シンセティックID詐欺（合成身元詐欺）：実在する社会保障番号から偽の人物が作られる400億ドル規模の被害

ある貸金業者が、23歳の申込者のファイルを開きます。4年分のきれいな借入履歴があり、スコアは700台前半。ところが、この申込者は存在しません。申込書に書かれた社会保障番号は、銀行口座を持ったことすらない9歳の子どものものであり、作り出された借り手は1週間のうちにすべての枠を引き出して消えます。これがシンセティックID詐欺です。財布を盗まれた場合と違って、警告は一度も鳴りません。口座に載っている名前が、誰のものでもないからです。

2021年に業界推奨の定義を公表した米連邦準備制度によれば、シンセティックID詐欺とは、金銭的な利益を得るために個人を特定できる情報を組み合わせ、人物または法人を作り出す行為です。もっとも多く、本ガイドが扱うのも、実在する識別子ひとつに架空の情報を溶接するように貼り付ける手口です。2024年を対象とした FTC Consumer Sentinel Network Data Book によれば、個人情報盗難は依然として米国最大級の申告カテゴリーでしたが、シンセティックの事案はその中に隠れています。詐欺として報告されず、通常の与信損失として償却されてしまうからです。

この過少計上こそ、代表的な数字が総額ではなくレンジで示される理由です。業界推計は世界全体の年間被害額を200億ドルから400億ドルとしますが、貸金業者が実際に数えられる部分は、そのごく一部にすぎません。

クイックアンサー

シンセティックID詐欺とは何か

従来の個人情報盗難は、あなたになりすまします。誰かがあなたの名前そのままでカードを作り、明細が届き、あなたが異議を申し立てる。シンセティックID詐欺はその逆を行きます。あなたの本物のかけらをひとつ、ほぼ必ず社会保障番号の9桁だけを取り、その周りに新しい人物を組み立てます。氏名も生年月日も住所も、すべて作りものです。

この設計上の選択ひとつが、発見を極端に難しくしています。信用情報機関は複数の識別子が一致したときにしか記録を統合しないため、社会保障番号は一致していても氏名と生年月日があなたのファイルと合わない場合、多くは統合されず、2つ目の別のファイルが新たに生まれます。不正利用アラートは氏名を手がかりに動くので、影の身元があなたの番号に乗っている間も、アラートは沈黙したままです。

好んで使われる素材は、誰も見ていない番号です。筆頭は子どもです。未成年者の番号は18年間使われないまま眠っており、確認する親はほとんどいません。広く引用される2011年のカーネギーメロン大学 CyLab の報告では、身元保護サービスに登録した4万人を超える子どものうち10.2 パーセントが、すでに自分の番号を他人に使われていました。この標本は自ら申し込んだ人たちなので、実際の比率はこれより低いと考えられます。長期療養中の高齢者、受刑者、亡くなった人が、同じ理由で続きます。これらの番号がどこから来るのかは、ダークウェブに流れた個人情報のガイドで扱っています。

シンセティックID詐欺の仕組みと、自分の信用情報に決して現れない理由

この手口は気が長く、そして工業的です。数百のプロフィールを同時に回す集団は、いつも同じ6つの段階を踏みます。

1. <strong>識別子を手に入れる。</strong>社会保障番号は、漏えいデータからまとめて買われるか、標的からフィッシングで引き出されるか、有効な範囲内で推測して申込フォームで試されます。
2. <strong>人物を組み立てる。</strong>番号に、ありそうな氏名、その人物が若い成人になる生年月日、実際に郵便が届く住所を組み合わせます。
3. <strong>信用情報ファイルを強制的に作らせる。</strong>作られた人物が与信を申し込み、否決されます。しかし照会が入っただけで信用情報機関は薄いファイルを開きます。この身元は、ここで正式に存在し始めます。
4. <strong>ファイルを寝かせて育てる。</strong>デポジット型カードや少額のリテール口座を12か月から24か月きちんと返済し続けると、本物の返済実績を根拠にスコアが上がっていきます。
5. <strong>ピギーバックで履歴を接ぎ木する。</strong>このプロフィールを、実績のある与信枠の認定利用者として登録します。多くはブローカーから買ったもので、数か月前に生まれたばかりのファイルに、何年分もの履歴が接ぎ木されます。
6. <strong>バストアウトで一気に抜く。</strong>数日のうちにすべての枠を上限まで引き出し、多くは十数社の貸金業者から同時に実行して、その身元を捨てます。督促の電話に出る者は誰もいません。

危険信号：自分の身元が使われているか確認する方法

偽の身元にあなたの氏名が載ることは決してないので、代わりにその副作用を探します。次のうちどれかひとつでも当てはまれば、信用情報を全面的に見直す価値があります。

• <strong>知らない氏名あての郵便物。</strong>自宅の住所に、見知らぬ人あての事前承認オファーや督促状が届くのが、もっとも多い最初のサインです。
• <strong>子どもあてに届く与信関連の郵便物。</strong>未成年者に与信のオファーが届くことは、本来ゼロであるべきです。1通でも届いたなら、あってはならないファイルが存在しています。
• <strong>未成年者の凍結を申請したら、すでにファイルがあると返ってくる。</strong>子どもの個人情報が悪用されていることを、もっとも明確に裏づけるサインです。
• <strong>社会保障の記録に、稼いだ覚えのない収入がある。</strong>働いたことのない雇用主があなたの番号で賃金を申告しているなら、就労を装うシンセティック詐欺を直接指し示しています。
• <strong>信用情報に見慣れない別名や住所がある。</strong>信用情報機関は「別名」の欄を併記しますが、一度も使ったことのない表記ゆれは、作られた身元があなたのファイルににじみ出た跡かもしれません。
• <strong>すでに申告済みだという理由で確定申告が受理されない。</strong>米国の税務当局からの通知が、どの貸金業者より先に番号の悪用を明らかにすることは少なくありません。

これらの確認にはどれも費用がかかりませんし、有料のモニタリング契約も必要ありません。

社会保障番号や生年月日、身分証の情報を確認してほしいというメッセージが届きましたか。何かを答える前に、まず Truvizy でスキャンしてください。

Truvizy はシンセティックID詐欺をどう検出するのか

Truvizy は信用情報機関ではなく、あなたのファイルを読むこともありません。働くのはその一歩手前、あなたの識別情報が求められた瞬間です。作られた身元の一部は、漏えいで流出した番号の上に建てられます。別のものは、偽の給付通知や、いかにもな入社手続きフォーム、銀行の本人確認をまねた画面に、標的自身が打ち込んだ番号から始まります。

そのメッセージやスクリーンショット、リンクを truvizy.app の Truvizy に貼り付ければ、AIを活用した検出が文面、急かし方、名乗っている送信者、リンク先を多層的に解析し、数秒で明快な判定を返します。いったん出回った社会保障番号は取り戻せないので、もっとも効き目があるのは、それを入力する直前の一瞬です。いつもの手がかりが画面に出ないスマートフォンでは、なおさらです。

シンセティックID詐欺が疑われるときにすべきこと

この順番で進めてください。シンセティックの事案は、口座があなたの名義ではないため、解きほぐすのに時間がかかります。

3社すべての信用情報を取り寄せる。annualcreditreport.com で Equifax、Experian、TransUnion の情報を請求し、口座一覧だけでなく、別名、住所、照会履歴のすべてに目を通してください。

3つの信用情報機関すべてを凍結する。凍結は無料で、いつでも解除でき、申込者がどんな氏名を使おうと、あなたの番号での新規口座開設を止めます。家庭内のすべての子どもについても、同じ手続きをしてください。

社会保障の収入記録を確認する。自分のものではない収入があれば SSA に訂正を求め、悪用そのものは SSA の監察総監室（Office of the Inspector General）に届け出てください。SSA は記録を直しますが、詐欺の捜査はしません。

FTC に申告し、その後に地元当局へ。reportfraud.ftc.gov または identitytheft.gov で復旧プランと宣誓供述書を受け取り、そのうえで警察への被害届を加えます。不正な取引記録の凍結を求めるとき、信用情報機関と貸金業者が受け付けるのは、この宣誓供述書と被害届の組み合わせです。

届いた経路も併せて申告する。フィッシングSMS、偽の求人、なりすました貸金業者のページなど、オンライン経由で届いたのであれば ic3.gov にも申告を追加してください。稼いだ覚えのない賃金や、受理されない確定申告として表面化した場合は、代わりに IRS Form 14039 を提出します。

異議は書面で出し、すべて残す。異議は郵送で送り、控えを保管し、同じ説明を何度も繰り返すことを覚悟してください。個人情報盗難からの復旧ガイドで、書類の手順を詳しく追っています。

専門家による分析：この詐欺の決定的な弱点は、技術ではなく構造にあります。貸金業者は損失を不良債権として処理し、信用情報機関は一致しないファイルを統合せずに分けて持ち、本当の番号の持ち主は、見に行く理由がないという理由でこそ選ばれます。発見が向こうからやってくることは、ほとんどありません。だからこそ、社会保障番号を二度と交換できない資格情報として扱い、それを求めるすべての要求を答える前に検証することが、組織ではなく個人の単位で機能する唯一の防御になります。

よくある質問

自分の社会保障番号が誰かに使われているかどうかは、どうすればわかりますか。

annualcreditreport.com で3つの信用情報機関すべての信用情報を取り寄せ、身に覚えのない口座、住所、氏名の表記ゆれがないか確認してください。次に my Social Security アカウントで収入記録を開き、働いたことのない収入が計上されていないか見ます。シンセティックな悪用をもっとも明確に示すサインです。FTC Consumer Sentinel Network には2024年に約110万件の個人情報盗難の申告が寄せられているため、四半期に一度は確認しておくとよいでしょう。

自分の身元が悪用されていないかを無料で確認できますか。

無料のチェックだけでほぼカバーできます。Equifax、Experian、TransUnion の週次の信用情報は annualcreditreport.com で無料、各機関でのセキュリティ凍結は法律により無料、収入記録は my Social Security アカウント内で無料です。さらに IRS の本人確認PINを加えれば、作られた身元が最初に表面化する4か所を押さえられます。日本で同じ発想の備えをするなら、CIC と JICC に自分の信用情報の開示を請求して見覚えのない契約がないか確かめ、なりすましやフィッシングの最新の手口は IPA（情報処理推進機構）が公開している注意喚起で確認しておくとよいでしょう。

子どもの社会保障番号が使われていないか確認できますか。

はい、しかもその確認作業がそのまま対策になります。親権や後見の証明と本人確認書類をそろえて、各信用情報機関に未成年者向けの無料の凍結を申請してください。ファイルが存在しなければ、機関は凍結できるようにするためだけにファイルを作らなければなりません。逆に、すでにファイルがあるという返答が来たら、それが答えです。お子さんの番号にシンセティック詐欺が及んでいることを、もっとも明確に裏づけるサインです。

信用情報のモニタリングでシンセティックID詐欺は防げますか。

部分的にしか捕まえられません。一般的なモニタリングはあなたの氏名に結びついた動きを知らせますが、シンセティックID詐欺はあえてあなたの番号を別の氏名と組み合わせるため、通知が一度も鳴らないことがあります。信用情報を全文読み、見慣れない別名や住所を探すほうが多く見つかります。3つの機関すべてを凍結するほうがさらに強力です。凍結は新規口座を事後に知らせるのではなく、開設そのものを止めるからです。

社会保障番号を求めてくるメッセージが詐欺かどうか、Truvizy は教えてくれますか。

Truvizy が見るのは信用情報ではなく、届いたメッセージのほうです。社会保障番号を求めてくるSMS、メール、リンクを Truvizy に貼り付ければ、AIを活用した検出が数秒で明快な判定を返し、送信者が銀行、貸金業者、政府機関になりすましていないかを示します。詐欺という判定は、その要求自体が作り物であり、番号を渡す理由は最初からなかったという意味です。

社会保障番号を狙う詐欺：犯罪者はあなたのSSNをどう悪用するのか — シンセティックID詐欺が動く元になる、その番号だけを狙って作られた電話とSMS

個人情報盗難の予防：あなたの個人情報を守る15のステップ — 信用の凍結からアカウント管理まで、予防のチェックリストのすべて

自分の個人情報はダークウェブにある？確認方法と対処法 — 流出した社会保障番号がどこへ流れ、いくらで売られているのか