Identidad sintética: el fraude que no existe en ningún registro

Hay un tipo de fraude que no aparece en ninguna denuncia por suplantación, porque no hay nadie a quien suplantar. La identidad sintética no roba la cara ni el documento de una persona concreta: fabrica un cliente nuevo, con una combinación de datos parcialmente reales y parcialmente inventados, que nunca ha existido en ningún padrón, ningún buró y ninguna base de clientes. Y por eso mismo, los controles que buscan coincidencias contra listas de víctimas conocidas no lo ven venir.

El armado de un perfil sintético suele empezar por lo más barato: filtraciones parciales de bases de datos donde circulan números de documento, fechas de nacimiento y domicilios sueltos. Con esos fragmentos se construye un titular verosímil. El nombre puede ser real o inventado, pero el documento casi siempre pertenece a alguien que no lo está usando activamente. A partir de ahí se añade lo que el sistema espera ver: un historial crediticio con antigüedad suficiente, una dirección que resista una verificación postal, y en algunos casos hasta un teléfono con actividad mínima.

Por qué el documento solo no alcanza

Un verificador que se apoya únicamente en la autenticidad del documento de identidad está mirando la parte más fácil de falsificar. Los atacantes no necesitan un documento perfecto: necesitan que el documento sea coherente con el resto del perfil. Si la foto coincide con la persona que se presenta en la videollamada, si la fecha de emisión es razonable y si el número tiene el formato correcto, el control documental pasa sin objeciones. El problema aparece después, cuando ese cliente empieza a operar y nadie tiene con qué compararlo.

La señal que más delata a una identidad sintética no está en el documento sino en la línea de tiempo. Un historial crediticio con diez años de antigüedad que de pronto muestra su primera consulta activa hace tres semanas es un patrón raro. Un domicilio que figura en el documento pero que nunca ha generado ningún registro de servicios, ninguna entrega, ningún movimiento bancario, también lo es. Estas incoherencias no se detectan comparando el documento contra una lista negra: se detectan cruzando la antigüedad de los datos con la actividad reciente.

Qué debe cambiar en el proceso de alta

Los equipos de riesgo que ya trabajan con este tipo de fraude coinciden en un punto: la verificación tiene que ocurrir antes de que la cuenta opere, no después. Eso implica mover parte del análisis al momento del alta y aceptar que la decisión no puede depender de una sola fuente. Un documento válido, una selfie que coincide y un domicilio declarado no son suficientes por separado; el valor está en la coherencia entre ellos y en la velocidad con que se puede comprobar esa coherencia.

También cambia la forma de medir el éxito. Un sistema que rechaza todo lo sospechoso es tan problemático como uno que aprueba todo: el primero destruye la conversión, el segundo deja pasar exactamente el fraude que se quiere evitar. La calibración por tipo de operación, con umbrales distintos para una apertura de cuenta básica y para una solicitud de crédito, es lo que permite sostener ambos objetivos al mismo tiempo.

El fraude de identidad sintética no se resuelve con una tecnología única. Se resuelve entendiendo que el perfil falso es un perfil construido, y que las construcciones dejan rastros de coherencia que un análisis bien planteado puede leer. La pregunta ya no es si el documento es auténtico, sino si la historia que ese documento cuenta tiene sentido.