चोरी की और सिंथेटिक पहचान से ऋण धोखाधड़ी: यह कैसे काम करती है और इसे कैसे रोकें

एक वास्तविक नाम। एक वास्तविक सामाजिक सुरक्षा नंबर। एक क्रेडिट इतिहास जिसे बनाने में वर्षों लग गए — सिवाय इसके कि आवेदन के पीछे का व्यक्ति वह व्यक्ति नहीं है जिससे पहचान संबंधित है। वे शायद एक वास्तविक व्यक्ति भी न हों।

चोरी की और सिंथेटिक पहचान का उपयोग करके ऋण धोखाधड़ी अधिकांश पारंपरिक क्रेडिट नियंत्रणों को दरकिनार कर देती है क्योंकि इनपुट वैध दिखते हैं: दस्तावेज़ एक स्कैन पास करता है, पहचान के पास एक क्रेडिट फ़ाइल होती है, आवेदन में कोई स्पष्ट बेमेल नहीं दिखता है। धोखाधड़ी तब तक सामने नहीं आती जब तक पैसा चला नहीं जाता।

यह पोस्ट बताती है कि ये हमले कैसे काम करते हैं, प्रत्येक प्रकार को क्या अलग करता है, और आवेदन चरण में कौन सी जाँचें उन्हें लगातार रोकती हैं।

मुख्य बातें

• सिंथेटिक पहचान धोखाधड़ी वास्तविक और मनगढ़ंत टुकड़ों — एक वास्तविक एसएसएन, एक प्रशंसनीय नाम, एक निर्मित क्रेडिट इतिहास — से एक नकली व्यक्ति का निर्माण करती है, जिसका कोई पीड़ित तब तक रिपोर्ट नहीं करता जब तक कि सब कुछ खत्म न हो जाए।
• तृतीय-पक्ष ऋण धोखाधड़ी पूरी तरह से चोरी की गई पहचान का उपयोग करती है: एक वास्तविक व्यक्ति जिसे पता नहीं होता कि उसके नाम पर ऋण लिया गया था।
• दोनों प्रकार के हमले एक ही शोषण योग्य अंतर साझा करते हैं: ऋणदाता जो एक दस्तावेज़ को सत्यापित करते हैं लेकिन उसके पीछे के जीवित व्यक्ति को नहीं।
• एक $0.33 केवाईसी जांच (आईडी सत्यापन + निष्क्रिय जीवंतता + फेस मैच 1:1 + डिवाइस और आईपी विश्लेषण) क्रेडिट निर्णय लेने से पहले उस अंतर को बंद कर देती है।
• डिवाइस और आईपी विश्लेषण बार-बार आवेदन पैटर्न और धोखाधड़ी के गिरोह को पकड़ता है जिन्हें व्यक्तिगत पहचान जांच से नहीं पकड़ा जा सकता।

ऋण धोखाधड़ी वास्तव में कैसे काम करती है

तृतीय-पक्ष धोखाधड़ी: चोरी की पहचान

एक धोखेबाज एक वास्तविक व्यक्ति की पहचान प्राप्त करता है — डेटा उल्लंघन, डार्क-वेब खरीद, या फ़िशिंग के माध्यम से — और इसका उपयोग क्रेडिट के लिए आवेदन करने के लिए करता है। पीड़ित अंततः अपनी क्रेडिट रिपोर्ट पर ऋण पाएगा; धोखेबाज का इरादा कभी भी चुकाने का नहीं था।

अधिकांश ऋण सत्यापन दस्तावेज़-केंद्रित और पीछे की ओर देखने वाला होता है: यह पुष्टि करता है कि दस्तावेज़ वास्तविक है और विवरण क्रेडिट फ़ाइल से मेल खाते हैं। कोई भी कदम इस बात की पुष्टि नहीं करता कि इसे सौंपने वाला व्यक्ति दस्तावेज़ का मालिक है।

सिंथेटिक पहचान धोखाधड़ी: मनगढ़ंत व्यक्ति

सिंथेटिक पहचान धोखाधड़ी (SIF) को पकड़ना अधिक कठिन है क्योंकि शुरुआत में रिपोर्ट करने वाला कोई पीड़ित नहीं होता है। एक सिंथेटिक पहचान में निम्नलिखित शामिल होते हैं:

• एक वास्तविक एसएसएन या राष्ट्रीय आईडी नंबर, अक्सर एक बच्चे, बुजुर्ग व्यक्ति, या हाल ही में मृत व्यक्ति का होता है जो शायद अपनी क्रेडिट की निगरानी न करे।
• एक मनगढ़ंत नाम और जन्मतिथि जो प्रशंसनीय है लेकिन एसएसएन धारक से असंबंधित है।
• एक निर्मित क्रेडिट इतिहास — महीनों तक एक पतली-फ़ाइल प्रोफ़ाइल बनाने के लिए सिंथेटिक को एक वैध खाते पर पिग्गीबैक करना।

एक बार जब सिंथेटिक के पास एक उपयोगी क्रेडिट स्कोर होता है, तो धोखेबाज ऋण और कार्ड के लिए आवेदन करता है, ऋण को केवल इतना भुगतान करता है कि सीमाएं बढ़ाई जा सकें, फिर एक बस्ट-आउट करता है: हर क्रेडिट लाइन एक साथ अधिकतम हो जाती है। ऋणदाता को चार्ज-ऑफ का सामना करना पड़ता है। एसएसएन धारक को पता चलता है कि उसका नंबर एक अजनबी की क्रेडिट फ़ाइल से जुड़ा हुआ है।

प्रथम-पक्ष धोखाधड़ी और गिरोह

प्रथम-पक्ष धोखाधड़ी धोखाधड़ी के इरादे से एक वास्तविक पहचान का उपयोग करती है — उधारकर्ता का कभी भी चुकाने का इरादा नहीं होता है। व्यक्तिगत मामलों को केवल पहचान संकेतों से पकड़ना कठिन होता है, लेकिन प्रथम-पक्ष धोखाधड़ी संगठित गिरोह में एकत्रित होती है: समन्वित व्यक्ति जो प्रत्येक ऋण लेते हैं, अनौपचारिक नेटवर्क के माध्यम से भर्ती होते हैं, एक समन्वयक के साथ जो धन को स्थानांतरित करता है। डिवाइस और आईपी संकेत इन गिरोहों को सतह पर लाते हैं — एक ही डिवाइस, सबनेट, या भौतिक स्थान से कई आवेदन।

सत्यापन अंतर जो ऋणदाता खुला छोड़ देते हैं

दस्तावेज़ स्कैनिंग पुष्टि करती है कि दस्तावेज़ स्पष्ट रूप से नकली नहीं है। क्रेडिट जांच पुष्टि करती है कि नाम और आईडी नंबर के लिए एक इतिहास मौजूद है। कोई भी जांच महत्वपूर्ण अंतर को बंद नहीं करती है: यह पुष्टि करना कि आवेदक दस्तावेज़ का मालिक है, उपस्थित और जीवित है।

जीवंतता के बिना सेल्फी कैप्चर को एक मुद्रित फोटो को पकड़कर या कैमरे के सामने एक वीडियो चलाकर आसानी से हराया जा सकता है। यही वह अंतर है जिसे बायोमेट्रिक जीवंतता और फेस मैच बंद करते हैं।

डिडिट कैसे मदद करता है

$0.33 केवाईसी कोर प्रवाह

डिडिट का कोर सत्यापन प्रवाह एक ही सत्र में चार जांच चलाता है कुल $0.33 के लिए:

आईडी सत्यापन ($0.15) — दस्तावेज़ की प्रामाणिकता: सुरक्षा सुविधाएँ, एमआरजेड संगति, एनएफसी चिप डेटा जहाँ उपलब्ध हो, 200+ धोखाधड़ी संकेत। 220+ देशों और क्षेत्रों में 14,000+ दस्तावेज़ प्रकारों को कवर करता है।

निष्क्रिय जीवंतता ($0.10) — दो सेकंड से कम समय में एकल-फ़्रेम जीवंतता। प्रिंट हमलों, वीडियो रीप्ले, और एआई-जनरेटेड डीपफेक इंजेक्शन का पता लगाता है बिना उपयोगकर्ता को पलक झपकने या मुड़ने के लिए कहे। डीपफेक एक तेजी से बढ़ता हमला वेक्टर है; निष्क्रिय जीवंतता उन्हें नामांकन पर रोकती है।

फेस मैच 1:1 ($0.05) — जीवित चेहरे का दस्तावेज़ फोटो के खिलाफ मिलान किया जाता है। यदि व्यक्ति और दस्तावेज़ एक साथ संबंधित नहीं हैं, तो यह फ़्लैग करता है।

डिवाइस और आईपी विश्लेषण ($0.03) — डिवाइस फिंगरप्रिंट, आईपी इंटेलिजेंस, और मास्क्ड-ट्रैफिक डिटेक्शन हर सत्र में स्वचालित रूप से चलते हैं। कोई अलग एकीकरण नहीं।

साथ में वे पहचान अंतर को बंद करते हैं जो चोरी और सिंथेटिक धोखाधड़ी दोनों का आधार है: वास्तविक दस्तावेज़ + जीवित चेहरा + मिलान चेहरा + डिवाइस नेटवर्क संदर्भ।

एएमएल स्क्रीनिंग ($0.20)

ऋण धोखाधड़ी और मनी लॉन्ड्रिंग अक्सर एक साथ होती हैं। डिडिट की एएमएल स्क्रीनिंग आवेदन पर 1,300+ प्रतिबंधों, पीईपी (राजनीतिक रूप से उजागर व्यक्ति), और प्रतिकूल-मीडिया सूचियों की जांच करती है — क्रेडिट निर्णय लेने से पहले फ़्लैग किए गए व्यक्तियों को पकड़ती है।

धोखाधड़ी के गिरोह के लिए डिवाइस और आईपी विश्लेषण

व्यक्तिगत पहचान जांच व्यक्तिगत धोखेबाजों को पकड़ती है। धोखाधड़ी के गिरोह को एक नेटवर्क सिग्नल की आवश्यकता होती है।

डिडिट हर सत्र के लिए एक device_fingerprint लौटाता है और आपके खाते में पिछले सभी सत्रों के खिलाफ इसकी जांच करता है। विभिन्न पहचानों के पीछे एक ही डिवाइस: DUPLICATED_DEVICE_FINGERPRINT। प्रयासों के बीच डिवाइस रीसेट: DEVICE_RECOVERED_HIGH_CONFIDENCE। एक नियमित ऋण आवेदन पर वीपीएन या टोर ट्रैफिक: PRIVATE_NETWORK_DETECTED। आवेदनों के एक समूह में एक ही आईपी: DUPLICATED_IP_ADDRESS।

आप बिजनेस कंसोल में प्रत्येक चेतावनी के लिए कार्रवाई कॉन्फ़िगर करते हैं — स्वीकृत करें, मैन्युअल समीक्षा, या हार्ड-डीक्लाइन। कोई कस्टम डेटा पाइपलाइन की आवश्यकता नहीं है।

उपयोग के मामले

उपभोक्ता ऋण और व्यक्तिगत ऋण — क्रेडिट निर्णय लेने से पहले चोरी-आईडी आवेदकों को रोकें। निष्क्रिय जीवंतता फोटो और वीडियो हमलों को हराती है जो अधिकांश सेल्फी कैप्चर चरण नहीं करते हैं।

बीएनपीएल — सिंथेटिक पहचान धोखाधड़ी बाय-नाउ-पे-लेटर में एकत्रित होती है क्योंकि अनुमोदन तेजी से होते हैं और सीमाएं धीरे-धीरे बढ़ती हैं। $0.33 कोर प्रवाह दो सेकंड से कम अनुमान जोड़ता है।

बंधक और ऑटो ऋण — उच्च ऋण मूल्य एक कम धोखाधड़ी दर को भी बढ़ाते हैं। मूल पर एएमएल स्क्रीनिंग फ़्लैग किए गए व्यक्तियों को फ़ाइल अंडरराइटर तक पहुंचने से पहले पकड़ लेती है।

क्रेडिट-लाइन में वृद्धि — सीमाओं को भौतिक रूप से बढ़ाने से पहले जीवंतता और डिवाइस फिंगरप्रिंट को फिर से सत्यापित करें। एक बस्ट-आउट को हेडरूम की आवश्यकता होती है; विभक्ति बिंदु को पकड़ने से जोखिम सीमित होता है।

डिडिट के साथ कैसे एकीकृत करें

एक एपीआई कॉल एक सत्र बनाता है; डिडिट-होस्टेड प्रवाह दस्तावेज़ कैप्चर, जीवंतता, फेस मैच, और डिवाइस/आईपी को एक ही पास में संभालता है:

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_WORKFLOW_ID",
    "vendor_data": "applicant-456",
    "callback": "https://yourapp.com/kyc-complete"
  }'

आवेदक के लिए session.url खोलें, फिर GET /v3/session/{sessionId}/decision/ या session.status.updated वेबहुक के माध्यम से परिणाम पढ़ें। पेलोड में दस्तावेज़ निर्णय, जीवंतता और फेस-मैच परिणाम, एएमएल स्थिति, और डिवाइस चेतावनियों के साथ ip_analyses[] शामिल हैं।

वेब, आईओएस, एंड्रॉइड, रिएक्ट नेटिव, और फ्लटर के लिए एसडीके उपलब्ध हैं। मॉड्यूल कॉन्फ़िगरेशन बिजनेस कंसोल में रहता है — वर्कफ़्लो ट्यूनिंग के लिए कोई कोड परिवर्तन नहीं।

अक्सर पूछे जाने वाले प्रश्न

क्या निष्क्रिय जीवंतता वास्तव में डीपफेक हमलों को रोकती है?

हाँ। डीपफेक इंजेक्शन — कैमरे की स्ट्रीम में एक उत्पन्न वीडियो फीड करना — उन हमलों में से एक है जिसे निष्क्रिय जीवंतता का पता लगाने के लिए बनाया गया है। यह मानक प्रिंट और स्क्रीन हमलों के साथ-साथ सिंथेटिक-जेनरेशन और रीप्ले-इंजेक्शन संकेतों के लिए फ्रेम का विश्लेषण करता है। सक्रिय जीवंतता उच्च-जोखिम वाले प्रवाह के लिए एक चुनौती परत जोड़ती है, लेकिन अधिकांश ऋण अनुप्रयोगों के लिए निष्क्रिय पर्याप्त है।

सिंथेटिक पहचान धोखाधड़ी और एक ऋणदाता के लिए पारंपरिक पहचान चोरी में क्या अंतर है?

पहचान चोरी में एक वास्तविक पीड़ित होता है जो क्रेडिट पर विवाद करेगा। सिंथेटिक धोखाधड़ी में एसएसएन धारक को अक्सर पता नहीं होता कि उसका नंबर किसी अन्य नाम के तहत उपयोग किया जा रहा है — बस्ट-आउट तक कोई विवाद नहीं हो सकता है। मनगढ़ंत आवेदक एक जीवित, मिलान वाले चेहरे को एक आईडी के लिए प्रस्तुत नहीं कर सकता है जो किसी और का है: यही वह जांच है जो उन्हें रोकती है।

डिवाइस और आईपी विश्लेषण प्रथम-पक्ष धोखाधड़ी के गिरोहों में कैसे मदद करता है?

गिरोह के सदस्य अक्सर साझा उपकरणों या स्थानों से एक छोटी खिड़की के भीतर आवेदन करते हैं। DUPLICATED_DEVICE_FINGERPRINT और DUPLICATED_IP_ADDRESS वास्तविक समय में उन समूहों को सतह पर लाते हैं — एक डिवाइस साझा करने वाले पांच "अलग" आवेदक संवितरण से पहले सभी पांच को मैन्युअल समीक्षा के लिए भेजने के लिए पर्याप्त हैं।

क्या होता है अगर धोखेबाज एक वीपीएन का उपयोग करता है या अनुप्रयोगों के बीच डिवाइस स्टोरेज को साफ करता है?

PRIVATE_NETWORK_DETECTED वीपीएन, प्रॉक्सी, और टोर ट्रैफिक पर चलता है। यदि स्टोरेज साफ कर दिया गया था, तो रिकवरी मॉडल (DEVICE_RECOVERED_HIGH_CONFIDENCE) सत्र को पहले देखे गए डिवाइस से उसके सिग्नल वेक्टर से जोड़ता है — वैध उपयोगकर्ताओं को दंडित किए बिना रीसेट को पकड़ता है।

शुरू करने के लिए तैयार हैं?

आवेदन चरण में ऋण धोखाधड़ी को रोकने के लिए एक कस्टम एमएल पाइपलाइन या कई महीनों के एकीकरण की आवश्यकता नहीं होती है। $0.33 केवाईसी कोर प्रवाह पहचान अंतर को बंद करता है जिस पर चोरी-आईडी और सिंथेटिक-आईडी हमले निर्भर करते हैं, और डिवाइस और आईपी विश्लेषण नेटवर्क पैटर्न को सतह पर लाता है जिन्हें व्यक्तिगत जांच नहीं देख सकती हैं।

• मॉड्यूल जानें → उपयोगकर्ता सत्यापन दस्तावेज़ · एएमएल स्क्रीनिंग · डिवाइस और आईपी विश्लेषण
• उत्पाद देखें → didit.me/products/id-verification
• मूल्य निर्धारण जांचें → didit.me/pricing — पूर्ण केवाईसी प्रवाह के लिए $0.33, 500 मुफ्त सत्यापन/माह, कोई न्यूनतम नहीं
• मुफ्त में शुरू करें → business.didit.me