El mejor software para detectar el fraude de identidad sintética

Última actualización: septiembre de 2026

El mejor software de detección de fraude de identidad sintética es aquel que logra detectar una identidad madura construida a partir de datos válidos, sigue vigilando la cuenta después de su apertura, explica cada alerta que genera y no interfiere con sus clientes reales de historial crediticio limitado. Una demostración no le mostrará nada de eso. Sus propias solicitudes sí lo harán, cuando reproduzca en la herramienta sus identidades sintéticas confirmadas y sus clientes legítimos con poco historial de crédito, antes de firmar el contrato.

Esta guía establece ocho criterios para elegir un software de detección de fraude de identidad sintética, cada uno con las preguntas que debe hacerle a un proveedor y cómo se ve una respuesta insatisfactoria. Concluye con una prueba que puede realizar en sus propias solicitudes y una tabla comparativa de los criterios.

Resumen rápido

• Evalúe el software de detección de identidad sintética con sus propias solicitudes: las identidades sintéticas confirmadas que habría detectado y los clientes reales con historial limitado que habría rechazado.

• Verificar que cada elemento sea válido es solo el punto de partida. Una identidad sintética se construye con datos válidos, por lo que la herramienta debe comprobar si el nombre, el número de Seguro Social (SSN), la fecha de nacimiento, la dirección, el teléfono y el correo electrónico tienen un historial en común.

• Una coincidencia en el sistema eCBSV de la SSA demuestra que un SSN, un nombre y una fecha de nacimiento coinciden en los registros de la Administración del Seguro Social. No demuestra que el solicitante sea esa persona, y el SSN real de un menor también coincidiría.

• La herramienta debe seguir evaluando la cuenta después de que se abra, ya que las identidades sintéticas que logran pasar suelen ser descubiertas más tarde por los investigadores.

• Cada alerta necesita un motivo claro con el que un investigador pueda trabajar, y cada proveedor debería poder indicar con qué frecuencia rechaza a solicitantes que resultan ser legítimos.

• Oscilar redactó esta lista. Oscilar coordina proveedores externos de identidad sintética, burós de crédito y verificación de identidad, y toma la decisión final sobre sus resultados; no es uno de ellos. Los criterios no mencionan a ningún proveedor en particular.

La respuesta corta: cómo elegir un software de detección de fraude de identidad sintética

Para elegir un software de detección de fraude de identidad sintética, elija la herramienta cuyas señales sigan detectando una identidad madura con datos válidos, que continúe la supervisión tras la apertura de la cuenta, que explique cada alerta y que no penalice a sus clientes reales con historial crediticio limitado. Pruebe cada uno de estos puntos con sus propias solicitudes en lugar de confiar en los ejemplos del proveedor. Introduzca identidades sintéticas confirmadas y un grupo de clientes legítimos con poco historial crediticio en cada herramienta candidata, y compare lo que cada una habría detectado y rechazado.

Las señales que analiza una herramienta importan más que la puntuación que genera. Una herramienta sólida evalúa de forma conjunta la coherencia de los elementos de identidad, la verificación del SSN, la profundidad e historial del informe de crédito, el comportamiento del dispositivo y de la solicitud, y las conexiones entre diferentes solicitudes. Luego, integra el resultado en la toma de decisiones con sus respectivos motivos detallados.

Oscilar redactó esta lista. Oscilar coordina proveedores externos de identidad sintética, burós de crédito y verificación de identidad, y toma la decisión sobre sus resultados; no proporciona puntuaciones de identidad sintética por sí misma. Los criterios que se detallan a continuación no mencionan proveedores ni productos, y en una sección posterior se aplican estos mismos criterios a Oscilar.

Para entender qué es el fraude de identidad sintética y cómo se desarrolla, lea el fraude de identidad sintética a lo largo del ciclo de vida del cliente. Esta guía asume que ya conoce ese contexto y va directo a la elección del software.

Lo que una herramienta de identidad sintética debe detectar y que la verificación de identidad común pasa por alto

Una herramienta de identidad sintética debe detectar una identidad que parece coherente sobre el papel y supera la verificación tradicional, porque precisamente fue diseñada para superarla. La Reserva Federal define el fraude de identidad sintética como "el uso de una combinación de información de identificación personal (PII) para fabricar una persona o entidad con el fin de cometer un acto fraudulento para obtener un beneficio personal o financiero". La verificación de identidad confirma que una identidad declarada existe y coincide con sus documentos en un momento específico. No determina la intención, ni si la identidad se armó específicamente para superar dicho control.

Las identidades sintéticas que ven los prestamistas hoy en día se construyen con datos válidos y se dejan madurar con el tiempo. Un director de fraude de una entidad de crédito al consumo señaló que "muchas empresas están detectando lo que era el fraude sintético del pasado, no el de hoy en día", que es mucho más sofisticado que las identidades creadas lentamente hace años. Un gerente de estrategia de crédito y fraude de otra entidad de préstamos en línea describió solicitudes creadas con datos reales robados donde todos los campos coincidían, por lo que los controles resultaban limpios en todos los burós.

Este patrón no se limita al crédito al consumo. Un gerente de producto de un gran banco describió un caso comercial: "era una identidad completamente sintética la que estaba firmando este contrato, pero superó todos los controles habituales que se realizan". Un director de operaciones de fraude en una empresa de servicios financieros describió el costo de otorgar un préstamo a una identidad falsa: el préstamo se pierde "a pesar de que la información de identificación personal asociada a él sea perfectamente válida".

Nadie más va a reportar una identidad sintética por usted. El director de fraude de la entidad de crédito al consumo lo expresó con claridad: "Obviamente es sintético, la única víctima somos nosotros". Al no haber una persona real que note una cuenta desconocida y se queje, la institución debe descubrir la identidad sintética por sí misma o nunca lo hará.

Cada señal tiene sus puntos débiles de forma individual, razón por la cual los criterios que se detallan a continuación evalúan cómo una herramienta las analiza en conjunto.

Los ocho criterios y cómo utilizarlos

Antes de comparar herramientas, mida cuántos casos de fraude de identidad sintética tiene realmente, ya que la exposición suele ser muy desigual. Varios prestamistas descubrieron muy pocos casos en sus propios registros.

La revisión de cartera de una entidad de crédito al consumo junto con proveedores de identidad sintética reveló muy poco fraude de este tipo, siendo el robo de identidad un problema mayor; asimismo, el estudio retrospectivo de un prestamista de automóviles de alto riesgo mostró cifras muy bajas. El director de datos de un prestamista para pequeñas empresas comentó que no habían visto un aumento, pero luego añadió que tal vez simplemente no lo estaban detectando. Un responsable de riesgos de otro prestamista de consumo señaló que las identidades sintéticas casi no habían sido un problema para ellos.

El nivel de exposición determina qué tipo de herramienta debe comprar. Una institución con pérdidas mínimas por identidades sintéticas necesita una herramienta que aporte señales claras sin añadir fricción a los solicitantes legítimos. Una institución con pérdidas elevadas necesita un análisis profundo tanto después del registro como durante la solicitud.

Los ocho criterios siguen el orden en el que se examina una identidad sintética: sus elementos de datos, su SSN, su historial de crédito, su dispositivo y comportamiento, sus vínculos con otras solicitudes, la actividad de la cuenta tras la apertura, la explicación de cada alerta y el impacto en los clientes reales. Cada criterio consta de las mismas tres partes: en qué consiste, qué preguntar al proveedor y cómo identificar una respuesta débil. Plantee las mismas preguntas por escrito a todos los proveedores y evalúe sus respuestas con sus propios datos.

1. Comprueba si los elementos de una identidad corresponden entre sí

En qué consiste: La coherencia de los elementos de identidad analiza si el nombre, el SSN, la fecha de nacimiento, la dirección, el teléfono y el correo electrónico de una solicitud tienen un historial en común, y no solo si cada uno de ellos es válido individualmente. La validez es solo el inicio. Un miembro del equipo de riesgos de un prestamista de consumo describió el control inicial típico: "¿El número de seguro social es válido? ¿Este correo electrónico es válido? ¿El número de teléfono es válido?". Una identidad sintética construida con datos reales superará esa validación elemento por elemento.

El Banco de la Reserva Federal de Boston recomienda analizar "relaciones más amplias que solo esos pocos componentes", como la antigüedad de una cuenta de correo o de un número de teléfono y con qué están conectados. Las personas reales acumulan ese historial con el tiempo, mientras que las identidades fabricadas no.

Qué preguntar al proveedor:

• Para una solicitud de nuestros datos, ¿qué pares de elementos cruzaron y qué historial tiene cada par: esta dirección con este nombre, este teléfono con este correo electrónico?

• Un director de riesgos de un banco emisor de tarjetas buscaba una herramienta que contrastara cada elemento "con bases de datos de origen" y alertara si "indica que esa dirección nunca ha estado asociada a esa persona". ¿Pueden mostrar ese resultado con nuestras solicitudes?

• ¿Qué antigüedad tiene cada elemento? ¿Un correo electrónico o número de teléfono recién creado puntúa de forma distinta a uno con años de historial?

• ¿Qué resultado devuelven si todos los elementos son válidos de forma individual pero no tienen un historial común?

Cómo se ve una respuesta débil: Un simple "aprobado" o "rechazado" para cada elemento por separado, sin una perspectiva de si corresponden entre sí. Una herramienta que solo verifique la validez individual dejará pasar una identidad sintética armada con datos reales válidos.

2. Utiliza la verificación de SSN para lo que realmente demuestra

En qué consiste: La verificación de SSN contrasta el número de Seguro Social con un registro oficial. El servicio eCBSV (electronic Consent Based SSN Verification) de la Administración del Seguro Social permite a las instituciones financieras y sus proveedores verificar, con el consentimiento por escrito del titular, si el SSN, el nombre y la fecha de nacimiento coinciden con los registros de la SSA. Devuelve un "sí" o un "no", detalla el elemento que no coincide y alerta si se trata de una persona fallecida.

Una coincidencia en eCBSV demuestra que el SSN, el nombre y la fecha de nacimiento coinciden en los registros de la SSA. No demuestra que el solicitante sea realmente esa persona. El SSN real de un menor, ingresado con su nombre y fecha de nacimiento reales, también coincidirá, y el número de un menor suele llegar sin ningún historial crediticio asociado. Un director de fraude en una entidad de préstamos estudiantiles describió identidades sintéticas construidas a partir de los datos de un niño que luego se usaron para abrir tarjetas de crédito, cuentas bancarias y préstamos para automóviles.

Qué preguntar al proveedor:

• ¿En qué parte del proceso se realiza la verificación de SSN y cómo se obtiene el consentimiento del solicitante antes de ejecutarla? El equipo de riesgos y tecnología de un prestamista de consumo describió el proceso ideal: cuando una decisión requiere una verificación de eCBSV, el flujo solicita el consentimiento al usuario y ejecuta la consulta en cuanto lo recibe.

• ¿Qué hace la herramienta si el SSN coincide pero el informe de crédito asociado comenzó hace poco para un solicitante que, por su fecha de nacimiento, es un adulto?

• ¿Cómo se combina una discrepancia de SSN o un registro de fallecimiento con las demás señales, en lugar de considerarlo como la respuesta definitiva?

Cómo se ve una respuesta débil: Presentar la coincidencia en eCBSV como la prueba definitiva de que el solicitante es real. La coincidencia solo confirma que tres datos coinciden en los registros de la SSA, pero no dice nada sobre quién los introdujo.

3. Evalúa la profundidad e historial del informe de crédito, y detecta cuentas manipuladas

En qué consiste: Las señales de los informes de crédito detallan cuánto tiempo lleva una identidad registrada en los burós de crédito, cuántas líneas de crédito activas posee y de dónde provino su primera cuenta. Un director de fraude de un prestamista de consumo resumió lo básico: "analizamos el informe de crédito: ¿cuánto tiempo lleva registrado? ¿Cuántas líneas de crédito diferentes tiene?". Este mismo director notó que muchos perfiles sintéticos se iniciaban en el mismo lugar: "Muchos de ellos usan el mismo banco para crear ese perfil crediticio". Ese patrón solo se hace evidente al analizar muchas solicitudes en conjunto.

La maduración de la identidad neutraliza la versión más simple de este control. El director describió a estafadores que esperan años antes de usar una identidad, construyendo su perfil poco a poco para que, al solicitar un crédito, parezca legítima debido a su larga trayectoria en los registros.

Un informe limpio puede deberse a que fue manipulado ("credit washing"). El mismo director describió un caso en el que "todas las líneas parecían correctas, todo estaba pagado. Pero al mirar las cuentas en detalle, vi que todas estaban cerradas. Sospeché que se trataba de una limpieza de historial". Como explicó el director, "cuando hay limpieza de crédito, no puedes ver lo que había allí antes".

La falta de historial ("no-hit") es ambigua. Un director de gestión de riesgo de fraude en una empresa de pagos señaló que cuando el buró no devuelve información, el solicitante puede ser un cliente real de historial limitado (un joven o alguien recién llegado al país), o bien alguien que ingresó un nombre y fecha de nacimiento inventados pero con apariencia real. El informe de crédito no puede distinguir estas opciones por sí solo, por lo que la herramienta debe recurrir a otras señales.

Qué preguntar al proveedor:

• ¿Qué atributos del informe de crédito utiliza: antigüedad en el buró, número y tipo de cuentas, origen de la primera línea de crédito, consultas recientes?

• ¿Puede identificar un perfil donde la mayoría de las cuentas están pagadas y cerradas, y tratarlo como sospechoso en lugar de como un resultado limpio?

• ¿Qué sucede con un solicitante sin historial: se le rechaza directamente, se le pide una verificación adicional o se pasa a analizar otras señales?

• ¿Puede detectar patrones entre distintas solicitudes, como múltiples perfiles nuevos que se iniciaron con la misma primera línea de crédito?

Cómo se ve una respuesta débil: Evaluar la antigüedad del perfil y la cantidad de cuentas simplemente como una puntuación numérica, tratando un perfil limpio como excelente y rechazando por defecto a quienes no tienen historial.

4. Analiza el comportamiento del dispositivo y de la solicitud

En qué consiste: El comportamiento del dispositivo y de la solicitud evalúa cómo se completó el formulario y desde qué dispositivo: si se copió y pegó el texto, la velocidad, el uso de herramientas de automatización y si el dispositivo ya se había visto antes. El comportamiento revela lo que los datos ocultan, ya que los datos de una identidad sintética pueden ser perfectos, pero la forma de introducirlos no. En un proceso de apertura de cuentas de depósito, los controles para detectar identidades sintéticas creadas por bots analizan si el solicitante usa software de automatización o si apenas tecleó información a pesar de presentar una puntuación alta de identidad sintética.

Los ataques cambian de ritmo. Un gerente de estrategia de crédito y fraude de una entidad de préstamos en línea describió un ataque que primero actuó como una persona real, completando el formulario a velocidad humana. Una vez que se aplicaron restricciones, cambió su táctica y comenzó a atacar directamente las API de la entidad a velocidad de máquina para eludir controles como las contraseñas de un solo uso. Una herramienta que solo analizara el formulario de solicitud habría pasado por alto la segunda mitad de ese ataque.

Qué preguntar al proveedor:

• ¿Qué señales de dispositivo y comportamiento recopila durante la solicitud? ¿Puede detectar tráfico que va directo a nuestras API omitiendo el formulario?

• ¿Cómo se combinan las señales de comportamiento con la puntuación de identidad sintética? Por ejemplo, una puntuación de riesgo alta en una solicitud donde apenas se tecleó información.

• ¿Identifica el mismo dispositivo en diferentes solicitudes y en nuestros canales web y móviles?

Cómo se ve una respuesta débil: Que la información de dispositivo y comportamiento se venda como un producto independiente cuyos resultados nunca se integran en la decisión final sobre la identidad sintética.

Las identidades sintéticas creadas con autofotos (selfies) y documentos falsos mediante tecnología ultrafalsa (deepfake) requieren una prueba adicional de los controles de documentos y biometría previos a este criterio. Dicha prueba se detalla en una guía independiente para elegir herramientas de detección de deepfakes.

5. Conecta solicitudes en toda su base de datos

En qué consiste: La vinculación conecta solicitudes que comparten algún dato común: un teléfono, un correo, un dispositivo, una dirección, una cuenta bancaria o un rostro. Los controles de frecuencia miden cuántas veces aparecen esos elementos compartidos en un período determinado. Ambos métodos dependen de los datos de enlace que utilicen, y los estafadores suelen probar cuáles de ellos verifica usted. Un director de crédito de una entidad de préstamos en línea describió un ataque que funcionó debido a una suposición de este tipo: "Aprovecharon el hecho de que asumieron que solo haríamos controles de frecuencia en la combinación de cuenta corriente y número de ruta bancaria".

Algunas señales solo se detectan al comparar múltiples solicitudes. Un director de análisis de fraude de una entidad de crédito al consumo describió a infractores reincidentes en tiendas físicas y en línea: "Incluso vemos la misma foto en diferentes licencias de conducir y cosas por el estilo". Un gerente de producto de un gran banco quería saber si una identidad había comenzado a "abrir un número inusual de cuentas en distintas instituciones financieras" y si había "cambios significativos en la dirección y otros datos personales" a lo largo del tiempo.

Qué preguntar al proveedor:

• ¿Con qué elementos realizan las conexiones? ¿Podemos añadir nuestros propios datos de enlace sin necesidad de un desarrollo de ingeniería?

• ¿Se pueden realizar conexiones a partir de un rostro o de la imagen de un documento, y no solo mediante campos de texto?

• ¿Detectan solicitudes realizadas en otras instituciones o solo en la nuestra? ¿Qué abarcan esos datos?

• ¿Cómo muestran una red de fraude organizada: las solicitudes vinculadas, qué comparten y cuándo apareció cada una?

Cómo se ve una respuesta débil: Reglas fijas de frecuencia sobre unos pocos campos, sin posibilidad de ver o modificar qué elementos de enlace se están utilizando.

6. Sigue vigilando la cuenta después de su apertura

En qué consiste: Una identidad sintética que supera el proceso de registro suele ser descubierta más tarde por los investigadores. Con respecto a los controles de identidad sintética, el responsable de un equipo de fraude de un banco emisor de tarjetas señaló: "Cuando algo logra pasar, esa es una de las cosas que mi equipo descubre con mayor frecuencia". Por lo tanto, el software de detección debe seguir evaluando la cuenta a medida que madura, y no detenerse en la fase de solicitud.

Las señales cambian tras la apertura de la cuenta. El director de fraude de la entidad de crédito al consumo vigilaba "la cantidad de consultas que se realizaban en un corto período de tiempo. Eso me indica que se trata de un fraude por saturación o 'bust-out' sintético". Un director de riesgos y cumplimiento de una empresa de pagos describió un sistema de aprendizaje automático que podía "alertar de forma proactiva situaciones de 'bust-out' o de identidad sintética donde existían elementos comunes" entre cuentas, identificando el problema "antes de que ocurriera el impago masivo". En el ámbito comercial, un vicepresidente de operaciones de una empresa de servicios financieros describió identidades comerciales falsas que permanecían inactivas durante meses bajo políticas permisivas y luego cometían el fraude, porque no había un sistema para detectarlas.

Una alerta generada durante el registro debe llegar al sistema de monitoreo permanente. Un responsable de riesgos de una empresa de pagos señaló que a veces se detecta una identidad sintética en el registro pero se pasa por alto más adelante debido a la falta de comunicación entre departamentos. La razón habitual es que la señal de registro rara vez llega al equipo de monitoreo de transacciones o de cumplimiento.

Los aspectos económicos del 'bust-out' y cómo se cruza con el fraude de primera persona se detallan en fraude de primera persona y señales de 'bust-out'. Este criterio abarca únicamente lo que la herramienta debe detectar antes de que ocurra el impago masivo.

Qué preguntar al proveedor:

• ¿Evalúan las cuentas después de su apertura? ¿Ante qué eventos y con qué frecuencia?

• ¿Puede una alerta o puntuación de la fase de registro acompañar a la cuenta en el monitoreo posterior y modificar su gestión futura?

• ¿Qué señales vigilan antes de un 'bust-out': picos en consultas de crédito, patrones comunes entre cuentas, cuentas inactivas que de pronto muestran actividad?

• ¿Pueden analizar las cuentas que abrimos en el pasado y mostrarnos cuáles de los 'bust-outs' posteriores habrían detectado y en qué momento?

Cómo se ve una respuesta débil: Una detección que finaliza con la decisión de aprobación de la solicitud, o un producto de monitoreo que no recibe los resultados del proceso de registro.

7. Explica cada alerta y la canaliza adecuadamente

En qué consiste: La explicación es el motivo asociado a una alerta: qué señales se activaron, con qué elementos vinculó la herramienta la solicitud y por qué el resultado superó un límite establecido. Un investigador no puede trabajar con una puntuación de riesgo sin justificación, ni esta se puede defender ante un auditor. Una alerta que solo indica que algo parece inusual no es útil; lo que la hace útil es el contexto: el dispositivo vinculado, las cuentas relacionadas y el historial de la identidad. La prueba operativa clave es si ese motivo llega con claridad a la persona que gestiona el caso, con códigos de motivo y atributos visibles en su panel de trabajo.

La canalización determina si ese motivo se aprovecha bien. Un vicepresidente de operaciones de pago de una fintech prefería utilizar herramientas especializadas: "Al pensar en fraude sintético, fraude de identidad y dispositivo, prefiero una solución para cada caso". Usar herramientas independientes funciona, siempre que el resultado de identidad sintética, el de verificación de identidad y el de dispositivo lleguen a una única decisión y a un solo expediente. Tres paneles de control que solo ven una tercera parte del panorama pasarán por alto lo que solo revela la combinación de todos los elementos.

Qué preguntar al proveedor:

• Muestre una solicitud marcada con alerta de nuestros propios datos: qué señales se activaron, con qué se vinculó y qué es exactamente lo que ve un investigador.

• ¿Se devuelven códigos de motivo con cada puntuación, en un formato que podamos guardar junto con la decisión?

• ¿A dónde va el resultado: directo a nuestro motor de decisiones, a un gestor de casos o a un portal externo?

• ¿Puede nuestro equipo definir qué ocurre en cada nivel de riesgo (aprobar, pedir verificación adicional o enviar a revisión manual)?

Cómo se ve una respuesta débil: Una puntuación sin explicaciones, enviada a un portal independiente que ni el motor de decisiones ni los investigadores consultan habitualmente.

8. Indica claramente qué porcentaje de fallos comete con clientes reales

En qué consiste: Los falsos positivos son los solicitantes legítimos que una herramienta marca con alerta o rechaza. En la detección de identidad sintética, esto afecta principalmente a personas con poco historial de crédito, como jóvenes o extranjeros recién llegados. Sus perfiles parecen limitados por la misma razón que un perfil sintético, por lo que una herramienta que considere sospechoso cualquier historial limitado rechazará a clientes buenos junto con los malos. Pregunte a cada proveedor qué hace la herramienta con esos solicitantes y con qué frecuencia rechaza a alguien que resulta ser un cliente legítimo.

Evalúe la respuesta como parte de la debida diligencia del proveedor. Para los bancos de EE. UU., la Guía interinstitucional sobre relaciones con terceros de junio de 2023: Gestión de riesgos está vigente y se propuso su actualización el 11 de septiembre de 2026. Al 29 de septiembre de 2026, la actualización es una propuesta que enfatiza la necesidad de adaptar la gestión de riesgos de terceros al riesgo evaluado en cada relación. Bajo cualquiera de los textos, un proveedor que no pueda demostrar cómo trata a sus solicitantes legítimos le deja sin bases sólidas para ejercer esa supervisión.

Qué preguntar al proveedor:

• De nuestros clientes reales con historial limitado, ¿a cuáles habrían marcado con alerta o rechazado, y qué datos los habrían exculpado?

• ¿Qué otras señales utilizan para evaluar a un solicitante que no tiene historial crediticio?

• ¿Reportan los falsos positivos por segmentos (como edad o antigüedad en el registro) y podemos ver eso en nuestras propias solicitudes tras el lanzamiento?

• ¿Cómo podemos ajustar el resultado de la herramienta para un segmento que sabemos que tiene un excelente comportamiento?

Cómo se ve una respuesta débil: Una tasa de detección de fraude presentada sin su correspondiente tasa de falsos positivos, o una cifra de falsos positivos medida con clientes de otra institución.

Cómo probar la detección de identidad sintética con sus propias solicitudes

Pruebe el software de detección de identidad sintética con sus propias solicitudes, ya que los ejemplos de un proveedor muestran lo que la herramienta puede hacer en teoría, pero no lo que hará por usted. Un director de gestión de riesgo de fraude de una empresa de pagos describió esta brecha de forma muy clara: "Siempre es agradable ir al sitio web de un proveedor y ver todas las funciones atractivas que ofrece. Pero cuando las pruebas, te das cuenta de cuál es su rendimiento real". Seis pasos hacen que esta prueba sea replicable.

1. Mida su exposición. Cuente cuántas de sus pérdidas se debieron a identidades sintéticas y en qué productos, antes de fijar un presupuesto. Varios prestamistas que hicieron esto descubrieron menos fraude sintético del que esperaban.

2. Reúna dos grupos de datos. El primero debe contener identidades sintéticas confirmadas de pérdidas e investigaciones pasadas. El segundo, clientes legítimos con historiales limitados que resultaron ser buenos usuarios. Evalúe a cada candidato con ambos grupos.

3. Somete ambos grupos al análisis de cada candidato, de forma simultánea. Un responsable de prevención de lavado de dinero de una gestora de activos describió un entorno de pruebas donde el equipo podía "introducir algunos de nuestros datos antiguos y compararlos con las tasas de aprobación que obteníamos con las herramientas anteriores". Un prestamista de consumo evaluó solicitudes con su proveedor actual y con un competidor al mismo tiempo, además de probar una versión más reciente de la solución del proveedor habitual, antes de tomar una decisión.

4. Si no hay datos históricos, pruebe al candidato en vivo con un porcentaje de tráfico. Una señal que nunca ha utilizado no tiene resultados previos para una prueba retrospectiva. El director de gestión de riesgo de fraude señaló que en este caso "no puede ser un estudio retrospectivo" y planificó "integrarlo y simplemente evaluar el rendimiento mediante una prueba comparativa tipo A/B". Ejecute la herramienta candidata en una parte de las solicitudes reales en paralelo con su proceso actual.

5. Busque fraudes por saturación o 'bust-outs' posteriores. Analice las cuentas abiertas durante el último año, identifique las que luego cometieron impago masivo o se cancelaron por ser identidades sintéticas, y pregunte a cada candidato cuáles de ellas habría detectado en la apertura o durante la maduración de la cuenta.

6. Verifique la claridad de las explicaciones en un grupo de alertas. Entregue a un investigador varias solicitudes marcadas con alerta durante la prueba y pregúntele si los motivos indicados eran suficientes para gestionar y resolver cada caso.

Acuerde por escrito, antes de iniciar la prueba, qué datos saldrán de su institución y cómo se compararán los resultados de cada candidato.

Dónde encaja Oscilar, evaluado con los mismos criterios

Oscilar redactó esta guía, por lo que esta sección aplica sus propios criterios a Oscilar, basándose únicamente en lo que declaran sus páginas oficiales. Oscilar no proporciona puntuaciones de identidad sintética por sí misma. Coordina proveedores externos de identidad sintética, de burós de crédito y de verificación de identidad, junto con los propios datos de la institución, y toma la decisión sobre sus resultados. Por lo tanto, en los criterios 1 al 3, lo que Oscilar puede verificar depende de los proveedores que la institución conecte.

En cuanto al comportamiento del dispositivo y las conexiones entre solicitudes (criterios 4 y 5), la solución de detección de fraude en apertura de cuentas de Oscilar utiliza inteligencia de dispositivos, biometría del comportamiento y enriquecimiento de datos, además de analizar las conexiones entre cuentas para desmantelar redes de fraude. Incluye reglas preconfiguradas y modelos de aprendizaje automático para diversos escenarios, incluido el fraude en solicitudes. La plataforma de Oscilar combina aprendizaje automático supervisado, detección de anomalías no supervisada y reglas de negocio, cubriendo el registro, crédito, fraude y prevención de lavado de dinero en un solo lugar; cumpliendo así con el criterio 6 de que la alerta de registro acompañe a la cuenta.

En cuanto a la explicación y canalización (criterio 7), la gestión de casos de Oscilar prioriza las tareas pendientes y ofrece una explicación en lenguaje natural de por qué se creó cada alerta. Oscilar mantiene un registro de auditoría completo de cada decisión con la lógica almacenada, diseñado para mantener siempre la supervisión humana. La plataforma de Oscilar está optimizada para tomar decisiones en menos de 100 milisegundos.

En cuanto a clientes legítimos y pruebas (criterio 8 y la prueba anterior), Oscilar admite pruebas retrospectivas con datos históricos y pruebas A/B antes de implementar cambios, así como el monitoreo posterior de falsos positivos, tasas de aprobación e indicadores clave personalizados. El monitoreo automático de modelos de Oscilar cubre desviaciones de datos (data drift), desviaciones de variables (feature drift) y desviaciones de concepto (concept drift), midiendo el impacto por segmentos.

Oscilar fue incluida en la lista FCC50 de Chartis de 2026, su clasificación de proveedores de tecnología de cumplimiento y delitos financieros, ganando en las categorías de Personalización de Bajo Código/Sin Código e Innovación en IA Agéntica. Oscilar también es socio preferente de Nacha para la validación de cuentas, el monitoreo de fraude y la prevención de riesgos y fraude. Ninguno de estos reconocimientos califica directamente herramientas de detección de identidad sintética por separado, ni sustituye la necesidad de probar a Oscilar con sus propias solicitudes, tal como lo haría con cualquier otro proveedor.

Esta guía abarca la capa de detección. La elección del software de registro en el que se integra la herramienta de detección es una decisión independiente, que se analiza en nuestra guía de software de registro de clientes para bancos.

Resumen de los ocho criterios

La tabla asocia cada criterio con la pregunta para evaluarlo, la respuesta que debería alertarle y la fase de la prueba que lo demuestra.

Utilice la segunda columna como guion para las conversaciones con proveedores y la última columna para planificar sus pruebas.

Preguntas frecuentes

¿Cuál es la diferencia entre un control de identidad sintética y la verificación de identidad tradicional?

La verificación de identidad tradicional confirma que una identidad declarada existe y coincide con sus documentos o registros en un momento puntual. El control de identidad sintética analiza si la identidad fue fabricada de la nada: si sus elementos tienen un historial común, si su informe de crédito tiene una profundidad real y si el comportamiento de la solicitud corresponde al de una persona real. Una identidad sintética creada con datos válidos puede superar la verificación común pero fallar en el control de identidad sintética.

¿Evita el sistema eCBSV de la SSA el fraude de identidad sintética?

La coincidencia en el sistema eCBSV de la SSA no detiene las identidades sintéticas por sí sola. Dicha coincidencia, realizada con el consentimiento del solicitante, solo demuestra que el SSN, el nombre y la fecha de nacimiento corresponden en los registros oficiales. No demuestra que el solicitante sea esa persona real, y el SSN de un menor utilizado con su nombre y fecha de nacimiento reales también coincidirá. Utilice eCBSV como una señal más, junto con el historial de los elementos, la profundidad del perfil de crédito y el comportamiento.

¿Cómo debe tratar el software de detección a un solicitante legítimo con historial crediticio limitado?

El software de detección debe tratar la falta de historial crediticio como una ausencia de información y no como una prueba de fraude. Un resultado sin información en el buró se ve igual para un joven, un extranjero recién llegado o una identidad ficticia. La herramienta debe evaluar otras señales, como el historial de datos personales, el dispositivo, el comportamiento o solicitar una verificación adicional antes de rechazar a un usuario legítimo.

¿Puede el software alertar de una identidad sintética meses después de abrir la cuenta?

Sí, el software puede detectar una identidad sintética meses después de la apertura si continúa evaluando la cuenta tras el registro. Los picos en consultas de crédito, las cuentas inactivas que se reactivan de pronto y los patrones compartidos entre cuentas pueden aparecer antes de que ocurra un impago masivo. Esto solo es posible si el resultado obtenido en el registro acompaña a la cuenta en el monitoreo continuo.

¿Cuántas solicitudes pasadas se necesitan para probar una herramienta de identidad sintética?

No hay una cantidad fija. Necesita suficientes identidades sintéticas confirmadas para notar la diferencia de rendimiento entre las herramientas candidatas, y un grupo de clientes reales (incluidos aquellos con historial limitado) para medir los falsos positivos. Una institución con pocos casos confirmados puede añadir un análisis retrospectivo de cuentas que luego cometieron impago masivo, o probar la herramienta en vivo con una porción de las solicitudes.

¿Cómo se desempeña Oscilar frente a estos criterios?

Oscilar no proporciona puntuaciones de identidad sintética por sí misma. Coordina proveedores externos de identidad sintética, de burós de crédito y de verificación, aporta inteligencia de dispositivos, biometría de comportamiento y análisis de vínculos entre cuentas, y toma la decisión sobre los resultados con un registro de auditoría completo y diseño centrado en la supervisión humana. Dado que Oscilar redactó esta guía, le sugerimos probarla con sus propias solicitudes tal como lo haría con cualquier otro proveedor.

El mejor software de detección de fraude de identidad sintética para su institución es el que demuestre el mejor rendimiento con sus propias solicitudes reales. Es aquel que detecta las identidades sintéticas confirmadas de su historial, vigila las cuentas tras su apertura, explica claramente sus alertas y no interfiere con sus clientes reales de historial crediticio limitado. La solución de Oscilar para el fraude en la apertura de cuentas es una excelente opción para someter a esa prueba junto con cualquier otro proveedor que esté considerando.