Как мошенники открывают банковские счета и как их остановить (RU)

Каждый мошеннический банковский счет начинается с регистрации. К тому времени, когда аналитики по борьбе с мошенничеством видят ущерб — несанкционированные переводы, отмытые средства, кредитная линия, оформленная на вымышленную личность, — счет уже прошел KYC. Эксплуатация произошла до того, как клиент появился.

Этот пост разбивает план, используемый мошенниками, шаг за шагом и сопоставляет каждую технику с контролем, который ее останавливает.

Основные выводы

• Мошенничество при открытии счета проходит в пять перекрывающихся этапов: получение идентификационных данных, создание документов, обход биометрической верификации, обфускация устройства и сети, а также активация мула после открытия счета.
• Каждый этап имеет специфическую техническую контрмеру. Латание одной без других — это то, что ищут мошенники.
• Базовый основной поток KYC — проверка личности + пассивная биометрическая верификация + сопоставление лиц 1:1 + анализ устройства и IP-адреса — закрывает наиболее распространенные векторы по цене 0,33 доллара за проверку.
• Проверка AML выявляет личности денежных мулов, которые прошли проверку документов, потому что удостоверение личности было подлинным; человек был завербован, а не вымышлен.
• Анализ устройства и IP-адреса выявляет мошеннические сети через DUPLICATED_DEVICE_FINGERPRINT и DEVICE_RECOVERED_HIGH_CONFIDENCE — сигналы, которые появляются, когда один оператор проводит множество сеансов регистрации с общего пула машин.

Этап 1: Получение идентификационных данных

Прежде чем любой мошенник коснется вашего процесса регистрации, ему необходимо имя, дата рождения и номер документа, который пройдет проверку базы данных. Есть три способа получить это.

Украденные удостоверения личности — наиболее распространенная отправная точка. Утечки данных, фишинг и рынки даркнета дают мошенникам доступ к реальным именам, адресам, номерам удостоверений личности, а иногда и сканам оригинального документа — большей части того, что требуется для KYC.

Синтетические личности сочетают реальные и вымышленные элементы — подлинный номер социального страхования (или национальный идентификационный номер) в сочетании с вымышленным именем и датой рождения. Поскольку идентификационный номер действителен, проверки формата и контрольной суммы проходят. Синтетическое мошенничество особенно дорогостояще в кредитных контекстах, потому что оно создает историю перед обналичиванием.

Идентификация как услуга — это организованная версия: криминальные сети продают полные комплекты — изображения документов с выдержкой, счета за коммунальные услуги и инструкции для конкретного процесса регистрации, который они уже протестировали.

Что это останавливает: Проверка документов, выходящая за рамки проверки формата — оптическое распознавание символов (OCR) по более чем 14 000 шаблонам документов, анализ машиночитаемой зоны (MRZ) и штрих-кодов, чтение чипов NFC — в сочетании с проверкой базы данных по государственным реестрам. Украденные реальные удостоверения личности и поддельные синтетические удостоверения личности оставляют разные подписи на этом уровне.

Этап 2: Подделка и манипуляция документами

Украденный идентификационный номер бесполезен без соответствующего изображения. Мошенники создают документы тремя способами.

Редактирование шаблонов — это начальный уровень: покупка скана подлинного документа с высоким разрешением и замена фотографии и данных в инструменте для мошенничества. Дешевые подделки очевидны; хорошо сделанные требуют обученных моделей машинного обучения для обнаружения.

Распечатанные и перефотографированные документы обходят некоторые средства защиты от инъекций. Мошенник распечатывает поддельный документ, фотографирует его при хорошем освещении и отправляет результат — пытаясь ввести физические артефакты (зернистость, тень, отражение), которые классификаторы документов ожидают от подлинной съемки.

Документы, сгенерированные ИИ, — это новый вектор: генеративные модели, производящие синтетические изображения документов, достаточно реалистичные, чтобы обмануть человеческих рецензентов.

Что это останавливает: Анализ подлинности документа (обнаружение плоской/печатной поверхности), проверки согласованности нескольких кадров и классификаторы машинного обучения, обученные на мошеннических схемах. Чтение чипов NFC является самой сложной контрмерой — если чип криптографически подтвержден, документ подлинный.

Этап 3: Обход биометрической верификации — обход биометрических проверок

Мошеннику с поддельным документом все еще нужно, чтобы лицо соответствовало. Атаки принимают две формы.

Атаки презентации: распечатанная фотография, видео на втором телефоне или 3D-маска, удерживаемая перед камерой. Современные модели биометрической верификации сертифицированы по стандарту iBeta PAD Level 1 для борьбы с этим.

Атаки цифровой инъекции полностью обходят камеру. Мошенник внедряет синтетический видеопоток с помощью программного обеспечения виртуальной камеры или переопределений API браузера. Лицо-дипфейк — анимированное для моргания и отслеживания по команде — подается модели биометрической верификации, как если бы оно исходило от реальной камеры. Физическая среда не требуется, и это масштабируется программно. Контрмеры включают обнаружение драйверов виртуальной камеры, классификаторы дипфейков на уровне кадров и проверки перехвата API.

Что это останавливает: Пассивная биометрическая верификация (0,10 доллара США) с выводом менее чем за 2 секунды и более чем 200 сигналами мошенничества, в сочетании с сопоставлением лиц 1:1 (0,05 доллара США), которое проверяет живое лицо по портрету в документе.

Этап 4: Обфускация устройства и сети

Мошенническая сеть, управляющая десятками учетных записей, не может делать это с одного IP-адреса и одной машины. Операционная схема: чередование IP-адресов через VPN, прокси или Tor; использование браузеров с защитой от обнаружения, которые рандомизируют сигналы отпечатков; запуск сеансов с виртуальных машин или эмуляторов. Цель состоит в том, чтобы каждый сеанс выглядел как другой человек в другом месте. Признаком является то, что базовое аппаратное и сетевое оборудование используется повторно.

Что это останавливает: Анализ устройства и IP-адреса (0,03 доллара США), автоматически запускающийся в каждом сеансе. Он фиксирует стабильный отпечаток устройства по сигналам графического процессора, сборке браузера, рендерингу холста и атрибутам оборудования, а затем проверяет его на соответствие всем предыдущим сеансам. Он также обогащает соединение: обнаружение VPN и прокси, обнаружение выходных узлов Tor и центров обработки данных, согласованность страны и документа.

Два предупреждения, которые наиболее важны для обнаружения кольца:

• DUPLICATED_DEVICE_FINGERPRINT — тот же постоянный отпечаток устройства появился под другой личностью в предыдущем сеансе.
• DEVICE_RECOVERED_HIGH_CONFIDENCE — постоянный идентификатор изменился (хранилище очищено, инкогнито, переустановка), но модель восстановления v2 все равно сопоставила устройство.

Оба настраиваются: проверка, жесткий отказ или одобрение с флагом.

Этап 5: Вербовка и активация денежных мулов

Не каждый мошеннический счет принадлежит похитителю личности. Значительная часть открывается реальными людьми, использующими подлинные документы — завербованными денежными мулами, которым сказали, что они получат комиссию за получение и пересылку средств. Документы KYC реальны. Мошенничество заключается в том, что они согласились делать.

Денежные мулы часто связаны с организованными преступными сетями, которые фигурируют в санкционных списках, списках PEP (политически значимых лиц), списках негативных новостей или правоохранительных органов. Проведение проверки AML (0,20 доллара США, более 1300 списков) при регистрации выявляет известных сообщников сети мулов до того, как они станут активными счетами. Постоянный мониторинг AML (0,07 доллара США/пользователь/год) повторно проверяет по мере обновления списков.

Что это останавливает: Проверка AML при регистрации плюс постоянный мониторинг — известные участники и новые члены сети, добавленные после регистрации.

Как Didit помогает

Каждый из пяти вышеуказанных этапов напрямую соответствует модулю в основном потоке KYC.

Базовый пакет — проверка личности + пассивная биометрическая верификация + сопоставление лиц 1:1 + анализ устройства и IP-адреса — выполняется как один сеанс по цене 0,33 доллара США, охватывая этапы 2–4. Добавление проверки AML (0,20 доллара США) расширяет охват до вербовки мулов (этап 5). Все модули выполняются последовательно; результат поступает в одну полезную нагрузку решения.

curl -X POST 'https://verification.didit.me/v3/session/' \
  -H 'x-api-key: YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{
    "workflow_id": "YOUR_WORKFLOW_ID",
    "vendor_data": "user-123",
    "callback": "https://yourapp.com/post-kyc"
  }'

URL сеанса переходит к пользователю. Решение возвращается через веб-хук (session.status.updated) или GET /v3/session/{sessionId}/decision/.

Didit является единственным поставщиком идентификационных данных, официально подтвержденным правительством государства-члена ЕС (Казначейство Испании / Banco de España / SEPBLAC) как более безопасный, чем личная проверка. 500 бесплатных проверок в месяц, без минимумов.

Сценарии использования

Открытие счета в необанке — основной поток за 0,33 доллара США обрабатывает основную поверхность атаки. Добавьте проверку AML для соблюдения нормативных требований и обнаружения мулов.

Кредитование — мошенничество с синтетическими личностями здесь наиболее распространено, потому что полезной нагрузкой является кредитная линия. Чтение чипов NFC добавляет криптографическую уверенность в подлинности документа.

Регистрация на криптобирже — проверка кошельков (0,15 доллара США/проверка или 0,02 доллара США BYOK) расширяет охват до поверхности криптомошенничества после KYC.

Часто задаваемые вопросы

Какой наиболее распространенный метод используют мошенники для открытия банковских счетов?

Украденные идентификационные документы в сочетании с обфускацией устройства. Мошенник использует реальные персональные данные и поддельное изображение документа, затем направляет сеансы через VPN или браузеры с защитой от обнаружения. Проверка документов выявляет поддельное изображение; анализ устройства и IP-адреса выявляет инфраструктуру.

Что на практике означает DUPLICATED_DEVICE_FINGERPRINT?

Тот же постоянный отпечаток устройства появился под другой личностью в предыдущем сеансе — сильный сигнал мультиаккаунтинга или фермы мулов. Вы настраиваете ответ в соответствии с вашей политикой: проверка, жесткий отказ или пометка для ручного расследования.

Сколько стоит полный процесс регистрации, устойчивый к мошенничеству?

Основной поток KYC стоит 0,33 доллара США. Добавление проверки AML увеличивает его до 0,53 доллара США. 500 бесплатных проверок в месяц; без минимумов.

Готовы начать?

Мошенничество при открытии счета можно предотвратить на уровне инфраструктуры — до того, как счет появится, до того, как будут перемещены средства, до того, как будет задействован аналитик по борьбе с мошенничеством.

• Изучите полный поток KYC → Документация по проверке пользователя
• См. предупреждения анализа устройства и IP-адреса → Обзор анализа IP-адресов
• Проверьте цены → didit.me/pricing — основной поток за 0,33 доллара США, 500 бесплатных проверок/месяц
• Начните бесплатно → business.didit.me