité synthétique

En 2021, un groupe de travail de la Réserve fédérale réunissant 12 experts de la fraude a adopté une définition commune au secteur : la fraude à l'identité synthétique est « l'utilisation d'une combinaison d'informations personnelles identifiables pour fabriquer une personne ou une entité afin de commettre un acte malhonnête à des fins de gain personnel ou financier » (Réserve fédérale, présentation de la définition). Le FinCEN emploie une description similaire : une combinaison d'informations personnelles réelles et fausses utilisée « pour fabriquer une personne ou une entité afin de passer les processus de validation » (alerte FinCEN FIN-2024-Alert004).

La différence avec l'usurpation d'identité traditionnelle est importante :

L'usurpation d'identité réelle utilise l'identité complète d'une personne existante. La victime s'en aperçoit généralement vite, via des comptes, des factures ou des vérifications de crédit qu'elle ne reconnaît pas, et la signale.
La fraude à l'identité synthétique invente une nouvelle personne. Une partie des données peut appartenir à quelqu'un de réel, mais personne ne possède l'identité entière, si bien qu'il n'y a souvent personne pour donner l'alerte.

Un podcast de la Fed de Boston l'a résumée comme « le Frankenstein de la fraude à l'identité » : des morceaux pris à plusieurs personnes et cousus ensemble pour former une seule fausse personne (Fed de Boston, 31 mars 2025).

Comment une identité synthétique est construite

La Réserve fédérale répartit les ingrédients en deux groupes. Les éléments primaires sont ceux qui, combinés, sont généralement propres à une personne : nom, date de naissance, numéro de sécurité sociale ou autre identifiant officiel comme un numéro de passeport ou un numéro fiscal. Les éléments secondaires rendent une identité plus crédible mais ne peuvent pas l'établir seuls : adresse postale, adresse e-mail, numéro de téléphone et empreinte numérique comme l'identifiant de l'appareil ou l'adresse IP.

Un schéma américain typique suit le déroulé décrit par la Fed dans son livre blanc de 2019, complété par l'entretien de la Fed de Boston :

Combiner. Un vrai numéro de sécurité sociale, souvent volé lors d'une fuite de données, est associé à un nom, une adresse ou une date de naissance fictifs.
Obtenir un dossier. Une demande de crédit crée un dossier auprès d'un bureau de crédit pour la nouvelle identité, et la première carte accordée lui donne ce que la spécialiste de la Fed appelle une « preuve de vie ».
Faire grandir. Le fraudeur ouvre de petits comptes, paie à temps et laisse les plafonds augmenter.
Le « bust-out ». L'identité utilise au maximum chaque ligne de crédit puis disparaît. Comme la personne n'a jamais existé, les recours sont limités.

La randomisation des numéros de sécurité sociale a rendu un ancien contrôle moins utile. Depuis le 25 juin 2011, les trois premiers chiffres ne reflètent plus l'État où le numéro a été attribué (Social Security Administration), et l'ancienne liste « high group » servant à valider les numéros a perdu sa pertinence.

L'IA générative apporte la touche finale. Le FinCEN a indiqué en novembre 2024 que des criminels ont combiné des images générées par IA avec des données personnelles volées ou entièrement fausses pour créer des identités synthétiques, et ont utilisé l'IA pour modifier ou générer les photos de permis de conduire et de passeports.

L'ampleur du problème

La fraude synthétique est difficile à mesurer, car une grande partie est passée en pertes comme de simples créances irrécouvrables. Les chiffres disponibles sont des estimations, à considérer comme des ordres de grandeur :

Exposition des prêteurs. TransUnion évaluait l'exposition des prêteurs américains aux identités synthétiques sur les prêts automobiles, les cartes de crédit bancaires, les cartes de magasins et les prêts personnels non garantis à 3,2 milliards de dollars fin S1 2024, contre 3,0 milliards un an plus tôt, un record historique. Les prêts automobiles en représentaient 2,0 milliards, et 0,20 % des comptes nouvellement ouverts sur ces quatre produits étaient liés à des identités synthétiques (communiqué de TransUnion, via FF News).
Croissance. La même analyse de TransUnion a montré que la fraude à l'identité synthétique était le type de fraude numérique à la croissance la plus rapide au monde entre le S2 2023 et le S1 2024, en hausse de 153 %.
Coût total. Dans un entretien de la Fed de Boston de mars 2025, une spécialiste de la fraude aux paiements de la Réserve fédérale estimait que le coût était passé d'environ 8 milliards de dollars vers 2020 à plus de 30 milliards.
Deepfakes. Le FinCEN a constaté une hausse, de 2023 à 2024, des déclarations d'activité suspecte décrivant des contenus deepfake présumés dans des schémas de fraude, impliquant souvent des documents d'identité modifiés ou créés par IA.

Qui en est victime

La fraude synthétique est parfois présentée comme un délit sans victime. Ce n'est pas le cas. La personne dont le numéro de sécurité sociale a été utilisé peut découvrir la fraude rattachée à son numéro en demandant un crédit, et le document de la Fed de 2019 mentionne des effets en cascade comme des prestations d'invalidité refusées, des déclarations fiscales rejetées et des erreurs dans les dossiers médicaux.

Certains groupes sont ciblés parce que leurs numéros restent inutilisés pendant des années. L'entretien de la Fed de Boston en cite trois : les enfants, dont les numéros peuvent rester inutilisés 14 ou 15 ans ; les personnes âgées, qui demandent rarement de nouveaux crédits ; et les personnes incarcérées, qui ne peuvent pas voir que leur numéro est utilisé. Les prêteurs et les émetteurs de cartes supportent les pertes directes.

Pourquoi les plateformes crypto sont exposées

Les plateformes crypto intègrent leurs clients à distance, souvent en quelques minutes, et les transferts crypto sont difficiles à annuler. Cette combinaison rend un compte sur une plateforme d'échange utile à un réseau de fraudeurs de plusieurs manières :

Blanchiment et encaissement. Le FinCEN a constaté que des comptes ouverts avec des identités présumées générées par IA servaient à recevoir et blanchir le produit d'autres fraudes, et cite parmi les signaux d'alerte des paiements élevés vers des plateformes d'actifs numériques et des retraits vers des plateformes offshore juste après un dépôt.
Remplacer les mules financières. Les mules doivent être recrutées et payées. L'entretien de la Fed de Boston décrit des fraudeurs qui préfèrent ouvrir des comptes au nom d'identités synthétiques, car ils contrôlent alors eux-mêmes le compte.
Abus de bonus et de promotions. Les récompenses d'inscription et de parrainage sont versées par nouveau compte, si bien qu'un lot de fausses identités peut les exploiter en masse. TransUnion a constaté que l'abus de promotions était le type de fraude numérique le plus souvent signalé dans le monde au S1 2024.
Onboarding par deepfake. Les documents et visages générés par IA visent directement les contrôles d'identité et de selfie à distance sur lesquels reposent les plateformes.

En dehors des États-Unis, il n'y a pas de numéro de sécurité sociale à emprunter : la même idée prend donc généralement la forme d'un document fabriqué ou généré par IA associé à un mélange de données réelles et inventées. Le règlement européen anti-blanchiment, le règlement (UE) 2024/1624, applicable à partir du 10 juillet 2027, impose de vérifier l'identité au moyen d'un document d'identité complété, le cas échéant, par des informations provenant de sources fiables et indépendantes, ou au moyen d'une identification électronique eIDAS de niveau de garantie substantiel ou élevé (article 22(6)).

Les signaux qui révèlent une identité synthétique

Aucun signal isolé ne prouve une fraude, et le FinCEN souligne que l'ensemble des circonstances compte. Voici les schémas les plus souvent cités, tirés des signaux d'alerte du FinCEN et des recommandations de la Fed :

Une identité mince ou superficielle. Les personnes réelles laissent de longues traces : une adresse e-mail utilisée depuis des années, un numéro de téléphone ancien, des liens familiaux. Un e-mail tout neuf, un téléphone d'une semaine et aucun historique sont un signal d'alerte.
Des données incohérentes. Une photo qui paraît bien plus âgée ou plus jeune que la date de naissance, plusieurs documents qui se contredisent, ou des données d'appareil et de localisation qui ne correspondent pas aux documents.
Des images modifiées ou générées. Des signes visuels de retouche, un selfie signalé par la détection de deepfakes, ou une recherche d'image inversée qui retrouve le visage dans une galerie de visages générés par IA.
L'évitement des contrôles en direct. Des « problèmes techniques » répétés, des demandes de changer de canal pendant une vérification vidéo, ou un plugin de webcam tiers capable d'injecter une vidéo préenregistrée.
Des comptes coordonnés. Plusieurs comptes similaires partageant des appareils, des plages d'IP ou des comportements.
Le comportement initial du compte. Des transactions rapides sur un nouveau compte, ou des fonds retirés immédiatement après le dépôt de manière difficile à annuler.

Le FinCEN demande aux institutions financières américaines d'inclure le terme clé « FIN-2024-DEEPFAKEFRAUD » dans les déclarations d'activité suspecte liées à ces schémas. Pour les schémas au niveau des transactions, consultez notre guide des signaux d'alerte AML en crypto.

Les défenses qui fonctionnent

Les identités synthétiques sont conçues pour passer un contrôle à la fois : la réponse consiste donc à superposer des contrôles qui testent des choses différentes :

Authenticité des documents. Examiner les éléments de sécurité, les modèles et les polices, et lire la puce lorsque le document en possède une.
Détection du vivant et correspondance faciale. Confirmer qu'une personne réelle est présente et correspond à la photo du document. C'est un rempart essentiel contre les visages générés par IA et les vidéos rejouées. Voir la détection du vivant et la vérification faciale.
Contrôles auprès de sources officielles. Aux États-Unis, le service eCBSV de la Social Security Administration permet aux institutions financières autorisées de confirmer, avec le consentement signé de la personne, si un nom, une date de naissance et un numéro de sécurité sociale correspondent aux registres de la SSA, avec une réponse par oui ou par non. Dans l'UE, l'identification électronique eIDAS remplit un rôle similaire.
Profondeur et signaux liés à l'appareil. L'ancienneté de l'e-mail et du téléphone, la réputation de l'appareil et les liens avec d'autres demandes révèlent les identités qui n'existent que sur le papier.
Documents justificatifs. Un contrôle du justificatif de domicile ajoute une autre source indépendante de comparaison.
Surveillance continue. Les identités synthétiques sont conçues pour paraître irréprochables à l'ouverture du compte : la surveillance des transactions et les revues périodiques permettent de détecter la phase de bust-out ou de blanchiment.

La plupart des plateformes achètent ces couches à des prestataires spécialisés plutôt que de les développer. iDenfy, par exemple, combine vérification documentaire, détection du vivant et correspondance faciale avec une revue humaine. Notre comparatif des fournisseurs de logiciels KYC crypto couvre l'ensemble du marché.

Pour les particuliers, les défenses sont simples : ne communiquez votre numéro d'identification et vos scans de pièce d'identité que lorsque c'est indispensable, vérifiez vos rapports de crédit pour repérer des comptes inconnus, et ne vendez ni ne « louez » jamais votre compte vérifié sur une plateforme d'échange à quelqu'un d'autre. C'est ainsi que de vraies identités finissent par servir de façade à la fraude.

Questions fréquentes

Qu'est-ce que la fraude à l'identité synthétique ?

C'est une fraude reposant sur une fausse identité construite à partir d'un mélange de données personnelles réelles et inventées, comme un vrai numéro de sécurité sociale associé à un nom et une date de naissance fictifs. L'identité sert à ouvrir des comptes, à se constituer un historique de crédit, puis à voler ou blanchir de l'argent.

En quoi la fraude à l'identité synthétique diffère-t-elle de l'usurpation d'identité ?

L'usurpation d'identité traditionnelle utilise l'identité complète d'une seule personne réelle, qui s'en aperçoit généralement. La fraude synthétique crée une nouvelle personne à partir de fragments de données de plusieurs personnes et de détails inventés : personne ne possède l'identité entière et il n'y a souvent personne pour la signaler.

Quelle est l'ampleur de la fraude à l'identité synthétique ?

Les estimations varient. TransUnion évaluait l'exposition des prêteurs américains aux identités synthétiques à 3,2 milliards de dollars fin S1 2024, et une spécialiste de la fraude de la Réserve fédérale estimait en mars 2025 que le coût était passé d'environ 8 milliards de dollars en 2020 à plus de 30 milliards.

Pourquoi les numéros de sécurité sociale des enfants sont-ils ciblés ?

Parce qu'ils restent souvent inutilisés pendant 14 ou 15 ans. Un fraudeur peut bâtir un historique de crédit sur le numéro d'un enfant pendant des années avant que quiconque ne le vérifie.

Comment les plateformes crypto détectent-elles les identités synthétiques ?

En superposant les contrôles : authenticité des documents, détection du vivant et correspondance faciale, vérification des données auprès de sources officielles, signaux d'ancienneté de l'appareil et de l'e-mail, et surveillance après l'ouverture du compte pour repérer les dépôts et retraits rapides ou les comptes coordonnés.

Les deepfakes peuvent-ils passer les contrôles KYC ?

Parfois. Le FinCEN a signalé des comptes ouverts avec des documents d'identité présumés générés par IA. La détection du vivant, la détection de deepfakes et les contrôles auprès de sources de données indépendantes rendent la tâche bien plus difficile, c'est pourquoi les plateformes les combinent de plus en plus.

Viktor Vostrikov

Co-Founder

About the author.

Co-Founder at JewelSwap & Chief Strategy Officer at iDenfy. Viktor brings his successful track record of superb development & project management.