A klasszikus személyazonosság-lopásnál a csaló egy létező ember nevében lép fel. Előbb-utóbb ez az ember észreveszi, hogy hitelt vettek fel a nevére vagy fiókot nyitottak az adataival, és jelzi a bankjának vagy a rendőrségnek. A szintetikus identitásnál ilyen jelzés nem érkezik, mert a személy, akinek a nevében a kérelmet beadták, nem létezik.
A módszer régebbi a generatív AI-nál, de az AI-val készült arcképek, okmányok és videók sokat egyszerűsítettek rajta.
Mi a szintetikus identitás
Szintetikus identitásnak azt a személyazonosságot nevezik, amelyet valós és kitalált adatok összeillesztésével hoznak létre úgy, hogy egyetlen valódi embernek sem felel meg teljesen. Az amerikai Federal Reserve 2019-es tanulmánya (Synthetic Identity Fraud in the U.S. Payment System) így írja le: a csaló valós és kitalált elemeket, például azonosító számot, nevet és születési dátumot kombinál, és ebből épít új, hihetőnek tűnő személyt.
A különbség a lopott identitáshoz képest abban áll, hogy kinél jelentkezik a kár. Szintetikus identitásnál a hitelező vagy a munkáltató egy olyan ügyféllel áll szemben, akit nem tud megtalálni, és sokszor csak akkor derül ki, hogy nem létezik, amikor a tartozás behajthatatlanná válik. A veszteséget emiatt gyakran rossz hitelként könyvelik el, csalásként nem, és a minta sokáig rejtve marad.
A szintetikus személyt nem egyszer használják el. A Federal Reserve tanulmánya az amerikai gyakorlatot így írja le: hónapokig vagy évekig építik, kis összegű számlát nyitnak, rendben fizetik, a hiteltörténet így lassan javul, a keretek nőnek. Amikor elég nagy a felvehető összeg, a csaló egyszerre kimeríti az összes keretet, és az identitás eltűnik.
Valós és kitalált adatok keveréke
A valós elem rendszerint egy azonosító szám: adóazonosító jel, társadalombiztosítási szám vagy okmányszám. Ezt adatszivárgásból, adathalász kampányból vagy feketepiaci adatcsomagból szerzik. A legkedveltebbek azok a számok, amelyek gazdája nem figyeli a saját hiteladatait, például gyermekek, idősek vagy elhunytak azonosítói, mert ott a visszaélés évekig nem tűnik fel senkinek.
A kitalált elemek adják a személy többi részét:
- a név, amely nem tartozik a valós azonosító számhoz,
- a születési dátum, amelyet úgy választanak, hogy illeszkedjen a kérelem céljához,
- a lakcím, ahol a csaló át tudja venni a személynek küldött postát,
- az e-mail-cím és a telefonszám, amelyeket kifejezetten ehhez a személyhez hoznak létre,
- a közösségimédia-profilok és egy rövid szakmai életrajz, hogy egy gyors internetes keresés is találjon valamit.
Két fő változatot szokás megkülönböztetni. Az egyikben egy valós ember adatait csak részben módosítják, például a nevet vagy a születési dátumot írják át, így a rekord félig ismerős lesz az ellenőrző rendszereknek. A másikban az egész személyt az alapoktól rakják össze, és csak egy-két valós adat köti a nyilvántartásokhoz.
AI-val generált arcképek, dokumentumok és deepfake-ek
Egy kitalált személynek régen egy hiányzó eleme volt: az arca. Lopott fotót használni kockázatos, mert fordított képkereséssel visszakereshető. A képgeneráló modellek néhány másodperc alatt készítenek portrét egy olyan emberről, aki sosem létezett. Egy ilyen kép egyetlen valós ember fotójával sem egyezik, így a keresés nem vezet el egy létező személyhez.
Ugyanez a technika okmányokra is alkalmazható. Egy személyi igazolvány vagy útlevél mintája nyilvánosan elérhető, a generált arc és a kitalált adatok ráilleszthetők, és a végeredmény egy képernyőn vagy egy feltöltött fotón valódinak látszik. A közüzemi számla, a bankszámlakivonat, a munkáltatói igazolás vagy a fizetési jegyzék hamisítása még egyszerűbb, mert ezeknek nincs egységes, ellenőrizhető biztonsági eleme.
Sok online azonosítás élő videós lépést is tartalmaz: a jelentkezőnek a kamerába kell néznie, el kell fordítania a fejét, vagy fel kell mutatnia az okmányát. A deepfake egyik formája, az élő arccsere egy valódi ember mozgását egy generált arccal jeleníti meg. Ha a csaló a valódi kamerakép helyett előre elkészített vagy valós időben módosított videót juttat be az ellenőrzésbe, a rendszer egy hihető arcot lát. Az amerikai pénzügyminisztérium pénzügyi bűncselekmények elleni egységének (FinCEN) 2024-es figyelmeztetése (FIN-2024-Alert004) kifejezetten arról szól, hogy deepfake-kel készült képeket és dokumentumokat használnak a pénzintézetek ügyfél-azonosításának megkerülésére.
Az EU AI-rendelet 50. cikke 2026. augusztus 2-tól két átláthatósági kötelezettséget ír elő. A generatív AI-rendszerek szolgáltatóinak gépileg olvasható formában kell jelölniük, hogy a kimenet mesterségesen előállított (50. cikk (2) bekezdés), az alkalmazónak pedig, aki AI-rendszerrel deepfake-et hoz létre vagy manipulál, nyilvánosságra kell hoznia ezt a tényt (50. cikk (4) bekezdés). Egy megtalált gépi jelölés tehát árulkodó lehet, a hiánya viszont semmit nem bizonyít, mert a csaló a saját anyagát nem jelöli. A felismerés így az ellenőrzési folyamaton múlik.
Hol jelenik meg: ügyfél-azonosítás, hitelkérelem, álláspályázat
Ügyfél-azonosítás
A bankok, pénzforgalmi szolgáltatók, kriptoeszköz-szolgáltatók és biztosítók a pénzmosás elleni szabályok miatt kötelesek azonosítani az ügyfeleiket, és ezt sokszor teljesen online végzik. Egy szintetikus identitással megnyitott számla több célt szolgálhat: pénzmosási láncszem, csalásból származó összegek átvezetése, vagy a későbbi hitelfelvétel előkészítése. Az online azonosítás itt a fő akadály, ezért a csalók erre a lépésre fordítják a legtöbb munkát.
Hitelkérelem
Hitelnél és vásárlási hitelnél a szintetikus személynek nemcsak azonosíthatónak kell lennie, hanem hitelképesnek is. Ezért épül a hiteltörténet lassan. A Federal Reserve tanulmánya szerint az amerikai hitelinformációs rendszerben már egy elutasított kérelem is nyomot hagy: a hitelirodánál létrejön a kitalált személy aktája, és a következő ellenőrzésnél már ismerősnek tűnik.
Álláspályázat
A távmunka egy új területet nyitott meg. Az FBI internetes bűnözéssel foglalkozó központja (IC3) 2022-ben figyelmeztetést adott ki (I-062822-PSA) arról, hogy távoli állásokra deepfake-kel és lopott személyes adatokkal jelentkeznek informatikai, programozói, adatbázis- és szoftverfejlesztői pozíciókra. A figyelmeztetés szerint ezek egy része hozzáférést adott volna ügyfelek személyes adataihoz, pénzügyi adatokhoz, informatikai adatbázisokhoz vagy védett üzleti információkhoz. Ilyen munkakörben a hozzáférés a fizetésnél is értékesebb lehet, mert egy felvett munkatárs fiókja a szervezet hálózatán belülről nyithat utat adatlopáshoz vagy egy későbbi támadáshoz. A deepfake-alapú vezetői csalásokról szóló cikk egy rokon mintát ír le, ahol a hamis személy egy meglévő vezetőt utánoz.
Jelek, amelyek gyanúra adhatnak okot
Egyetlen jel ritkán elég, és mindegyiknek lehet ártatlan magyarázata is. A gyanú akkor erős, amikor több apró eltérés egyszerre jelenik meg ugyanannál a jelentkezőnél.
Az adatok kora és összefüggései
- Az e-mail-cím, a telefonszám és a közösségimédia-profil mind néhány hetes, miközben a jelentkező a papírjai szerint évtizedek óta dolgozik.
- Az azonosító szám kiadásának időpontja nem illik a megadott születési dátumhoz.
- Ugyanaz a telefonszám, lakcím, eszköz vagy IP-cím több, egymástól független nevű kérelemben is szerepel.
- A lakcím egy ismert közvetítő cím, postafiók vagy olyan ingatlan, ahol sok, egymással nem rokon személy van bejelentve.
A kép és a dokumentum
- A fordított képkeresés a portrét egy AI-val generált arcokat gyűjtő nyilvános galériában találja meg.
- A fotón látható életkor nem egyezik a megadott születési dátummal. A FinCEN figyelmeztetése ezt és az előző jelet is külön említi.
- A portréfotón generálási hibák látszanak, például aszimmetrikus fülbevaló, elmosódó hajszél, torz szemüvegkeret vagy értelmetlen háttér. Ezek főleg a régebbi arcgeneráló modellekre jellemzők, az újabbak ritkán hagynak ilyen nyomot, így a hiányuk nem bizonyít semmit.
- Az okmány betűtípusa, elrendezése vagy biztonsági elemeinek helye eltér a kiállító ország mintájától, vagy a gépi olvasási zóna ellenőrzőszámai nem jönnek ki.
- A feltöltött okmány képernyőfotónak tűnik, vagy nincsenek rajta a fizikai kártyára jellemző tükröződések és élek.
A videós lépés és az interjú
- Az ajak mozgása és a hang elcsúszik egymáshoz képest. Az FBI figyelmeztetése szerint a köhögés vagy tüsszentés hangja sem mindig egyezik a képpel.
- Mozgás, takarás vagy fényváltás közben az arc képe torzul vagy villan. Ezeket a jeleket a fent hivatkozott deepfake-cikk részletezi.
- Az ellenőrzés során a jelentkező virtuális kamerát vagy külső kamerabővítményt használ, vagy technikai hibára hivatkozva kerüli a kamera bekapcsolását.
- Az eszköz helye, időzónája vagy nyelvi beállítása ellentmond a megadott lakóhelynek.
- Az interjún a válaszok általánosak, a jelentkező nem tud konkrétumot mondani a saját életrajzában szereplő munkahelyekről.
Ellenőrzés több, egymástól független forrásból
A szintetikus identitás minden eleme külön-külön hitelesnek tűnhet. A gyenge pont az, hogy az elemek mögött nincs közös, valós múlt. Az ellenőrzésnek ezért azt kell vizsgálnia, hogy egymástól független források ugyanarra a személyre mutatnak-e. A NIST SP 800-63A digitális identitás-irányelve is így építi fel a folyamatot: a bemutatott bizonyíték erősségét, a bizonyíték valódiságát és azt is ellenőrizni kell, hogy a jelentkező valóban az a személy, akire a bizonyíték vonatkozik.
Az okmány
A chipes személyi igazolvány és útlevél chipje a kiállító hatóság digitális aláírásával védett adatokat tárol, köztük az arcképet. Ha az ellenőrző alkalmazás a chipet közvetlenül olvassa ki, és ellenőrzi az aláírást (az ICAO 9303 szabvány szerinti passzív hitelesítéssel), egy generált okmánykép nem megy át. A passzív hitelesítés azt igazolja, hogy a chip adatai valódiak és változatlanok. Egy lemásolt chip ellen az aktív hitelesítés vagy a chiphitelesítés véd, azt pedig, hogy a jelentkező az okmány gazdája, a chipben tárolt arckép és az élő arc összevetése mutatja meg. Ahol a kiállító hatóság nyilvántartása elérhető, az okmány érvényessége ott is ellenőrizhető.
Az élő személy
Az élőség-vizsgálat (az ISO/IEC 30107 szabványsorozat szerinti prezentációs támadásészlelés, PAD, amelynek tesztelését a 30107-3 írja le) azt méri, hogy a kamera előtt egy valódi, jelen lévő ember áll-e, és nem egy fotó, maszk vagy képernyő. A bejuttatott vagy módosított videófolyam ellen ezen felül külön védelem kell, amely azt is ellenőrzi, hogy a kép valóban az eszköz kamerájából érkezik-e. A véletlenszerű kérések, például egy adott irányba fordulás vagy egy szám hangos kimondása, megnehezítik az előre elkészített videó használatát.
A múlt nyomai
- Egy kis összegű utalás a jelentkező nevére szóló, másik pénzintézetnél vezetett számlára, és a visszaigazolás.
- Álláspályázatnál a korábbi munkahely ellenőrzése egy olyan telefonszámon, amelyet a szervezet maga keresett ki, és amely nem az önéletrajzból vagy a jelentkező által megadott referenciából származik.
- A szakmai profilok kapcsolatai, aktivitása és a megadott munkahelyek visszaigazolása.
A folyamat
A technikai ellenőrzések mellett a folyamatban is lehet olyan lépés, amelyet egy kitalált személy nehezen teljesít. Érzékeny hozzáférésű munkakörnél az első munkanapon, személyesen bemutatott eredeti okmány, a munkaeszköz átvétele egy ellenőrzött címen, vagy a hozzáférések fokozatos kiosztása a próbaidő alatt. Hitelezésnél a keretek lassú emelése és a hirtelen, minden kereten egyszerre jelentkező költés figyelése.
Kapcsolódó szolgáltatás: Biztonsági és AI-használati tréning →
