从虚假开户到跨平台套现：拆解合成身份欺诈的完整攻击链与防御策略

现在的诈骗分子越来越聪明了。他们拿着泄露的个人信息，再用AI生成一些假材料，就能造出一个看起来很真实的身份。更麻烦的是，这些假身份能通过银行的审核，拿到贷款、信用卡，甚至在多个平台上骗钱。

2026年10月26日，网络安全媒体 Help Net Security 报道了 TransUnion 的最新研究。数据显示，截至2026年6月底，美国贷款机构面临的合成身份欺诈风险敞口达到24亿美元，其中汽车贷款就占了15亿美元。

注意，这24亿美元是"潜在风险"，不是已经损失的钱，但这个数字已经够吓人了。

更值得关注的是，2026年上半年，81%的疑似数字欺诈发生在账户登录和金融交易环节。换句话说，骗子们的战场已经不只是开户注册那一关了，他们盯上了你日常用账户、转账、找回密码的各个环节。

对银行和金融机构来说，一次身份验证通过，已经不能证明后面的所有操作都安全。

合成身份欺诈(Synthetic Identity Fraud)和传统盗号不一样。

传统盗号是直接偷你的账号密码，而合成身份欺诈是用真实的个人信息(比如从数据泄露事件里搞到的)，再配上一些伪造的材料，拼凑出一个"看起来很真"的假身份。

这些假身份能通过企业的开户审核，一旦通过，骗子就能用这个身份申请信贷、注册服务，甚至在多个平台上继续行骗。

TransUnion 调查了企业管理者对各类欺诈的应对准备情况，结果显示认为自己组织准备最不足的比例是：

• 合成身份欺诈：53%

• 诈骗及受害者授权的欺诈：50%

• 账户接管：47%

• 第三方欺诈：36%

• 第一方欺诈：34%

合成身份欺诈排第一，超过一半的企业管理者觉得自己公司没准备好应对这种风险。

这说明什么？企业现在要防的，不只是假身份证、假材料，还得判断账户是不是被人控制了，客户是不是被人骗了，正常业务流程会不会被人利用来诈骗。

传统网络诈骗是直接偷密码，但现在有种更隐蔽的手法：骗子冒充银行、保险公司或其他可信机构，诱导你主动配合完成危险操作。

从一通"正常"的客服电话开始

你接到一个电话，对方自称是银行客服，说你的账户有异常，需要验证身份。听起来很正常对吧？

然后对方让你提供验证码、重置密码，或者按照指引完成某些操作。因为对方看起来是"官方"，很多人就照做了。

结果呢？验证码一给出去，账户可能就被控制了。

或者更绝的是，骗子直接让你把钱转到"安全账户"，而这个账户其实是骗子的。

为什么身份验证拦不住这种骗局？

关键问题在于：身份验证能确认"是你在操作"，但确认不了"你是不是被骗了"。

从银行系统来看，账户登录正常，身份验证通过，转账也是你自己操作的。但实际上，你是在骗子的诱导下完成这笔转账的。

更麻烦的是，这种诈骗经常发生在银行管不到的地方——电话、短信、社交软件。等你登录银行App操作时，系统看到的就是一次"正常交易"。

TransUnion 的调查显示，29%的受访者把"诈骗及受害者授权的欺诈"列为企业欺诈损失的主要来源，是最常被选择的类别。

这说明，光靠身份验证成功与否来判断交易安全，已经不够用了。

如果说冒名诈骗利用的是客户对银行的信任，那合成身份欺诈利用的就是企业对"已通过审核用户"的信任。

完整的欺诈路径是这样的

第一步：造一个假身份

骗子先搞到泄露的个人信息，再用AI生成其他材料、伪造文件。这些材料可能包含真实信息，也可能混着假的。目的就是让这个身份看起来真实可信，能通过企业审核。

第二步：通过审核，获得"合法"入口

假身份通过某个服务的开户审核后，骗子就能用这个身份使用金融服务了。这时候，风险已经从"提交假材料"变成了"账户在持续使用"的问题。

通过审核不等于风险消失。

第三步：用同一个身份在多个平台行骗

报告列举了合成身份可能被用来干这些事：

• 申请"先买后付"(BNPL)贷款

• 开手机账户(带设备租赁)

• 申请信用卡

• 创建在线博彩账户

这些业务分属不同公司，风控流程也不一样。单个公司可能只能看到自己这边的情况，不知道同一个假身份在其他平台也在活动。

所以一旦假身份进入多个服务体系，欺诈风险就会在不同机构之间扩散。

第四步：转移赃款或套现

骗子通过这些账户，用转账、商品转售等方式转移欺诈所得。可能是钱，可能是授信额度对应的利益，也可能是实物商品或数字产品。

这说明，合成身份欺诈的风险不止在开户那一刻。假身份一旦进入正常业务流程，就能被持续用来骗钱。

风险有多大？

截至2026年6月底，美国贷款机构面临的合成身份欺诈风险敞口是24亿美元，汽车贷款占15亿美元。

不过报道没说具体是哪些机构、有多少假账户，或者实际损失了多少钱。所以不能把风险敞口直接当成已经损失的钱。

但这个数字足以说明，合成身份欺诈对信贷业务的影响不容小觑。

人工智能正在改变网络诈骗的玩法。

TransUnion 报告指出，AI能帮骗子生成文档、编写诈骗消息、构造身份信息、寻找目标。原本需要人工一个个做的事，现在可以自动化批量完成。

这不仅降低了单次诈骗的成本，还让骗子能更容易地重复、调整和扩展骗术。

多种手段组合使用

报告描述的诈骗活动可能同时用上多种资源：被盗的账号密码、伪造的身份记录、大家熟悉的品牌形象。

比如，骗子可能用熟悉的机构名称建立信任，再以"账户异常"为由让你操作；也可能直接用已经搞到的身份信息尝试登录相关服务。

调查显示，42%的受访企业管理者表示，欺诈规模扩大或复杂程度增加，已经给公司带来显著或严重的压力。

随着企业加强账户登录控制，骗子开始盯上其他能影响账户访问权限的业务流程。

报告特别指出，账户恢复和客户服务请求正在成为攻击目标。骗子越来越多地试图利用"次级身份验证流程"获取账户访问权限。

这很好理解。正常用户可能忘记密码、换了手机，需要重新验证身份找回账户。这是企业必须提供的合法服务。

但如果找回密码的验证要求比正常登录低，就可能形成风险入口。

比如，如果找回密码主要靠几个容易被获取或伪造的个人信息，骗子就可能用已经掌握的数据发起找回请求。

所以企业不能只强化登录入口，还得把找回密码、重置凭据、客户服务中的敏感操作都纳入统一的身份安全管理。

不同地区的欺诈特点

报道还展示了不同地区的数字欺诈特点：

加拿大：被盗凭据和社会工程攻击影响账户安全，账户登录环节占疑似欺诈活动的最大份额。

欧洲：88%的疑似数字欺诈发生在账户创建之后。

英国受访者最常把"诈骗及受害者授权的欺诈"列为主要损失来源；西班牙受访者更多提到第一方和第三方欺诈。

拉丁美洲：移动商务和即时支付的发展，给骗子提供了更多机会。电话诈骗是最常见的攻击方式。

非洲：94.3%的疑似数字欺诈发生在账户访问环节。

亚洲：移动服务和即时支付被用于账户入侵和受操纵转账。菲律宾和印度的受访者都把"诈骗及受害者授权的欺诈"列为主要损失来源。

虽然各地区情况不同，但有个共同趋势：数字欺诈防护正在从开户阶段，延伸到用户与业务系统持续交互的全过程。

金融机构该怎么办？

基于报告揭示的欺诈路径，这里整理了几条防护建议：

针对用真实信息+伪造材料构建假身份的方式，企业要关注身份信息之间的一致性和合理性。

开户时，可以综合评估身份材料、联系信息、设备行为等。对于信贷申请、敏感账户开通这些高风险业务，根据风险设置差异化审核。

不能因为某项信息可以被验证，就认为整套身份材料都真实可信。对异常申请，可以引入人工复核或补充验证。

传统做法是把大量资源投入开户审核，但数据显示，大量疑似欺诈发生在账户建立之后。

所以企业需要把风险评估延伸到日常账户交互：登录、改密码、转账、找回账户等关键节点，结合风险水平决定是否需要进一步验证。

不能因为用户通过了一次身份验证，就默认后续所有操作都可信。

冒名诈骗和受害者授权的欺诈很难防，因为交易可能是真实用户主动发起的。单纯检查密码、设备、登录状态不够。

企业可以重点关注：异常收款对象变更、与历史行为明显不符的转账、其他高风险交易。

在适当场景下，可通过独立渠道确认客户交易意图，或对高风险操作增加风险提示和复核。

同时，要持续向客户解释常见诈骗手法，特别是索取验证码、要求重置密码、以安全为由让你转账这些行为。

同一个假身份可能被用于多项服务。企业在合法合规前提下，可以加强对不同账户及业务行为之间异常关联的识别。

比如：关注身份资料之间不合理的重复、异常集中的账户申请、账户之间的可疑资金或业务联系。

但这必须遵守个人信息保护、数据安全和监管要求，不能以反欺诈为由扩大不必要的数据收集。

找回账户是合法用户需要的服务，但也可能被骗子利用。

企业要重新审视忘记密码、重置凭据、更换验证方式这些流程。对可能改变账户控制权或影响资金安全的操作，验证要求要与业务风险匹配。

不能正常登录管得很严，找回密码却可以用很弱的验证方式完成敏感变更。

对重要凭据和账户设置的变化，可通过原有渠道提醒客户，并保留审计记录。

AI降低了欺诈材料制作和诈骗准备的成本。企业不能只靠固定话术特征或静态规则识别风险。

防御体系要持续关注新的身份伪造形式、社会工程攻击方式、异常业务行为模式。

结合自动化风险分析和人工调查，对高风险活动分级处置。对识别出的异常案例建立反馈机制，用来更新检测规则、审核流程和客户风险提示。

关键不是简单地用AI对抗AI，而是通过持续分析、及时响应和规则更新，提升企业对不断变化欺诈方式的适应能力。

从身份可信到行为可信：防护思路需要变了

综合这次报道，当前数字欺诈风险有三个特点：

第一，身份信息的可信性受到挑战。数据泄露提供了真实信息来源，AI降低了假材料生成成本。企业要面对的不只是完全伪造的身份，还有真实信息与虚构材料结合的合成身份。

第二，正常业务流程可能成为欺诈载体。无论是用假身份申请贷款，还是冒充银行让客户转账，骗子都在试图利用企业现有的账户、授权和交易流程完成欺诈。

第三，欺诈防护正在向账户全生命周期延伸。从开户、注册到登录、交易，再到找回账户、客户服务，风险可能在不同阶段出现。

TransUnion 报告的24亿美元合成身份欺诈风险敞口，为这一挑战提供了直观的观察窗口。这个数字不仅反映了美国贷款机构面临的潜在风险，也提醒企业重新审视身份安全机制的适用范围。

特别是在AI辅助欺诈、跨平台账户使用、社会工程攻击相互交织的背景下，开户时验证通过，不能保证账户未来的每次访问和交易都安全可靠。

数字化金融服务让用户更方便地申请信贷、管理账户、完成支付，但也让身份信息和账户访问成为欺诈的重要目标。

从冒充银行客服获取验证码，到构建合成身份申请金融服务，再到利用找回账户流程尝试获取访问权限，骗子正在持续寻找身份验证与业务流程之间的薄弱环节。

面对这些变化，金融机构需要建立更完整的风险认知：既要关注身份是否真实，也要关注账户是否安全、用户是否被骗、交易行为是否异常。

身份验证不是信任的终点，而是持续风险管理的起点。

从一次性核验转向账户全生命周期的动态风险识别，将成为金融机构完善数字身份安全和反欺诈防护的重要方向。

相关阅读