Roubo de identidade sintética: a fraude de US$ 40 bilhões que usa um número real

Uma financeira abre um cadastro para um solicitante de 23 anos com quatro anos de histórico de crédito impecável e uma pontuação na casa dos 700. O solicitante não existe: o número de Seguridade Social usado no pedido pertence a uma criança de nove anos que nunca teve conta em banco, e em uma semana esse tomador inventado esvazia todos os limites e some. Isso é o roubo de identidade sintética e, diferente de uma carteira roubada, nenhum alerta dispara, porque as contas carregam um nome que não é de ninguém.

Segundo o Federal Reserve, que publicou em 2021 uma definição recomendada para o setor, a fraude de identidade sintética é o uso de uma combinação de dados pessoais identificáveis para fabricar uma pessoa ou uma entidade com ganho financeiro. A variante mais comum, e a que este guia cobre, solda um identificador verdadeiro a dados inventados. Segundo o relatório FTC Consumer Sentinel Network Data Book referente a 2024, o roubo de identidade seguiu como uma das maiores categorias de reclamação do país, mas os casos sintéticos se escondem dentro dela, baixados como perdas comuns de crédito em vez de reportados como fraude.

Essa subnotificação é o motivo de o número principal ser uma faixa e não um total. Estimativas do setor colocam as perdas anuais globais entre $20 bilhões e $40 bilhões, enquanto a fatia que os credores conseguem de fato contar é uma fração disso.

Resposta rápida

O que é roubo de identidade sintética?

O roubo de identidade clássico se passa por você: alguém abre um cartão exatamente no seu nome, a fatura chega e você contesta. A fraude sintética faz o contrário. Ela pega um fragmento verdadeiro seu, quase sempre os nove dígitos de um número de Seguridade Social, e constrói uma pessoa nova em volta dele. O nome, a data de nascimento e o endereço são todos inventados.

Essa única escolha de projeto é o que torna tudo tão difícil de pegar. Os bureaus só fundem registros quando vários identificadores batem, então um número de Seguridade Social que coincide, combinado a um nome e a uma data de nascimento que não batem com o seu cadastro, costuma gerar um segundo cadastro separado em vez de se juntar ao seu. Os alertas de fraude são acionados pelo seu nome, então ficam calados enquanto a identidade fantasma cavalga em cima do seu número.

A matéria-prima preferida é um número que ninguém está vigiando. Crianças lideram a lista, já que o número de um menor fica parado por dezoito anos e pouquíssimos pais chegam a conferir. Um relatório muito citado da Carnegie Mellon CyLab, de 2011, encontrou 10.2 por cento de mais de 40,000 crianças inscritas em um serviço de proteção de identidade com o número já usado por outra pessoa. Aquela amostra era autosselecionada, então a taxa real provavelmente é menor. Idosos em casas de repouso, pessoas presas e pessoas falecidas vêm em seguida pelo mesmo motivo. Nosso guia sobre dados de identidade na dark web mostra de onde esses números saem.

Como funciona o roubo de identidade sintética e por que seu relatório de crédito nunca mostra isso

O processo é paciente e industrial. Uma quadrilha que roda centenas de perfis ao mesmo tempo segue sempre os mesmos seis passos.

1. <strong>Conseguir o identificador.</strong> Um número de Seguridade Social é comprado em lote em bases vazadas, obtido por phishing junto ao alvo ou chutado dentro de uma faixa válida e testado contra um formulário de proposta.
2. <strong>Montar a pessoa.</strong> O número é combinado com um nome plausível, uma data de nascimento que transforma o titular em um jovem adulto e um endereço que recebe correspondência.
3. <strong>Forçar a criação de um cadastro de crédito.</strong> A pessoa fabricada pede crédito e é recusada, mas só a consulta já faz um bureau abrir um cadastro mínimo. A identidade passa a existir formalmente.
4. <strong>Amadurecer o cadastro.</strong> Um cartão com garantia ou uma pequena conta de loja é pago com perfeição por doze a vinte e quatro meses, e a pontuação sobe com base em comportamento de pagamento genuíno.
5. <strong>Pegar carona em histórico alheio.</strong> O perfil é incluído como usuário autorizado em linhas de crédito já consolidadas, muitas vezes compradas de intermediários, enxertando anos de histórico em um cadastro que tem meses de vida.
6. <strong>Estourar tudo.</strong> Todos os limites são sacados até o teto em poucos dias, com frequência em uma dúzia de credores ao mesmo tempo, e a identidade é abandonada. Ninguém atende as ligações de cobrança.

Sinais de alerta: como checar se estão usando sua identidade

Como a identidade falsa nunca carrega o seu nome, procure os efeitos colaterais dela. Qualquer um destes já justifica uma revisão completa do seu crédito.

• <strong>Correspondência endereçada a um nome que você não reconhece.</strong> Ofertas pré-aprovadas ou cartas de cobrança para um estranho no seu endereço são o primeiro sinal mais comum.
• <strong>Qualquer correspondência de crédito endereçada ao seu filho.</strong> Um menor deveria gerar zero ofertas de crédito. Se uma chega, existe um cadastro que não deveria existir.
• <strong>Um pedido de bloqueio para menor que volta dizendo que já existe um cadastro.</strong> Essa é a confirmação mais clara de fraude de identidade infantil.
• <strong>Rendimentos no seu histórico da Seguridade Social que você nunca teve.</strong> Salários informados sob o seu número por uma empresa onde você nunca trabalhou apontam direto para fraude sintética de emprego.
• <strong>Apelidos ou endereços desconhecidos no seu relatório de crédito.</strong> Os bureaus listam variantes do tipo “também conhecido como”, e um erro de grafia que você nunca usou pode ser a identidade fabricada vazando para dentro do seu cadastro.
• <strong>Uma declaração de imposto recusada porque outra já havia sido entregue.</strong> O aviso do IRS costuma revelar o uso indevido do número antes de qualquer credor.

Confirmar qualquer um desses pontos não custa nada, e nenhuma assinatura paga de monitoramento é necessária.

Recebeu uma mensagem pedindo para confirmar seu SSN, sua data de nascimento ou seus documentos? Analise no Truvizy antes de responder qualquer coisa.

Como o Truvizy detecta a fraude de identidade sintética

O Truvizy não é um bureau de crédito e não lê o seu cadastro. Ele age um passo antes, no momento em que os seus identificadores são pedidos. Algumas identidades fabricadas são construídas com números roubados em um vazamento. Outras começam com um número que a vítima digitou em um falso aviso de benefício, em um formulário de cadastro fraudulento ou em uma verificação de identidade bancária imitada.

Cole essa mensagem, essa captura de tela ou esse link no Truvizy, em truvizy.app, e a detecção com inteligência artificial roda uma análise multicamadas do texto, do enquadramento de urgência, do remetente alegado e do destino, e devolve um veredito claro em segundos. Um número de Seguridade Social já em circulação não pode ser recolhido, então o momento de maior alavancagem é o anterior a digitá-lo, principalmente no celular, onde as pistas de sempre ficam escondidas.

O que fazer se você suspeita de roubo de identidade sintética

Siga estes passos na ordem. Casos sintéticos se desfazem devagar, porque as contas não estão no seu nome.

Puxe os três relatórios. Peça os relatórios de Equifax, Experian e TransUnion em annualcreditreport.com e leia cada apelido, cada endereço e cada consulta, não apenas a lista de contas.

Bloqueie os três bureaus. O bloqueio é gratuito, reversível e impede contas novas no seu número, não importa qual nome o solicitante use. Faça o mesmo para cada criança da casa.

Confira seu histórico de rendimentos da Seguridade Social. Peça à SSA que corrija qualquer rendimento que não seja seu e depois relate o uso indevido ao Office of the Inspector General da SSA. A SSA conserta o registro, ela não investiga a fraude.

Registre na FTC e depois localmente. Faça a denúncia em reportfraud.ftc.gov ou em identitytheft.gov para receber o plano de recuperação e a declaração formal, e depois some um boletim de ocorrência. A declaração mais o boletim é o que bureaus e credores aceitam quando você pede o bloqueio de uma linha de crédito fraudulenta.

Denuncie também o meio de entrega. Se a fraude chegou até você pela internet, um SMS de phishing, uma vaga de emprego falsa, uma página clonada de financeira, registre uma queixa em ic3.gov. Se ela aparecer como salários que você nunca recebeu ou como declaração de imposto recusada, entregue no lugar o formulário 14039 do IRS.

Conteste por escrito e guarde tudo. Envie as contestações por correio, guarde cópias e conte com repetir a mesma história várias vezes. Nosso guia de recuperação de identidade roubada detalha toda a sequência de papelada.

Nota de análise especializada: a fraqueza que define essa fraude é estrutural, não técnica. Os credores lançam a perda como inadimplência, os bureaus separam em vez de fundir cadastros que não batem, e o dono real do número é escolhido justamente porque não tem motivo nenhum para olhar. A detecção quase nunca chega sozinha, então tratar o número de Seguridade Social como uma credencial que jamais pode ser trocada, e verificar cada pedido antes de responder, é a única defesa que funciona na escala de uma pessoa em vez da escala de uma instituição.

Perguntas frequentes

Como saber se alguém está usando meu número de Seguridade Social?

Puxe seus relatórios de crédito nos três bureaus em annualcreditreport.com e procure contas, endereços ou variações do seu nome que você não reconheça. Depois confira o histórico de rendimentos dentro de uma conta my Social Security, atrás de salários que você nunca recebeu, o sinal isolado mais claro de uso sintético. A FTC Consumer Sentinel Network registrou cerca de 1.1 milhão de denúncias de roubo de identidade em 2024, então faça essa checagem a cada trimestre.

Como faço para checar de graça se estão usando minha identidade?

As checagens gratuitas cobrem quase tudo. Os relatórios semanais de Equifax, Experian e TransUnion não custam nada em annualcreditreport.com, o bloqueio de segurança em cada bureau é gratuito por lei e o histórico de rendimentos é gratuito dentro de uma conta my Social Security. Some a isso um PIN de proteção de identidade do IRS e você tem os quatro lugares onde uma identidade fabricada aparece primeiro. No Brasil, o reflexo equivalente é consultar seu CPF na Serasa e no SPC, acompanhar o Registrato do Banco Central do Brasil para ver contas e empréstimos em seu nome e registrar a queixa no PROCON.

Dá para checar se o número de Seguridade Social do meu filho já foi usado?

Dá, e a checagem já serve como solução. Peça em cada bureau um bloqueio gratuito de consumidor protegido, apresentando comprovação de guarda e de identidade. Se nenhum cadastro existir, o bureau é obrigado a criar um apenas para poder bloqueá-lo. Se um bureau responder que já existe um cadastro, essa é a sua resposta, e é a confirmação mais clara de fraude sintética sobre o número do seu filho.

O monitoramento de crédito pega a fraude de identidade sintética?

Só em parte. O monitoramento comum avisa sobre atividade ligada ao seu nome, e uma identidade sintética combina de propósito o seu número com um nome diferente, então o alerta pode nunca disparar. Ler o relatório inteiro atrás de apelidos e endereços desconhecidos pega bem mais casos. Bloquear os três bureaus é mais forte, porque o bloqueio impede a conta nova em vez de avisar depois que ela foi aberta.

O Truvizy consegue dizer se uma mensagem pedindo meu SSN é golpe?

O Truvizy analisa a mensagem, não o seu cadastro de crédito. Cole no Truvizy o texto, o e-mail ou o link que pede o seu número de Seguridade Social e a detecção com inteligência artificial devolve um veredito claro em segundos sobre se o remetente está se passando por um banco, uma financeira ou um órgão público. Um veredito de golpe mostra que o próprio pedido foi fabricado, ou seja, o número nunca foi devido a ninguém.

Golpes da Seguridade Social: como criminosos usam seu SSN contra você — As ligações e mensagens feitas para extrair exatamente o número em que a fraude sintética se apoia

Prevenção de roubo de identidade: 15 passos para proteger seus dados pessoais — O checklist completo de prevenção, do bloqueio de crédito à higiene das suas contas

Sua identidade está na dark web? Como checar e o que fazer — Para onde vão os números de Seguridade Social vazados e quanto eles custam