Определение
Подмена личности (Identity Fraud) — использование чужих, изменённых или искусственно собранных идентификационных данных для обмана человека, организации или автоматизированной системы. Владелец реальных данных об этом не знает и согласия на такое использование не давал.
У схемы обычно две фазы. Сначала злоумышленник получает, покупает, подбирает или конструирует идентифицирующие сведения. Затем применяет их в конкретной операции: оформляет кредит, открывает счёт, проходит верификацию, получает доступ к сервису или выводит деньги.
Так подмена личности отличается от кражи личности (Identity Theft). В строгом смысле кража личности описывает получение чужих данных, а подмена личности — их использование для обмана. В англоязычной практике эти термины иногда пересекаются, но для KYC, антифрода и расследований такое разделение полезно: кража данных ещё не всегда означает ущерб, а подмена личности уже создаёт риски от имени другого человека.
NIST определяет кражу личности как использование идентифицирующей информации для мошеннического получения товаров или услуг. В российском праве прямого аналога термина нет, поэтому квалификация зависит от сценария: могут применяться нормы о мошенничестве, мошенничестве с электронными средствами платежа, мошенничестве в сфере компьютерной информации и неправомерном доступе к компьютерной информации.
В финансовом секторе подмена личности чаще всего проявляется на входе, когда клиент проходит идентификацию. 115-ФЗ требует идентифицировать клиента при установлении деловых отношений, а значит, ошибка на входе может привести к обслуживанию мошенника под чужими или фиктивными данными. Подробнее о том, как работает KYC и зачем он нужен бизнесу, мы разобрали в статье «Верификация смыслов: KYC».
Формы подмены
Прямое самозванство (Impersonation)
Самый понятный сценарий подмены личности. Мошенник выдаёт себя за конкретного живого человека: использует чужой паспорт, чужие реквизиты, чужую фотографию или набор персональных данных, которые позволяют пройти проверку. Пример из финтеха: мошенник оформляет микрозайм в приложении, используя чужие паспортные данные. Сервис видит новую заявку и проводит её как обычную регистрацию. Человек, на чьё имя оформлен заём, узнаёт о долге позже, когда получает уведомление от кредитора или коллекторов.
Проблема возникает, когда проверка отвечает только на один вопрос: существует ли документ. Этого мало. Нужно понять, что документ использует именно его владелец. Для этого селфи сверяют с фото в документе, номер телефона и e-mail проверяют на связь с ФИО, а устройство оценивают на признаки подозрительной активности.
Синтетическая личность (Synthetic Identity Fraud)
Синтетической личностью называют сконструированный, а не заимствованный целиком профиль. Мошенник берёт реальный идентификатор, например номер документа или СНИЛС, и дополняет его вымышленными данными: именем, датой рождения, адресом, телефоном или email.
Главная сложность в том, что у такой схемы часто нет очевидной жертвы‑физлица. Никто не получает сообщение «на вас оформили кредит», потому что профиль лишь частично совпадает с реальным человеком. Пострадавшим остаётся организация: она обслуживает фиктивного клиента, накапливает риск в портфеле и обнаруживает подлог уже на этапе просрочки, вывода средств или серии нетипичных заявок. Именно поэтому мошенничество с использованием синтетических личных данных относится к опасным сценариям финансового фрода.
Выявлять синтетические профили помогает перекрёстная проверка данных. Например, как и в случае с прямым самозванством, можно проверить, действительно ли заявленное ФИО связано с указанным номером телефона при помощи сервисов сверки ФИО и телефона и подтверждения связки ФИО и e-mail. У реального клиента обычно есть связанная история номера, почты, устройства и поведения, а у искусственного профиля такие связи часто слабые или противоречивые.
Признаки подмены личности часто проявляются в цифровом следе устройства. В статье «Верификация смыслов: Цифровой след устройства» мы показываем, как параметры устройства, браузера, сетевого окружения и поведения пользователя помогают отличать нормальную активность клиента от потенциально мошеннической.
Захват аккаунта (Account Takeover, ATO)
Захват аккаунта часто выделяют в отдельную категорию, но это тот же сценарий подмены личности внутри уже созданного аккаунта. Злоумышленник не проходит онбординг заново, а получает доступ к профилю, который система ранее идентифицировала как доверенный.
Доступ может появиться через фишинг, утечку пароля, подмену SIM-карты, вредоносное ПО или кражу сессионного токена. Сервис видит знакомый аккаунт, но действия выполняет другой человек. Поэтому классическая проверка личности на входе не защищает от захвата аккаунта полностью. После онбординга нужна постоянная оценка риска сессии, устройства и поведения.
Один из маркеров риска — резкое изменение характеристик телефонного номера. Например, при подмене SIM-карты (SIM-swap) или недавней смене владельца полезна проверка срока жизни телефонного номера, потому что свежая или резко изменившаяся связка номера и пользователя может указывать на повышенный риск.
В нашем блоге есть отдельный кейс о том, как анализ цифрового следа устройства помогает бороться с подменой личности в финтехе. В материале про Finbridge описан сценарий, где риск выявляется без сбора паспортных и биометрических данных пользователей.
Дипфейк-подмена (Deepfake Identity Fraud)
При дипфейк-подмене мошенник использует синтезированное лицо, голос или видео реального человека. Цель атаки — обмануть биометрическую систему, оператора видеоверификации, сотрудника службы поддержки или участника видеозвонка.
В феврале 2024 года в Гонконге стало известно о случае, когда сотрудник финансового отдела перевёл 25 млн долларов после видеоконференции с дипфейками руководителей компании. Подмена личности может происходить не только в форме «чужой паспорт плюс селфи», но и в «живой коммуникации».
Порог входа для таких атак постоянно снижается. Инструменты для подмены лица и клонирования голоса доступны широкому кругу пользователей, поэтому биометрическая проверка должна отличать живого человека от фотографии, записи, маски, replay-атаки и синтетического видео. Подробнее о таком классе атак — в статье «Подделка лица (Face Spoofing)».
Как IDX обнаруживает подмены
Ни одна отдельная проверка не закрывает все сценарии подмены личности. Проверка документа помогает выявить подделку или несоответствие данных, но сама по себе не защищает от дипфейка, синтетического профиля или ситуации, когда чужой документ использует не его владелец. Пароль и 2FA снижают риск захвата аккаунта, но не решают проблему первичной регистрации под чужими или фиктивными данными. Поэтому эффективный KYC- и антифрод-процесс строится на совокупной оценке факторов: документа, биометрии, контактных данных, устройства, поведения в сессии и истории связок между ними.
Определение живости (Liveness Detection) показывает, что перед камерой находится реальный человек, а не фотография, видеозапись, маска или сгенерированный дипфейк. Алгоритм пассивно анализирует визуальные характеристики и микродвижения лица, не требуя от пользователя дополнительных действий. В контуре биометрической верификации Liveness выступает первым уровнем защиты от подмены личности, в том числе в сценариях с селфи и видеопроверкой.
Сравнение лиц на фото (Face Matching). Сервис сопоставляет селфи пользователя с фотографией из документа и оценивает степень сходства. В паре с определением живости такая проверка решает сразу две задачи: подтверждает, что перед камерой живой человек, и показывает, что его лицо действительно соответствует владельцу документа.
Скоринг телефона и e-mail. Телефон и почта важны не сами по себе, а как признаки реальной истории клиента. Проверка использования телефонного номера физлицом помогает оценить, связан ли заявленный номер с человеком, который проходит проверку. Подтверждение связки ФИО — E-mail отвечает на простой вопрос, действительно ли указанный человек пользуется этим адресом или перед нами одноразовый и сомнительный контакт.
Анализ цифрового следа устройства. Устройство оставляет набор технических и поведенческих признаков: браузер, окружение, сетевые параметры, устойчивость паттернов и аномалии сессии. Эти признаки помогают обнаруживать массовые регистрации, эмуляторы, однотипные заявки, подозрительные сценарии входа и попытки обойти стандартную проверку. Подробнее о подходе — в статье «Верификация смыслов: Цифровой след устройства».
Антифрод-система. Машинное обучение анализирует атрибуты устройства, сессии и поведения пользователя и ищет сигналы, которые не похожи на обычный клиентский сценарий: новое или нетипичное устройство, одноразовую SIM-карту, VPN, резкую смену сетевого окружения или аномально высокую скорость заполнения форм. По отдельности такие признаки не доказывают мошенничество, но в совокупности помогают оценить риск. Подробнее об антифрод-системах читайте в отдельной статье глоссария.
Ни один отдельный инструмент не перекрывает весь спектр сценариев подмены личности. Связка «проверка живости + сравнение лиц + скоринг + антифрод» выстроена по принципу многоуровневого контроля: каждый уровень отсекает то, что не выявил предыдущий.
Что важно запомнить
Подмена личности — не синоним взлома аккаунта. Это широкая категория: от самозванства с чужим паспортом до синтетических личностей, которые никогда не существовали.
Синтетические личности опаснее остальных форм тем, что у них нет жертвы в классическом понимании. Организация может месяцами обслуживать фиктивного клиента, не получив ни одной жалобы.
Самый рискованный сценарий не всегда выглядит технически сложным. Иногда мошеннику достаточно слабой проверки документа, одноразового номера телефона и почты без истории. В других атака строится на дипфейке, подмене SIM-карты, компрометации учётной записи или попытке выдать новое устройство и нетипичный сценарий входа за привычное поведение легитимного клиента.
Эффективная защита от подмены личности строится на сочетании проверок. KYC помогает подтвердить личность при первичной идентификации, определение живости и сравнение лиц помогают выявлять биометрическую подмену, скоринг телефона и e-mail оценивает надёжность контактных данных и связок между ними, а антифрод-мониторинг отслеживает риск уже после онбординга: при входах, операциях, смене устройства и изменении поведенческих паттернов.
