Đánh cắp danh tính tổng hợp: vụ gian lận 40 tỷ đô la dựng từ số an sinh xã hội thật

Một tổ chức cho vay mở hồ sơ cho người nộp đơn 23 tuổi với bốn năm lịch sử vay trả sạch sẽ và điểm tín dụng hơn 700. Người nộp đơn ấy không tồn tại: số an sinh xã hội trên đơn thuộc về một đứa trẻ chín tuổi chưa từng có tài khoản ngân hàng, và chỉ trong một tuần, người vay bịa đặt kia rút cạn mọi hạn mức rồi biến mất. Đó là đánh cắp danh tính tổng hợp, và khác với chuyện mất ví, không có cảnh báo nào bật lên, vì các tài khoản mang một cái tên chẳng thuộc về ai.

Theo Cục Dự trữ Liên bang Mỹ, cơ quan đã công bố một định nghĩa được ngành khuyến nghị vào năm 2021, gian lận danh tính tổng hợp là việc dùng một tổ hợp thông tin định danh cá nhân để bịa ra một con người hoặc một pháp nhân nhằm trục lợi tài chính. Biến thể phổ biến, cũng là biến thể mà bài hướng dẫn này nói tới, hàn một mã định danh có thật vào những chi tiết bịa đặt. Theo Sổ dữ liệu Consumer Sentinel của FTC cho năm 2024, đánh cắp danh tính vẫn là một trong những nhóm khiếu nại lớn nhất nước Mỹ, nhưng các vụ tổng hợp lại ẩn mình bên trong đó, bị xóa sổ như một khoản lỗ tín dụng thông thường thay vì được báo cáo là gian lận.

Chính việc thống kê thiếu đó khiến con số nổi bật là một khoảng chứ không phải một tổng. Ước tính ngành đặt thiệt hại toàn cầu hằng năm trong khoảng $20 tỷ đến $40 tỷ, trong khi phần mà các tổ chức cho vay thực sự đếm được chỉ là một mẩu nhỏ.

Trả lời nhanh

Đánh cắp danh tính tổng hợp là gì?

Đánh cắp danh tính cổ điển là giả mạo chính bạn: ai đó mở một thẻ đúng tên bạn, sao kê gửi về, bạn khiếu nại. Gian lận tổng hợp làm điều ngược lại. Nó lấy một mảnh sự thật về bạn, gần như luôn là chín chữ số của số an sinh xã hội, rồi dựng một con người mới quanh mảnh đó. Tên, ngày sinh và địa chỉ đều là bịa.

Chính lựa chọn thiết kế duy nhất đó khiến kiểu gian lận này cực khó bắt. Các tổ chức tín dụng chỉ gộp hồ sơ khi nhiều mã định danh cùng khớp, nên một số an sinh xã hội trùng khớp nhưng đi kèm tên và ngày sinh không khớp hồ sơ của bạn thường sinh ra một hồ sơ thứ hai riêng biệt thay vì nhập vào hồ sơ của bạn. Cảnh báo gian lận bám theo tên bạn, nên chúng im lặng trong khi danh tính bóng ma vẫn cưỡi trên số của bạn.

Nguyên liệu ưa thích là một con số không ai để mắt tới. Trẻ em đứng đầu danh sách, vì số của một trẻ vị thành niên nằm im suốt mười tám năm và hiếm phụ huynh nào đi kiểm tra. Một báo cáo được trích dẫn rộng rãi năm 2011 của Carnegie Mellon CyLab phát hiện 10.2 phần trăm trong hơn 40.000 trẻ em đăng ký một dịch vụ bảo vệ danh tính đã có số bị người khác sử dụng. Mẫu đó là tự chọn, nên tỷ lệ thật nhiều khả năng thấp hơn. Người cao tuổi trong cơ sở chăm sóc dài hạn, người đang thi hành án và người đã mất tiếp nối danh sách vì cùng một lý do. Bài hướng dẫn của chúng tôi về dữ liệu danh tính trên dark web nói rõ những con số này đến từ đâu.

Đánh cắp danh tính tổng hợp hoạt động ra sao, và vì sao báo cáo tín dụng của bạn không bao giờ hiện nó

Quy trình này kiên nhẫn và mang tính công nghiệp. Một nhóm vận hành hàng trăm hồ sơ cùng lúc đều đi theo sáu bước giống nhau.

1. <strong>Thu thập mã định danh.</strong> Số an sinh xã hội được mua sỉ từ dữ liệu rò rỉ, lừa lấy từ nạn nhân, hoặc đoán trong một dải hợp lệ rồi thử qua mẫu đơn đăng ký.
2. <strong>Dựng con người.</strong> Con số được ghép với một cái tên nghe hợp lý, một ngày sinh khiến người đó thành thanh niên, và một địa chỉ nhận được thư.
3. <strong>Ép hệ thống mở hồ sơ tín dụng.</strong> Người bịa đặt nộp đơn vay và bị từ chối, nhưng chỉ riêng lần truy vấn đó đã khiến tổ chức tín dụng mở một hồ sơ mỏng. Danh tính này từ giờ chính thức tồn tại.
4. <strong>Nuôi hồ sơ cho già.</strong> Một thẻ có tài sản bảo đảm hoặc một tài khoản mua trả góp nhỏ được trả đúng hạn tuyệt đối trong mười hai đến hai mươi bốn tháng, và điểm tín dụng leo lên nhờ hành vi trả nợ thật.
5. <strong>Ăn theo để tăng tuổi hồ sơ.</strong> Hồ sơ được thêm làm người dùng phụ trên các hạn mức lâu năm, thường mua lại từ môi giới, ghép nhiều năm lịch sử vào một hồ sơ mới vài tháng tuổi.
6. <strong>Rút cạn rồi biến mất.</strong> Mọi hạn mức bị rút kịch trần chỉ trong vài ngày, thường ở cả chục tổ chức cho vay cùng lúc, rồi danh tính bị bỏ rơi. Không ai bắt máy khi bên thu hồi nợ gọi.

Dấu hiệu cảnh báo: cách kiểm tra xem danh tính của bạn có đang bị lợi dụng

Vì danh tính giả không bao giờ mang tên bạn, hãy tìm những hệ quả phụ của nó. Bất kỳ dấu hiệu nào dưới đây cũng đáng để bạn rà soát tín dụng đầy đủ.

• <strong>Thư gửi đến một cái tên bạn không nhận ra.</strong> Thư mời cấp tín dụng sẵn hoặc thư đòi nợ cho một người lạ tại địa chỉ của bạn là tín hiệu đầu tiên phổ biến nhất.
• <strong>Bất kỳ thư tín dụng nào gửi cho con bạn.</strong> Một trẻ vị thành niên đáng lẽ không tạo ra bất kỳ lời mời tín dụng nào. Một lá thư như vậy nghĩa là có hồ sơ đang tồn tại mà lẽ ra không nên có.
• <strong>Yêu cầu đóng băng cho trẻ bị trả lời rằng hồ sơ đã tồn tại.</strong> Đây là xác nhận rõ ràng nhất về gian lận danh tính trẻ em.
• <strong>Thu nhập trên bảng kê an sinh xã hội mà bạn chưa từng kiếm được.</strong> Khoản lương do một chủ sử dụng lao động bạn chưa từng làm việc khai dưới số của bạn chỉ thẳng vào gian lận việc làm bằng danh tính tổng hợp.
• <strong>Bí danh hoặc địa chỉ lạ trên báo cáo tín dụng.</strong> Các tổ chức tín dụng liệt kê biến thể "còn được biết đến là", và một cách viết sai chính tả bạn chưa từng dùng có thể là danh tính bịa đặt đang rỉ vào hồ sơ của bạn.
• <strong>Tờ khai thuế bị từ chối vì đã có người khai trước.</strong> Thông báo của IRS thường lộ ra việc số bị lạm dụng trước cả khi bất kỳ tổ chức cho vay nào nhận ra.

Xác minh bất kỳ dấu hiệu nào trong số này đều không tốn tiền, và không cần đăng ký dịch vụ giám sát trả phí nào.

Nhận được tin nhắn yêu cầu xác nhận số an sinh xã hội, ngày sinh hay giấy tờ tùy thân? Hãy quét nó bằng Truvizy trước khi trả lời bất cứ điều gì.

Truvizy phát hiện gian lận danh tính tổng hợp như thế nào

Truvizy không phải tổ chức tín dụng và không đọc hồ sơ của bạn. Nó làm việc sớm hơn một bước, ngay khoảnh khắc thông tin định danh của bạn bị yêu cầu. Một số danh tính bịa đặt được dựng trên những con số bị đánh cắp trong các vụ rò rỉ dữ liệu. Số khác bắt đầu từ một con số mà nạn nhân tự gõ vào một thông báo trợ cấp giả, một mẫu đăng ký nhân sự dỏm, hoặc một bước xác minh danh tính nhái theo ngân hàng.

Hãy dán tin nhắn, ảnh chụp màn hình hoặc liên kết đó vào Truvizy tại truvizy.app, hệ thống phát hiện bằng trí tuệ nhân tạo sẽ chạy một phân tích nhiều lớp về câu chữ, cách tạo cảm giác cấp bách, người gửi được tuyên bố và đích đến, rồi trả về một kết luận rõ ràng trong vài giây. Một số an sinh xã hội đã lưu hành thì không thể thu hồi, nên thời điểm có sức nặng nhất là ngay trước lúc bạn gõ nó ra, nhất là trên điện thoại nơi những dấu hiệu quen thuộc bị che khuất.

Cần làm gì nếu bạn nghi ngờ bị đánh cắp danh tính tổng hợp

Hãy làm lần lượt theo thứ tự sau. Các vụ tổng hợp gỡ ra rất chậm, vì các tài khoản không đứng tên bạn.

Lấy cả ba báo cáo. Yêu cầu báo cáo của Equifax, Experian và TransUnion tại annualcreditreport.com rồi đọc từng bí danh, từng địa chỉ và từng lần truy vấn, không chỉ danh sách tài khoản.

Đóng băng cả ba tổ chức. Đóng băng là miễn phí, có thể mở lại, và chặn mọi tài khoản mới trên số của bạn bất kể người nộp đơn dùng cái tên nào. Hãy làm y như vậy cho từng đứa trẻ trong nhà.

Kiểm tra bảng kê thu nhập an sinh xã hội. Đề nghị SSA sửa mọi khoản thu nhập không phải của bạn, rồi báo cáo chính hành vi lạm dụng đó cho Văn phòng Tổng Thanh tra của SSA. SSA sửa hồ sơ chứ không điều tra vụ gian lận.

Khai báo với FTC, rồi khai báo tại địa phương. Trình báo tại reportfraud.ftc.gov hoặc identitytheft.gov để nhận kế hoạch khắc phục và bản khai có tuyên thệ, sau đó bổ sung một biên bản trình báo công an. Bản khai cộng với biên bản công an chính là thứ mà các tổ chức tín dụng và bên cho vay chấp nhận khi bạn yêu cầu chặn một khoản vay gian lận.

Báo cả cách thức tiếp cận. Nếu vụ gian lận đến với bạn qua mạng, một tin nhắn lừa đảo, một tin tuyển dụng giả, một trang cho vay giả mạo, hãy gửi khiếu nại tại ic3.gov. Nếu nó lộ ra dưới dạng khoản lương bạn chưa từng kiếm hoặc tờ khai thuế bị từ chối, hãy nộp Mẫu 14039 của IRS thay vào đó.

Khiếu nại bằng văn bản và giữ lại mọi thứ. Gửi khiếu nại qua đường bưu điện, giữ bản sao, và chuẩn bị tinh thần phải nhắc đi nhắc lại. Hướng dẫn khắc phục sau khi bị đánh cắp danh tính của chúng tôi đi qua trình tự giấy tờ một cách chi tiết.

Ghi chú phân tích chuyên sâu: điểm yếu cốt lõi của kiểu gian lận này nằm ở cấu trúc, không phải kỹ thuật. Bên cho vay ghi nhận thiệt hại là nợ xấu, các tổ chức tín dụng tách hồ sơ thay vì gộp khi thông tin không khớp, và người sở hữu con số thật được chọn chính vì họ chẳng có lý do gì để nhìn lại. Việc phát hiện gần như không bao giờ tự đến, nên coi số an sinh xã hội như một loại thông tin xác thực không bao giờ xoay vòng được, và xác minh mọi yêu cầu cung cấp nó trước khi trả lời, là tuyến phòng thủ duy nhất phù hợp với một cá nhân chứ không phải một tổ chức.

Câu hỏi thường gặp

Làm sao biết có người đang dùng số an sinh xã hội của tôi?

Hãy lấy báo cáo tín dụng từ cả ba tổ chức tại annualcreditreport.com và tìm những tài khoản, địa chỉ hoặc biến thể tên mà bạn không nhận ra. Sau đó kiểm tra bảng kê thu nhập trong tài khoản my Social Security để xem có khoản lương nào bạn chưa từng làm ra hay không, đây là dấu hiệu rõ nhất của danh tính tổng hợp. Mạng lưới Consumer Sentinel của FTC ghi nhận khoảng 1.1M báo cáo đánh cắp danh tính trong năm 2024, vậy nên hãy kiểm tra mỗi quý. Ở Việt Nam, bạn cũng có thể tra soát hồ sơ tín dụng của mình tại CIC và báo cáo sự cố lừa đảo trực tuyến cho Cục An toàn thông tin thuộc Bộ TT&TT.

Tôi có thể kiểm tra miễn phí xem danh tính của mình có bị lợi dụng không?

Các cách miễn phí bao trùm gần hết. Báo cáo tín dụng hằng tuần từ Equifax, Experian và TransUnion không mất phí tại annualcreditreport.com, việc đóng băng tín dụng ở từng tổ chức là miễn phí theo luật, và bảng kê thu nhập của bạn miễn phí trong tài khoản my Social Security. Thêm mã PIN bảo vệ danh tính của IRS là bạn có đủ bốn nơi mà một danh tính bịa đặt sẽ lộ ra đầu tiên.

Tôi có kiểm tra được số an sinh xã hội của con mình đã bị dùng chưa?

Có, và chính thao tác kiểm tra cũng là cách khắc phục. Hãy yêu cầu đóng băng tín dụng miễn phí cho người chưa thành niên tại từng tổ chức, kèm giấy tờ chứng minh quyền giám hộ và nhân thân. Nếu chưa có hồ sơ nào, tổ chức đó buộc phải tạo một hồ sơ chỉ để có thể đóng băng. Nếu họ trả lời rằng hồ sơ đã tồn tại, đó chính là câu trả lời của bạn, và là xác nhận rõ ràng nhất về gian lận danh tính tổng hợp trên số của con bạn.

Dịch vụ giám sát tín dụng có phát hiện được gian lận danh tính tổng hợp không?

Chỉ một phần. Giám sát tiêu chuẩn cảnh báo bạn về hoạt động gắn với tên bạn, còn danh tính tổng hợp lại cố tình ghép số của bạn với một cái tên khác, nên cảnh báo có thể không bao giờ kích hoạt. Đọc kỹ toàn bộ báo cáo để tìm bí danh và địa chỉ lạ sẽ bắt được nhiều hơn. Đóng băng cả ba tổ chức mạnh hơn hẳn, vì đóng băng chặn đứng tài khoản mới thay vì báo lại sau khi nó đã mở.

Truvizy có nói được tin nhắn hỏi số an sinh xã hội của tôi là lừa đảo không?

Truvizy kiểm tra tin nhắn, không kiểm tra hồ sơ tín dụng của bạn. Hãy dán đoạn tin nhắn, email hoặc liên kết đang hỏi số an sinh xã hội của bạn vào Truvizy, hệ thống phát hiện bằng trí tuệ nhân tạo sẽ trả về một kết luận rõ ràng trong vài giây về việc người gửi có đang giả danh ngân hàng, tổ chức cho vay hay cơ quan nhà nước hay không. Kết luận là lừa đảo cũng có nghĩa yêu cầu đó vốn được dựng lên, nên bạn không nợ ai con số ấy cả.

Lừa đảo an sinh xã hội: tội phạm dùng số của bạn để chống lại bạn ra sao — Những cuộc gọi và tin nhắn được thiết kế để moi đúng con số mà gian lận tổng hợp cần

Phòng chống đánh cắp danh tính: 15 bước bảo vệ thông tin cá nhân của bạn — Danh sách phòng ngừa đầy đủ, từ đóng băng tín dụng đến giữ vệ sinh tài khoản

Danh tính của bạn có trên dark web không? Cách kiểm tra và cần làm gì — Những số an sinh xã hội bị rò rỉ đi về đâu và có giá bao nhiêu