Kim jesteś dla banku? Jak tożsamość syntetyczna przechodzi weryfikację klienta
Twoje dane osobowe, nawet jeśli nigdy ich nikomu nie przekazałeś, prawdopodobnie krążą po internetie. Wycieki z serwisów e-commerce, funduszy inwestycyjnych i operatorów telekomunikacyjnych wypełniły czarne rynki setkami milionów rekordów. Oszust, który kiedyś musiał improwizować, dzisiaj kupuje gotowy zestaw: prawdziwe imię i nazwisko, adres, numer PESEL oraz datę urodzenia pochodzące od prawdziwego człowieka, a resztę — historię zawodową, zdjęcia, adres e-mail i numer telefonu — dopisuje sztuczna inteligencja. Powstaje tożsamość syntetyczna: osoba, która w połowie jest realna, a w połowie wymyślona, ale jako całość wygląda wiarygodnie dla każdego systemu, który sprawdza dane fragmentami.
Trzy części, z których skleja się człowiek
Klasyczna tożsamość syntetyczna składa się z trzech elementów. Pierwszy to prawdziwe dane skradzione lub wykupione z wycieku — zwykle numer PESEL i imię, a z nim data urodzenia. Drugi to wymyślone uzupełnienie: adres e-mail, numer telefonu, zdjęcie profilowe wygenerowane przez sieć neuronową, wyuczona historia zatrudnienia. Trzeci to cierpliwość: zamiast wydawać pieniądze od razu, oszust buduje profil przez tygodnie lub miesiące, reguluje drobne zobowiązania, zbiera pozytywne wpisy w bazach, aż ryzyko kredytowe tej fikcyjnej osoby spadnie na tyle, że bank przyzna jej kredyt hipoteczny, firmowy lub kartę z wysokim limitem.
Generatywna AI uprawdziła każdy z tych elementów. Zdjęcia, które kiedyś łatwo było rozpoznać po zniekształconych uszach i niedomkniętych oczach, dzisiaj wyglądają jak zdjęcie z aplikacji służbowej. Historia zatrudnienia pisana przez model językowy zawiera wiarygodne nazwy stanowisk, logiczną ścieżkę awansu i spójne daty. Chatbot odpowiadający z utworzonej skrzynki radzi sobie z korrespondencją z urzędem lub z pracodawcą bez zdradzających błędów językowych.
Skala zjawiska przestała być marginesem. Według raportu Financial Crime 360 za 2025 rok, przygotowanego przez The Payments Association, liczba zgłaszanych przypadków wzrosła w 2024 roku o 60 procent i tożsamość syntetyczna odpowiada już za 29 procent wszystkich oszustw tożsamościowych. Amerykański system Rezerwy Federalnej od lat opisuje ją jako najszybciej rosnący rodzaj przestępczości finansowej w Stanach Zjednoczonych; bank centralny Bostonu szacował straty na 20 miliardów dolarów już w 2020 roku — dziś rosną one każdego roku.
Weryfikacja dokumentów i selfie — i dlaczego nie wystarcza
Wielu klientów uważa, że skoro bank wymaga skanu dokumentu i selfie podczas rejestracji konta, to oszust nie ma szans. Tymczasem rynek usług oszukańczych dopasował się do tych mechanizmów. Fałszywe dokumenty tożsamości generowane są na bazie prawdziwych wzorów, a atramenty i czcionki dobierane tak, by przechodzić automatyczne testy. Do weryfikacji biometrycznej służą aplikacje, które animują zdjęcie lub krótkie wideo, symulując mrugnięcia i ruchy głowy. Są też serwisy, które na zlecenie przeprowadzają całą weryfikację za oszusta — z prawdziwym człowiekiem przed kamerą, jeśli tego wymaga proces. Entrust w raporcie za 2025 rok odnotował, że w 2024 roku cyfrowe fałszerstwa dokumentów po raz pierwszy prześcignęły fizyczne podróbki — odpowiadają za 57 procent wszystkich fałszerstw dokumentów, a liczba prób deepfake’owych rośnie średnio o jedną co pięć minut.
Efekt: oszustwo, które kiedyś wymagało wiedzy eksperta i tygodni pracy, dzisiaj kupuje się jak abonament. Ofiarą rzadko zostaje jedna osoba — tożsamość syntetyczna jest produkowana seryjnie, a banki i fintechy wykrywają ją zwykle dopiero wtedy, gdy fikcyjny klient przestaje spłacać zobowiązania.
Kto płaci, gdy fikcyjny klient znika
To pytanie brzmi retorycznie, ale ma konkretną odpowiedź: płacą wszyscy. Banki bilansują straty przez wyższe prowizje i marże, fintechy podnoszą koszty weryfikacji i rezygnują z uproszczonych procesów rejestracji, a uczciwi klienci czekają dłużej na konto, kredyt lub kartę. Jednocześnie rośnie ryzyko, że skradzione dane prawdziwego człowieka zostaną użyte do budowy takiej fikcyjnej osoby — i że ofiara dowie się o tym dopiero z wezwania do zapłaty lub z odmowy kredytu, którego nie zaciągała.
Obrona jest żmudna i nie efektowna: monitorowanie własnej historii kredytowej, ostrożność w udostępnianiu danych, korzystanie z usług, które ostrzegają o podejrzanych zapytaniach o nasze dane. Równie istotna jest presja na firmy, by ograniczały zbieranie danych do niezbędnego minimum — bo każdy zbędny rekord w bazie to potencjalny budulec czyjeś fikcyjnej tożsamości.
Oznaczenie treści AI
Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
