Oszustwo na syntetyczną tożsamość: jak je zatrzymać

Oszustwo na syntetyczną tożsamość polega na stworzeniu fikcyjnej osoby z połączenia prawdziwych i zmyślonych danych osobowych, np. autentycznego amerykańskiego numeru ubezpieczenia społecznego (Social Security number) z wymyślonym imieniem, nazwiskiem i datą urodzenia, a następnie wykorzystaniu jej do zakładania kont, budowania historii kredytowej i kradzieży. W przeciwieństwie do zwykłej kradzieży tożsamości nie ma jednej ofiary, której zabrano całą tożsamość, dlatego takie oszustwo często pozostaje niewykryte, dopóki pieniądze nie znikną.

Ten poradnik wyjaśnia, jak buduje się syntetyczne tożsamości, jak duży jest problem, dlaczego giełdy kryptowalut są narażone, jakie sygnały zdradzają syntetyczną tożsamość i jakie zabezpieczenia działają. Jest przeznaczony dla zespołów compliance oraz dla wszystkich, którzy zastanawiają się, dlaczego giełda wymaga selfie na żywo oprócz dokumentu tożsamości.

Czym jest oszustwo na syntetyczną tożsamość

W 2021 r. grupa robocza Rezerwy Federalnej złożona z 12 ekspertów ds. oszustw uzgodniła branżową definicję: oszustwo na syntetyczną tożsamość to „wykorzystanie kombinacji danych umożliwiających identyfikację osoby w celu sfabrykowania osoby lub podmiotu, aby popełnić nieuczciwy czyn dla osobistej lub finansowej korzyści” (Rezerwa Federalna, omówienie definicji). FinCEN posługuje się podobnym opisem: kombinacja prawdziwych i fałszywych danych osobowych wykorzystywana „do sfabrykowania osoby lub podmiotu, który przejdzie procesy weryfikacji” (ostrzeżenie FinCEN FIN-2024-Alert004).

Różnica w stosunku do tradycyjnej kradzieży tożsamości ma znaczenie:

• Kradzież prawdziwej tożsamości wykorzystuje pełną tożsamość istniejącej osoby. Ofiara zwykle szybko to zauważa, dzięki nieznanym kontom, rachunkom lub zapytaniom kredytowym, i zgłasza sprawę.
• Oszustwo na syntetyczną tożsamość wymyśla nową osobę. Część danych może należeć do kogoś prawdziwego, ale nikt nie jest właścicielem całej tożsamości, więc często nie ma nikogo, kto podniósłby alarm.

Podcast Fed z Bostonu podsumował to jako „Frankensteina oszustw tożsamościowych”: fragmenty wzięte od kilku osób i zszyte w jedną fałszywą osobę (Fed z Bostonu, 31 marca 2025 r.).

Jak buduje się syntetyczną tożsamość

Rezerwa Federalna dzieli składniki na dwie grupy. Elementy podstawowe to te, które w połączeniu zwykle jednoznacznie identyfikują osobę: imię i nazwisko, data urodzenia, numer ubezpieczenia społecznego lub inny identyfikator państwowy, np. numer paszportu lub numer podatkowy. Elementy dodatkowe sprawiają, że tożsamość wygląda bardziej realnie, ale same jej nie potwierdzają: adres korespondencyjny, adres e-mail, numer telefonu i ślad cyfrowy, np. identyfikator urządzenia lub adres IP.

Typowy schemat w USA przebiega według wzorca opisanego przez Fed w raporcie z 2019 r., uzupełnionego o szczegóły z wywiadu Fed z Bostonu:

1. Połączenie. Prawdziwy numer ubezpieczenia społecznego, często skradziony w wycieku danych, zostaje połączony z fikcyjnym imieniem i nazwiskiem, adresem lub datą urodzenia.
2. Założenie kartoteki. Wniosek kredytowy tworzy w biurze informacji kredytowej kartotekę nowej tożsamości, a pierwsza przyznana karta daje jej to, co specjalistka Fed nazywa „dowodem życia”.
3. Rozwój. Oszust zakłada niewielkie konta, terminowo spłaca zobowiązania i pozwala, by limity rosły.
4. Bust-out. Tożsamość wykorzystuje do maksimum wszystkie linie kredytowe i znika. Ponieważ ta osoba nigdy nie istniała, możliwości dochodzenia roszczeń są niewielkie.

Randomizacja numerów ubezpieczenia społecznego sprawiła, że jedna ze starych metod weryfikacji straciła na przydatności. Od 25 czerwca 2011 r. pierwsze trzy cyfry nie odzwierciedlają już stanu, w którym nadano numer (Social Security Administration), a dawna lista „high group” służąca do weryfikacji numerów straciła znaczenie.

Generatywna sztuczna inteligencja dodaje ostatnie szlify. FinCEN poinformował w listopadzie 2024 r., że przestępcy łączyli obrazy wygenerowane przez AI ze skradzionymi lub całkowicie fałszywymi danymi osobowymi, aby tworzyć syntetyczne tożsamości, oraz wykorzystywali AI do modyfikowania lub generowania zdjęć w prawach jazdy i paszportach.

Jak duży jest problem

Oszustwa syntetyczne trudno zmierzyć, ponieważ znaczna ich część jest odpisywana jako zwykłe złe długi. Dostępne dane to szacunki, więc należy je traktować jako rząd wielkości:

• Ekspozycja kredytodawców. TransUnion oszacował ekspozycję amerykańskich kredytodawców na syntetyczne tożsamości w kredytach samochodowych, bankowych kartach kredytowych, kartach sklepowych i niezabezpieczonych pożyczkach osobistych na 3,2 mld USD na koniec I półrocza 2024 r., wobec 3,0 mld USD rok wcześniej, co oznacza rekord wszech czasów. Kredyty samochodowe stanowiły 2,0 mld USD tej kwoty, a 0,20% nowo otwartych kont w tych czterech produktach było powiązanych z syntetycznymi tożsamościami (komunikat TransUnion, za FF News).
• Wzrost. Ta sama analiza TransUnion wykazała, że oszustwa na syntetyczną tożsamość były najszybciej rosnącym rodzajem oszustw cyfrowych na świecie między II półroczem 2023 r. a I półroczem 2024 r., ze wzrostem o 153%.
• Łączny koszt. W wywiadzie Fed z Bostonu z marca 2025 r. specjalistka Rezerwy Federalnej ds. oszustw płatniczych oszacowała, że koszt wzrósł z około 8 mld USD około 2020 r. do ponad 30 mld USD.
• Deepfake'i. FinCEN odnotował w latach 2023–2024 wzrost liczby zgłoszeń podejrzanej aktywności opisujących podejrzewane materiały deepfake w schematach oszustw, często z udziałem zmodyfikowanych lub stworzonych przez AI dokumentów tożsamości.

Kto ponosi szkody

Oszustwa syntetyczne bywają opisywane jako przestępstwa bez ofiar. Tak nie jest. Osoba, której numer ubezpieczenia społecznego został wykorzystany, może odkryć oszustwo powiązane z jej numerem, gdy złoży wniosek o kredyt, a raport Fed z 2019 r. wskazuje skutki uboczne, takie jak odmowa świadczeń z tytułu niepełnosprawności, odrzucone zeznania podatkowe i błędy w dokumentacji medycznej.

Niektóre grupy są celem, ponieważ ich numery przez lata pozostają niewykorzystane. Wywiad Fed z Bostonu wymienia trzy: dzieci, których numery mogą pozostawać nieużywane przez 14 lub 15 lat; osoby starsze, które rzadko ubiegają się o nowe kredyty; oraz osoby osadzone w więzieniach, które nie widzą, że ich numer jest wykorzystywany. Bezpośrednie straty ponoszą kredytodawcy i wydawcy kart.

Dlaczego giełdy kryptowalut są narażone

Platformy kryptowalutowe przyjmują klientów zdalnie, często w ciągu kilku minut, a transferów kryptowalut trudno cofnąć. To połączenie sprawia, że konto na giełdzie jest przydatne dla grupy przestępczej na kilka sposobów:

• Pranie pieniędzy i wypłata. FinCEN ustalił, że konta otwarte z użyciem tożsamości prawdopodobnie wygenerowanych przez AI służyły do przyjmowania i prania wpływów z innych oszustw, i wymienia wśród sygnałów ostrzegawczych wysokie płatności na giełdy aktywów cyfrowych oraz wypłaty na giełdy offshore tuż po wpłacie.
• Zastępowanie słupów (money mules). Słupów trzeba zwerbować i im zapłacić. Wywiad Fed z Bostonu opisuje, jak oszuści przechodzą na zakładanie kont na syntetyczne nazwiska, bo wtedy sami kontrolują konto.
• Nadużywanie bonusów i promocji. Nagrody za rejestrację i polecenie są wypłacane za każde nowe konto, więc partia fałszywych tożsamości może je masowo zbierać. TransUnion ustalił, że nadużycia promocji były najczęściej zgłaszanym rodzajem oszustw cyfrowych na świecie w I półroczu 2024 r.
• Onboarding z użyciem deepfake'ów. Dokumenty i twarze wygenerowane przez AI są wymierzone bezpośrednio w zdalną weryfikację dokumentów i selfie, na której opierają się giełdy.

Poza USA nie ma numeru ubezpieczenia społecznego, który można by „pożyczyć”, więc ten sam pomysł zwykle przyjmuje formę sfabrykowanego lub wygenerowanego przez AI dokumentu połączonego z mieszanką prawdziwych i zmyślonych danych. Unijne rozporządzenie AML, rozporządzenie (UE) 2024/1624, stosowane od 10 lipca 2027 r., wymaga weryfikacji tożsamości na podstawie dokumentu tożsamości, a w stosownych przypadkach także informacji z wiarygodnych i niezależnych źródeł, lub za pomocą identyfikacji elektronicznej eIDAS o średnim lub wysokim poziomie zaufania (art. 22 ust. 6).

Sygnały wskazujące na syntetyczną tożsamość

Żaden pojedynczy sygnał nie dowodzi oszustwa, a FinCEN podkreśla, że liczą się wszystkie okoliczności. Oto najczęściej wymieniane wzorce, zaczerpnięte z sygnałów ostrzegawczych FinCEN i wytycznych Fed:

• Uboga lub płytka tożsamość. Prawdziwi ludzie zostawiają długie ślady: adres e-mail używany od lat, długo posiadany numer telefonu, powiązania rodzinne. Zupełnie nowy e-mail, tygodniowy numer telefonu i brak historii to sygnał ostrzegawczy.
• Niespójne dane. Zdjęcie, na którym osoba wygląda na znacznie starszą lub młodszą niż wynika z daty urodzenia, kilka dokumentów, które sobie przeczą, albo dane urządzenia i lokalizacji niezgodne z dokumentami.
• Zmodyfikowane lub wygenerowane obrazy. Widoczne ślady edycji, selfie oznaczone przez system wykrywania deepfake'ów albo wyszukiwanie obrazem, które znajduje twarz w galerii twarzy wygenerowanych przez AI.
• Unikanie weryfikacji na żywo. Powtarzające się „problemy techniczne”, prośby o zmianę kanału w trakcie weryfikacji wideo lub zewnętrzna wtyczka do kamery internetowej, która może podawać nagrane wcześniej wideo.
• Skoordynowane konta. Kilka podobnych kont współdzielących urządzenia, zakresy adresów IP lub wzorce zachowań.
• Wczesne zachowanie konta. Szybkie transakcje na nowym koncie lub środki wypłacane natychmiast po wpłacie w sposób trudny do cofnięcia.

FinCEN prosi amerykańskie instytucje finansowe o umieszczanie kluczowego terminu „FIN-2024-DEEPFAKEFRAUD” w zgłoszeniach podejrzanej aktywności powiązanych z takimi schematami. Wzorce na poziomie transakcji omawia nasz poradnik o sygnałach ostrzegawczych AML w kryptowalutach.

Zabezpieczenia, które działają

Syntetyczne tożsamości są budowane tak, by przechodzić jedną kontrolę naraz, dlatego rozwiązaniem jest nakładanie kontroli, które sprawdzają różne rzeczy:

1. Autentyczność dokumentu. Sprawdzenie zabezpieczeń, wzorów i czcionek oraz odczytanie chipa, jeśli dokument go posiada.
2. Wykrywanie żywotności i porównanie twarzy. Potwierdzenie, że obecna jest żywa osoba, która odpowiada zdjęciu w dokumencie. To kluczowa bariera przeciwko twarzom wygenerowanym przez AI i odtwarzanym nagraniom. Zobacz wykrywanie żywotności i weryfikacja twarzy.
3. Weryfikacja w oficjalnych źródłach. W USA usługa eCBSV Social Security Administration pozwala uprawnionym instytucjom finansowym potwierdzić, za podpisaną zgodą danej osoby, czy imię i nazwisko, data urodzenia i numer ubezpieczenia społecznego zgadzają się z danymi SSA, z odpowiedzią „tak” lub „nie”. W UE podobną funkcję pełni identyfikacja elektroniczna eIDAS.
4. Głębokość tożsamości i sygnały z urządzenia. Wiek adresu e-mail i numeru telefonu, reputacja urządzenia oraz powiązania z innymi wnioskami ujawniają tożsamości istniejące wyłącznie na papierze.
5. Dokumenty uzupełniające. Weryfikacja potwierdzenia adresu dodaje kolejne niezależne źródło do porównania.
6. Bieżący monitoring. Syntetyczne tożsamości są projektowane tak, by przy onboardingu wyglądały na czyste, dlatego monitorowanie transakcji i okresowe przeglądy wychwytują fazę bust-out lub prania pieniędzy.

Większość giełd kupuje te warstwy od wyspecjalizowanych dostawców, zamiast budować je samodzielnie. iDenfy na przykład łączy weryfikację dokumentów, wykrywanie żywotności i porównanie twarzy z weryfikacją przez człowieka. Nasze porównanie dostawców oprogramowania KYC dla kryptowalut omawia szerszy rynek.

Dla osób prywatnych zabezpieczenia są proste: udostępniajcie swój numer identyfikacyjny i skany dokumentów tylko tam, gdzie to konieczne, sprawdzajcie raporty kredytowe pod kątem nieznanych kont i nigdy nie sprzedawajcie ani nie „wynajmujcie” zweryfikowanego konta na giełdzie innym osobom. W ten sposób prawdziwe tożsamości stają się przykrywką dla oszustw.

Najczęściej zadawane pytania

Czym jest oszustwo na syntetyczną tożsamość?

To oszustwo z użyciem fałszywej tożsamości zbudowanej z mieszanki prawdziwych i zmyślonych danych osobowych, np. prawdziwego numeru ubezpieczenia społecznego z wymyślonym imieniem, nazwiskiem i datą urodzenia. Tożsamość służy do zakładania kont, budowania historii kredytowej, a następnie kradzieży lub prania pieniędzy.

Czym oszustwo na syntetyczną tożsamość różni się od kradzieży tożsamości?

Tradycyjna kradzież tożsamości wykorzystuje pełną tożsamość jednej prawdziwej osoby, która zwykle to zauważa. Oszustwo syntetyczne tworzy nową osobę z fragmentów danych kilku ludzi i zmyślonych szczegółów, więc nikt nie jest właścicielem całej tożsamości i często nie ma nikogo, kto by to zgłosił.

Jak duża jest skala oszustw na syntetyczną tożsamość?

Szacunki są różne. TransUnion oszacował ekspozycję amerykańskich kredytodawców na syntetyczne tożsamości na 3,2 mld USD na koniec I półrocza 2024 r., a specjalistka Rezerwy Federalnej ds. oszustw oceniła w marcu 2025 r., że koszt wzrósł z około 8 mld USD w 2020 r. do ponad 30 mld USD.

Dlaczego celem są numery ubezpieczenia społecznego dzieci?

Ponieważ często pozostają nieużywane przez 14 lub 15 lat. Oszust może przez lata budować historię kredytową na numerze dziecka, zanim ktokolwiek go sprawdzi.

Jak giełdy kryptowalut wykrywają syntetyczne tożsamości?

Nakładając kolejne kontrole: autentyczność dokumentu, wykrywanie żywotności i porównanie twarzy, weryfikację danych w oficjalnych źródłach, sygnały dotyczące wieku urządzenia i adresu e-mail oraz monitoring po onboardingu pod kątem szybkich wpłat i wypłat lub skoordynowanych kont.

Czy deepfake'i mogą przejść weryfikację KYC?

Czasami. FinCEN informował o kontach otwartych z użyciem dokumentów tożsamości prawdopodobnie wygenerowanych przez AI. Wykrywanie żywotności, wykrywanie deepfake'ów i weryfikacja w niezależnych źródłach danych znacznie to utrudniają, dlatego giełdy coraz częściej je łączą.

Czytaj dalej

• Wykrywanie żywotności i weryfikacja twarzy
• Potwierdzenie adresu: akceptowane dokumenty i dlaczego giełdy o nie proszą
• Sygnały ostrzegawcze AML w kryptowalutach
• Czym jest KYC w kryptowalutach?
• Oszustwa kryptowalutowe w 2026 r.

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej ani finansowej. Dane liczbowe to szacunki z podlinkowanych w tekście źródeł w opublikowanym brzmieniu: dane TransUnion dotyczą I półrocza 2024 r., wywiad Fed z Bostonu pochodzi z 31 marca 2025 r., a ostrzeżenie FinCEN FIN-2024-Alert004 z 13 listopada 2024 r. Źródła sprawdzono 8 października 2026 r.