Roubo de Identidade Sintética: A Fraude de $40 Mil Milhões Que Usa um Número Real

Uma instituição de crédito abre um processo para um candidato de 23 anos com quatro anos de historial de crédito impecável e uma pontuação na casa dos 700. O candidato não existe: o número da Segurança Social que consta do pedido pertence a uma criança de nove anos que nunca teve conta bancária e, em menos de uma semana, esse mutuário inventado esgota todas as linhas de crédito e desaparece. Isto é o roubo de identidade sintética e, ao contrário de uma carteira roubada, nunca dispara qualquer alerta, porque as contas têm um nome que não pertence a ninguém.

Segundo a Reserva Federal norte-americana, que publicou em 2021 uma definição recomendada para o setor, a fraude de identidade sintética é a utilização de uma combinação de dados pessoais identificáveis para fabricar uma pessoa ou uma entidade com fins económicos. A variante mais comum, e a que este guia trata, solda um identificador verdadeiro a dados inventados. Segundo o relatório FTC Consumer Sentinel Network Data Book relativo a 2024, o roubo de identidade manteve-se como uma das maiores categorias de queixa do país, mas os casos sintéticos escondem-se lá dentro, lançados como perdas de crédito correntes em vez de comunicados como fraude.

É essa subcontagem que explica porque o número principal é um intervalo e não um total. As estimativas do setor colocam as perdas anuais globais entre $20 mil milhões e $40 mil milhões, ao passo que a fatia que os credores conseguem realmente contar é apenas uma parte dela.

Resposta rápida

O que é o roubo de identidade sintética?

O roubo de identidade clássico faz-se passar por si: alguém abre um cartão exatamente com o seu nome, o extrato chega e o cliente reclama. A fraude sintética faz o contrário. Pega num fragmento verdadeiro de si, quase sempre os nove dígitos de um número da Segurança Social, e constrói uma pessoa nova à volta dele. O nome, a data de nascimento e a morada são todos inventados.

É essa única opção de construção que torna tudo tão difícil de apanhar. As agências só juntam registos quando vários identificadores coincidem, por isso um número da Segurança Social que coincide, associado a um nome e a uma data de nascimento que não batem certo com o seu ficheiro, gera normalmente um segundo ficheiro separado em vez de se fundir com o seu. Os alertas de fraude assentam no seu nome, por isso ficam calados enquanto a identidade fantasma anda em cima do seu número.

A matéria-prima preferida é um número que ninguém está a vigiar. As crianças lideram a lista, já que o número de um menor fica parado durante dezoito anos e muito poucos pais chegam a verificar. Um relatório muito citado da Carnegie Mellon CyLab, de 2011, concluiu que 10.2 por cento de mais de 40,000 crianças inscritas num serviço de proteção de identidade já tinham o número usado por outra pessoa. Aquela amostra era autosselecionada, por isso a taxa real será provavelmente mais baixa. Idosos em lares, pessoas detidas e pessoas falecidas seguem-se pela mesma razão. O nosso guia sobre dados de identidade na dark web explica de onde vêm estes números.

Como funciona o roubo de identidade sintética e porque é que o seu relatório de crédito nunca o mostra

O processo é paciente e industrial. Um grupo que gere centenas de perfis ao mesmo tempo segue sempre os mesmos seis passos.

1. <strong>Obter o identificador.</strong> Um número da Segurança Social é comprado a granel em dados de fugas de informação, obtido por phishing junto do alvo ou adivinhado dentro de um intervalo válido e testado contra um formulário de pedido.
2. <strong>Construir a pessoa.</strong> O número é combinado com um nome plausível, uma data de nascimento que torna o titular um jovem adulto e uma morada onde seja possível receber correio.
3. <strong>Forçar a criação de um ficheiro de crédito.</strong> A pessoa fabricada pede crédito e é recusada, mas só a consulta já leva uma agência a abrir um ficheiro mínimo. A identidade passa a existir formalmente.
4. <strong>Amadurecer o ficheiro.</strong> Um cartão com caução ou uma pequena conta de retalho é pago com pontualidade perfeita durante doze a vinte e quatro meses, e a pontuação sobe com base em comportamento de pagamento genuíno.
5. <strong>Aproveitar historial alheio.</strong> O perfil é acrescentado como utilizador autorizado a linhas de crédito já consolidadas, muitas vezes compradas a intermediários, enxertando anos de historial num ficheiro com poucos meses de vida.
6. <strong>Rebentar com o crédito.</strong> Todas as linhas são usadas até ao limite em poucos dias, muitas vezes numa dúzia de credores em simultâneo, e a identidade é abandonada. Ninguém atende as chamadas de cobrança.

Sinais de alerta: como verificar se a sua identidade está a ser usada

Como a identidade falsa nunca tem o seu nome, procure antes os efeitos secundários dela. Qualquer um destes sinais justifica uma revisão completa do seu crédito.

• <strong>Correio dirigido a um nome que não reconhece.</strong> Ofertas pré-aprovadas ou cartas de cobrança para um desconhecido na sua morada são o primeiro sinal mais comum.
• <strong>Qualquer correio de crédito dirigido ao seu filho.</strong> Um menor não deveria gerar uma única oferta de crédito. Se chega uma, existe um ficheiro que não devia existir.
• <strong>Um pedido de bloqueio para um menor que responde que já existe um ficheiro.</strong> Esta é a confirmação mais clara de fraude de identidade infantil.
• <strong>Rendimentos no seu registo da Segurança Social que nunca teve.</strong> Salários declarados sob o seu número por uma entidade onde nunca trabalhou apontam diretamente para fraude sintética de emprego.
• <strong>Alcunhas ou moradas desconhecidas no seu relatório de crédito.</strong> As agências listam variantes do tipo «também conhecido por», e um erro de escrita que nunca usou pode ser a identidade fabricada a infiltrar-se no seu ficheiro.
• <strong>Uma declaração fiscal recusada porque já tinha sido entregue outra.</strong> O aviso do IRS costuma revelar a utilização indevida do número antes de qualquer credor.

Confirmar qualquer um destes pontos não custa nada, e não é necessária nenhuma subscrição paga de monitorização.

Recebeu uma mensagem a pedir que confirme o seu SSN, a data de nascimento ou os documentos de identificação? Analise-a no Truvizy antes de responder seja o que for.

Como o Truvizy deteta a fraude de identidade sintética

O Truvizy não é uma agência de crédito e não lê o seu ficheiro. Atua um passo antes, no momento em que os seus identificadores lhe são pedidos. Algumas identidades fabricadas são construídas com números roubados numa fuga de dados. Outras começam com um número que a vítima escreveu num falso aviso de prestações sociais, num formulário de adesão fraudulento ou numa verificação de identidade bancária imitada.

Cole essa mensagem, essa captura de ecrã ou esse link no Truvizy, em truvizy.app, e a deteção com inteligência artificial corre uma análise multicamada da redação, do enquadramento de urgência, do remetente alegado e do destino, e devolve um veredito claro em segundos. Um número da Segurança Social que já está em circulação não pode ser recolhido, por isso o momento de maior alavancagem é o que antecede escrevê-lo, sobretudo no telemóvel, onde as pistas habituais ficam escondidas.

O que fazer se suspeitar de roubo de identidade sintética

Siga estes passos por esta ordem. Os casos sintéticos desfazem-se devagar, porque as contas não estão em seu nome.

Peça os três relatórios. Solicite os relatórios da Equifax, da Experian e da TransUnion em annualcreditreport.com e leia cada alcunha, cada morada e cada consulta, não apenas a lista de contas.

Bloqueie as três agências. O bloqueio é gratuito, reversível e impede a abertura de contas novas com o seu número, seja qual for o nome usado pelo requerente. Faça o mesmo por cada criança do agregado familiar.

Verifique o seu registo de rendimentos da Segurança Social. Peça à SSA que corrija quaisquer rendimentos que não sejam seus e comunique depois a utilização indevida ao Office of the Inspector General da SSA. A SSA corrige o registo, não investiga a fraude.

Participe à FTC e depois localmente. Apresente a queixa em reportfraud.ftc.gov ou em identitytheft.gov para obter o plano de recuperação e a declaração formal, e junte depois uma participação policial. A declaração mais a participação policial é o que agências e credores aceitam quando pede o bloqueio de uma linha de crédito fraudulenta.

Participe também o meio de entrega. Se a fraude lhe chegou online, uma SMS de phishing, um anúncio de emprego falso, uma página de credor imitada, acrescente uma queixa em ic3.gov. Se surgir como salários que nunca recebeu ou como uma declaração fiscal recusada, entregue em vez disso o formulário 14039 do IRS.

Reclame por escrito e guarde tudo. Envie as reclamações por correio, guarde cópias e conte com ter de se repetir. O nosso guia de recuperação após roubo de identidade percorre toda a sequência de papelada em detalhe.

Nota de análise especializada: a fraqueza que define esta fraude é estrutural e não técnica. Os credores lançam a perda como incumprimento, as agências separam em vez de juntar ficheiros que não coincidem, e o titular real do número é escolhido precisamente por não ter motivo nenhum para ir ver. A deteção quase nunca chega sozinha, por isso tratar o número da Segurança Social como uma credencial que nunca pode ser trocada, e verificar cada pedido antes de responder, é a única defesa que funciona à escala de uma pessoa e não à escala de uma instituição.

Perguntas frequentes

Como sei se alguém está a usar o meu número da Segurança Social?

Peça os seus relatórios de crédito às três agências em annualcreditreport.com e procure contas, moradas ou variações do seu nome que não reconheça. Depois verifique o seu registo de rendimentos dentro de uma conta my Social Security, à procura de salários que nunca recebeu, o sinal isolado mais claro de utilização sintética. A FTC Consumer Sentinel Network registou cerca de 1.1 milhões de queixas de roubo de identidade em 2024, por isso faça esta verificação todos os trimestres.

Como posso verificar gratuitamente se a minha identidade está a ser usada?

As verificações gratuitas cobrem quase todo o terreno. Os relatórios semanais da Equifax, da Experian e da TransUnion não custam nada em annualcreditreport.com, o bloqueio de segurança em cada agência é gratuito por lei e o registo de rendimentos é gratuito dentro de uma conta my Social Security. Junte um PIN de proteção de identidade do IRS e tem os quatro sítios onde uma identidade fabricada aparece primeiro. Em Portugal, o reflexo equivalente passa pelo mapa de responsabilidades de crédito do Banco de Portugal, que mostra os créditos registados em seu nome, e pelo direito de acesso aos seus dados pessoais previsto no RGPD junto de quem os trate.

Posso verificar se o número da Segurança Social do meu filho já foi usado?

Pode, e a verificação funciona também como solução. Peça a cada agência um bloqueio gratuito de consumidor protegido, apresentando prova de tutela e de identidade. Se não existir qualquer ficheiro, a agência é obrigada a criar um apenas para o poder bloquear. Se uma agência responder que já existe um ficheiro, essa é a sua resposta, e é a confirmação mais clara de fraude sintética sobre o número do seu filho.

A monitorização de crédito apanha a fraude de identidade sintética?

Só em parte. A monitorização normal avisa sobre atividade ligada ao seu nome, e uma identidade sintética junta de propósito o seu número a um nome diferente, por isso o alerta pode nunca disparar. Ler o relatório completo à procura de alcunhas e moradas desconhecidas apanha bastante mais. Bloquear as três agências é mais forte, porque o bloqueio impede a conta nova em vez de a comunicar depois de aberta.

O Truvizy consegue dizer-me se uma mensagem que pede o meu SSN é burla?

O Truvizy analisa a mensagem, não o seu ficheiro de crédito. Cole no Truvizy o texto, o email ou o link que pede o seu número da Segurança Social e a deteção com inteligência artificial devolve um veredito claro em segundos sobre se o remetente se está a fazer passar por um banco, por uma instituição de crédito ou por um organismo público. Um veredito de burla diz-lhe que o próprio pedido foi fabricado, ou seja, o número nunca foi devido a ninguém.

Burlas com a Segurança Social: como os criminosos usam o seu SSN contra si — As chamadas e mensagens feitas para extrair exatamente o número em que assenta a fraude sintética

Prevenção do roubo de identidade: 15 passos para proteger os seus dados pessoais — A lista completa de prevenção, do bloqueio de crédito à higiene das suas contas

A sua identidade está na dark web? Como verificar e o que fazer — Para onde vão os números da Segurança Social expostos em fugas de dados e quanto custam