Detección de fraude de identidad sintética: evaluación en todo el ciclo de vida del cliente

Última actualización: septiembre de 2026

Resumen rápido

La detección del fraude de identidad sintética falla en el registro inicial porque en ese momento casi no hay nada que detectar. Al estar construida con fragmentos reales y verificables, la identidad fabricada supera los controles. Lo que le falta es un historial profundo, algo que solo se hace evidente con el tiempo. Por tanto, la detección no consiste en un único control de entrada, sino en una serie de preguntas distintas en diferentes etapas; y el eslabón más débil suele ser que el resultado del control inicial nunca llega al equipo que supervisa la cuenta después.

Qué es el fraude de identidad sintética

La Reserva Federal lo define como "el uso de una combinación de datos personales (PII) para fabricar una persona o entidad con el fin de cometer un acto fraudulento para obtener un beneficio personal o financiero". La identidad no pertenece a nadie. Fue diseñada para existir.

Esa es la gran diferencia operativa con el fraude de usurpación de identidad, y lo que determina cómo se detecta. Una identidad robada pertenece a una persona real que tarde o temprano verá un extracto, recibirá una carta o revisará su historial crediticio y reclamará. Una identidad sintética no tiene dueño. Nadie disputa los cargos porque nadie ha sido perjudicado de una forma que pueda notar.

La consecuencia es que estas cuentas envejecen silenciosamente en la cartera de clientes. Cuando una finalmente incurre en impago, parece un cliente que simplemente dejó de pagar y se registra como pérdida crediticia en lugar de fraude. Por eso, las entidades suelen subestimar su nivel de exposición, y las cifras globales del sector heredan este mismo problema.

Cómo se construye una identidad sintética

Existen dos vías y cada una requiere una respuesta distinta.

La primera consiste en crear un perfil uniendo fragmentos de varias personas reales. Mike Timoney, vicepresidente de Pagos Seguros del Banco de la Reserva Federal de Boston, lo explicó en el podcast Six Hundred Atlantic del banco en marzo de 2025: "Los estafadores roban datos sueltos —quizás el número de cuenta de uno, la licencia de conducir de otra y el número de seguro social de un menor— y lo juntan todo para dar vida a una persona ficticia".

La segunda vía altera un único dato de una identidad real en lugar de combinar varias (como cambiar un dígito de un número de identificación o modificar el año de nacimiento), creando una copia casi idéntica que no corresponde a nadie.

La razón por la que la primera opción funciona tan bien es la misma por la que los controles de datos individuales no pueden detenerla. Cada fragmento es auténtico y se puede verificar por separado. Una cuenta corriente que existe, una licencia de conducir válida, un número de identificación real: todo supera el filtro. Sin embargo, la combinación de estos elementos nunca se ha comprobado en su conjunto. La verificación aprueba las partes, pero no dice nada sobre la totalidad.

Los números de identificación de los menores son uno de los recursos favoritos por este motivo. Son válidos, reales y no tienen un historial crediticio bajo supervisión, lo que permite que la identidad falsa funcione durante años antes de que el verdadero titular solicite un servicio y descubra el problema.

Por qué los controles de registro convencionales las aprueban

Un control de registro plantea una pregunta muy directa: ¿son coherentes estos datos entre sí y se pueden verificar con una fuente oficial? Una identidad sintética bien estructurada pasa la prueba porque la respuesta es sí. Sus datos son reales. Sencillamente, no pertenecen a la misma persona.

Lo que la dejaría al descubierto es otro tipo de señales. Timoney recomienda analizar "relaciones que van más allá de esos pocos datos básicos": el historial del correo electrónico, la antigüedad del número de teléfono, sus conexiones en redes o su vinculación a organizaciones. Las personas reales acumulan esta trayectoria de forma natural al hacer su vida. En el caso de las identidades ficticias, hay que crearla artificialmente, y eso requiere un tiempo que los estafadores prefieren no perder.

Aquí radica la dificultad que afecta a todo el proceso posterior. En el momento de la solicitud, ese historial también es escaso para un joven de diecinueve años, un inmigrante recién llegado o cualquier persona sin historial financiero previo. La señal que mejor identifica una cuenta sintética es precisamente la más débil cuando hay que tomar la decisión. Tratar la falta de historial como algo sospechoso por sí solo dejaría fuera a muchos clientes reales legítimos.

Por eso, emitir un único veredicto al registrar al cliente no sirve para resolver este problema, y por ello estructuramos este artículo por etapas en lugar de ofrecer una lista fija de comprobaciones.

El ciclo de vida: creación, maduración, expansión y fuga (bust-out)

La forma más útil de analizar una identidad sintética es verla como algo que evoluciona, ya que las señales para detectarla también cambian. Las cuatro fases siguientes ayudan a organizar este proceso (los nombres son nuestros y lo importante es la secuencia, no las etiquetas).

La fase intermedia es la maduración del crédito. Timoney la describe de forma sencilla: la identidad se utiliza y los pagos se realizan a tiempo, por lo que "la calificación crediticia sube" y los bancos conceden más financiación. La fase de expansión suele apoyarse en autorizaciones de firmas autorizadas (añadir la identidad falsa a una cuenta real existente), lo que le permite heredar el historial de esa cuenta de inmediato.

Y el final, en sus propias palabras: "Llimito la tarjeta de crédito. Supongamos que son 25 000 dólares. Agoto el saldo y desaparezco".

De este análisis se desprenden dos conclusiones: las pruebas que habrían servido para detectar la cuenta en la fase de creación ya no existen en la de expansión, y la información disponible en la expansión no existía al principio. Ninguna etapa puede sustituir a la otra.

Además, no todas las identidades sintéticas terminan en fuga, un detalle que muchos análisis pasan por alto. La Reserva Federal clasifica sus usos habituales en: reparación de crédito, fraude para el día a día, planes de impago y otras actividades delictivas. Una identidad utilizada como "fraude para el día a día" se comporta como un buen cliente de forma indefinida; no busca provocar pérdidas, por lo que una estrategia de detección orientada solo a detectar patrones de fuga nunca la encontrará.

Cómo detectarlas al abrir la cuenta

Los controles en esta fase coinciden con los que suelen aplicarse al fraude en cuentas nuevas, y ante una identidad sintética tienen un objetivo muy claro: averiguar si esa identidad tiene un pasado. Disponemos de cuatro categorías de análisis que van más allá de los datos básicos del perfil.

Coherencia de la identidad entre fuentes. No se trata solo de comprobar si cada dato es válido, sino de ver si coinciden al compararlos con distintas fuentes independientes y si esa combinación ya se ha registrado antes.

Datos de red y del dispositivo. Analizar si ese dispositivo, ruta de red o sesión ha aparecido en otras solicitudes y qué pasó con ellas. Esto aporta un enfoque distinto al de los datos de identidad tradicionales, ya que el estafador controla la identidad pero le resulta más difícil camuflar por completo el dispositivo.

Comportamiento durante la solicitud. La forma en que se rellena el formulario. Si los datos se introducen más rápido de lo que una persona puede escribir o en un orden que sugiere que se están copiando de otra pantalla, no es una prueba definitiva por sí sola, pero es un indicador útil.

Patrones en el historial de crédito. La antigüedad del historial frente a la edad del solicitante, la evolución de sus primeros registros y si su crecimiento se parece a un proceso de maduración artificial.

Organizar estos controles bajo el principio de la profundidad histórica es más importante que la propia lista. Cada uno busca responder si esa identidad tiene un pasado real, algo a lo que las comprobaciones de datos básicos no pueden llegar.

También hay que asumir ciertos límites. Al abrir una cuenta, el resultado ideal a menudo no es aprobar o rechazar, sino asignar un nivel de confianza junto con una instrucción de seguimiento (mantener la decisión abierta). Una solicitud calificada como "historial escaso pero admisible" y sometida a supervisión se está gestionando bien. Aprobar esa misma solicitud y olvidarse de ella en la cartera de clientes es un error.

Un matiz importante: la identidad sintética es un tipo de fraude de primera persona, ya que el titular de la cuenta y el estafador son el mismo sujeto. Hay puntos en común en sus controles y el problema general merece un análisis propio. Lo mismo ocurre con el proceso de verificación de identidad: la detección de fraude en KYC abarca el punto donde termina el cumplimiento normativo y empieza la decisión de riesgo, mientras que las cuentas puente o "mulas" representan otro reto muy cercano a ambos.

Cómo detectarlas una vez abierta la cuenta

El paso del tiempo aporta información que ningún control en la fase de solicitud puede conseguir.

La frecuencia con la que se solicita financiación se hace visible: una identidad que pide créditos en varios bancos a la vez muestra un patrón muy distinto al consumo habitual de una familia. Las relaciones entre clientes solo se detectan al analizar toda la cartera; por ejemplo, si un dispositivo, dirección o método de pago coincide en cuentas que no deberían tener relación alguna. Por último, la forma de actuar antes de una fuga sigue un patrón claro: saldos que se agotan al límite en varias cuentas a la vez y pagos mínimos que se mantienen hasta que se interrumpen de golpe.

Este último punto permite tratar el fraude por fuga como algo predecible. Si se ve como un hecho aislado, se asume la pérdida. Si se analiza como un patrón, hay una fase previa que se puede supervisar, y ahí es donde la intervención es realmente eficaz.

Esto nos devuelve a la decisión tomada durante el registro. El nivel de confianza calculado al inicio debe servir para ajustar los filtros posteriores, no considerarse un expediente cerrado. Una cuenta que se abrió con ciertas dudas debería activar alertas con criterios más estrictos, tener políticas de aumento de límite más rigurosas y recibir un seguimiento especial si empieza a solicitar crédito en otros lugares.

Para ello no hace falta cuestionar la decisión inicial, basta con que dicha decisión siga siendo visible.

En la práctica, esto no suele ocurrir, siendo el fallo más común en esta materia. El equipo de registro detecta la anomalía, la señala, pero la alerta no llega a los sistemas de supervisión de transacciones o de cumplimiento porque ambos departamentos funcionan con herramientas independientes que no comparten información en tiempo real. Creemos que este es un problema de gestión de datos y no de capacidad de detección, por lo que parchear conexiones entre sistemas no lo soluciona.

Un responsable de riesgos de una plataforma de pagos explicaba esta misma situación: a veces detectan una identidad sintética al registrarla, pero se acaba perdiendo entre los distintos departamentos. La decisión inicial fue correcta, pero se quedó donde se tomó.

Cuando este problema de comunicación es el principal obstáculo, el esfuerzo debe centrarse en la supervisión continua de transacciones y en que los datos de registro sean visibles allí, más que en mejorar el control de entrada.

El impacto de la IA en ambos lados

La IA generativa ha hecho que la creación de estas identidades sea más rápida y diversa. Timoney explica que permite analizar "grandes volúmenes de datos mucho más rápido que un humano" y evita "duplicar patrones", generando perfiles con menos repeticiones internas, que era lo que antes permitía detectar un lote sospechoso.

El factor de adaptación del estafador es aún más relevante y suele recibir menos atención. Si un grupo de identidades sintéticas "empieza a detectarse", el estafador identifica el patrón que las delató y diseña las siguientes para evitarlo. En este escenario, las reglas de detección no solo quedan obsoletas con el tiempo, sino que enseñan activamente al atacante qué debe cambiar. Cuanto más estáticas sean las reglas, más fácil se lo ponemos.

Para la defensa, la clave está en la velocidad de adaptación y no tanto en la complejidad técnica. Un sistema de reglas que tarda meses en modificarse es un blanco fácil. Lo que funciona es tener la capacidad de ver qué datos están definiendo una decisión, cambiarlos rápido y comprobar el efecto del cambio inmediatamente. Esto depende de la plataforma tecnológica sobre la que se trabaja, no de un modelo matemático concreto.

A nivel de plataforma, esto se traduce en contar con una base de datos en tiempo real en lugar de análisis periódicos, cruzar datos de identidad con información de dispositivos y comportamiento, integrar las reglas y la gestión de casos en la misma herramienta que usan los analistas de riesgo, y disponer de un historial completo que explique cada decisión, diseñado para la supervisión humana. No se trata de comprar un software exclusivo para identidades sintéticas. Las señales que las descubren son los indicadores habituales de una plataforma de riesgo bien integrada y orientada al ciclo de vida del cliente.

Dónde se concentra realmente el riesgo

El riesgo no se reparte de forma uniforme y las cifras generales a veces confunden. Los datos del sector abarcan distintos productos financieros, pero no todos presentan la misma vulnerabilidad; la combinación de productos de cada entidad define su nivel de exposición real.

Un director de riesgos de una entidad de crédito al consumo comentaba que las identidades sintéticas no eran un problema prioritario para ellos. Es una afirmación que debe tomarse en serio y no como una falta de atención. El riesgo existe, pero no afecta a todos por igual, y los mensajes alarmistas que aseguran que todas las entidades corren el mismo peligro no son realistas.

Por tanto, la pregunta clave no es si el fraude de identidad sintética es un problema grave a nivel general, sino si lo es en su cartera de clientes y cómo puede averiguarlo, teniendo en cuenta que cuando ocurre se suele registrar como una pérdida de crédito común.

Si sus pérdidas se concentran en el momento del registro, nuestro análisis sobre fraude en apertura de cuentas explica cómo aborda Oscilar esta decisión y qué datos conviene arrastrar de ella. Si los problemas surgen meses después de la aprobación, la solución está en mejorar la fase de supervisión.

Preguntas frecuentes

¿Qué es el fraude de identidad sintética?

Es el uso de datos personales reales combinados para crear una persona o entidad ficticia con el fin de obtener un beneficio financiero o personal, según la definición de la Reserva Federal. La identidad no pertenece a una persona real, aunque sus componentes individuales sean válidos, motivo por el cual no suele haber denuncias de víctimas.

¿Por qué las identidades sintéticas superan los controles habituales de registro?

Porque sus datos son reales y verificables, solo que no pertenecen a la misma persona. Los controles tradicionales comprueban la validez de los datos con fuentes oficiales y una identidad sintética bien armada supera ese filtro. Lo que le falta es un historial financiero sólido, algo que también les ocurre a los jóvenes o a los clientes nuevos legítimos.

¿Cómo evoluciona este fraude, desde su creación hasta la fuga?

Se crea la identidad combinando datos reales y se empieza a usar con líneas de crédito pequeñas que se pagan al día para generar un historial positivo y subir la puntuación crediticia. Con un perfil más solvente, el estafador solicita más crédito en varias entidades, agota el saldo disponible y desaparece. No obstante, en ocasiones estas identidades se usan a largo plazo para mantener una vida financiera normal sin llegar a provocar un impago.

¿Qué indicadores ayudan a detectar una identidad sintética al abrir una cuenta?

Los aspectos clave a analizar son la coherencia de los datos entre distintas fuentes independientes, la relación del dispositivo y la red con otras solicitudes, el comportamiento durante el proceso de registro y los patrones en su historial de crédito (como la antigüedad del historial frente a la edad del solicitante). Ninguno es definitivo por sí solo; por ello, el resultado idóneo suele ser asignar un nivel de sospecha para su posterior seguimiento, en lugar de un rechazo directo.

¿Cómo detectan las entidades este fraude al tramitar préstamos?

Dando más peso a datos que el solicitante no puede controlar. Los datos personales los facilita el usuario y son el indicador más débil ante un perfil diseñado expresamente para superar ese control. El historial del dispositivo, el comportamiento en el formulario y la coincidencia de datos con solicitudes previas son más difíciles de falsificar. Además, la fase de registro debe servir para definir el seguimiento posterior y no solo para dar un veredicto cerrado.

¿Cómo debe influir el nivel de riesgo del registro en la supervisión posterior?

El nivel de confianza obtenido en el registro debe integrarse en las alertas de los sistemas de control posteriores. Una cuenta que se abre con ciertas sospechas debe tener límites más estrictos para revisar transacciones, políticas de aumento de crédito más rígidas y mayor atención si solicita financiación en otros canales. El fallo habitual no es un diagnóstico erróneo al principio, sino que esa información no llegue a los sistemas que supervisan la cuenta más adelante.

¿Qué es más difícil de detectar, el fraude sintético o el de usurpación de identidad?

El sintético, debido a un factor estructural. En la usurpación de identidad hay una víctima real que tarde o temprano se da cuenta y reclama, dando un aviso claro a la entidad. En el fraude sintético no existe un dueño real que proteste, por lo que no se genera esa alerta y la cuenta puede operar sin sospechas dentro de la cartera durante años.

¿Cómo se utiliza la IA en el fraude de identidad sintética?

Por el lado de los estafadores, la IA generativa agiliza la creación de perfiles y los hace más variados, evitando las repeticiones que antes ayudaban a detectar lotes sospechosos. También les permite aprender de los errores: si un patrón de identidades empieza a fallar, el siguiente lote se diseña para superar ese control. Esto obliga a los sistemas de defensa a ser dinámicos, ya que unas reglas estáticas solo sirven para mostrar al atacante qué debe cambiar.