Warum Sie sich bei der digitalen Identitätsprüfung in Brasilien nicht allein auf CPF-Prüfungen verlassen können

Während sich die digitale Transformation der Weltwirtschaft beschleunigt, machen sich diejenigen, die mit dieser Digitalisierung nicht Schritt halten, anfällig für immer raffiniertere Betrüger, die diejenigen ausnutzen, die ins Hintertreffen geraten. Ironischerweise ist Brasilien, obwohl es von der Weltbank in Bezug auf die Digitalisierung der öffentlichen Dienstleistungsstrukturen als das zweitfortschrittlichste Land der Welt anerkannt wird, anfällig. Was ist das Problem, fragen Sie? Identitätsüberprüfung.

Das Konzept eines Ausweisdokuments ist in Brasilien (und ganz Lateinamerika) ein komplexes Thema. Dies liegt daran, dass brasilianische Bürger im Laufe ihres Lebens mehrere Dokumente erhalten, wobei jeder Bundesstaat, in dem sie leben, unterschiedliche Dokumentationsmodelle erfordert. Aufgrund seines Status als häufigste Form der Dokumentation, unerlässlich für Brasilianer für eine Vielzahl von Aktivitäten, einschließlich der Eröffnung eines Bankkontos, der Einreichung von Steuererklärungen, des Kaufs von Immobilien und sogar des Online-Einkaufs, werden wir uns in diesem Blog auf die CPF-Nummer (Cadastro de Pessoas Físicas) konzentrieren. Insbesondere die Einschränkungen von CPF-Prüfungen im Identitätsüberprüfungsprozess und die Verbreitung von CPF-Betrug, der Verbraucher und Unternehmen in ganz Brasilien anfällig macht, insbesondere wenn ihnen die notwendigen Daten zur Prävention fehlen.

Bevor wir die Bedeutung dynamischer Daten in Prozessen zur digitalen Identitätsprüfung untersuchen, wollen wir zunächst das vorliegende Problem aufschlüsseln und definieren: CPF-Betrug und die Einschränkungen von CPF-Prüfungen.

Das Cadastro de Pessoas Físicas (portugiesisch für „Register für natürliche Personen“) oder die CPF-Nummer ist eine eindeutige Identifikationsnummer, die jedem Einwohner Brasiliens zugewiesen wird. Ausgestellt vom Bundesfinanzamt besteht eine CPF-Nummer aus 11 Ziffern.

In gewisser Weise ähnelt die CPF-Nummer der US-Sozialversicherungsnummer (SSN), da sie zur Verfolgung der Finanzaktivitäten einer Person verwendet wird, wie z. B. Bankgeschäfte, Kreditgeschichte, Steuern, Rentenbeiträge und so weiter. Jedoch ist die CPF, anders als die SSN in den USA oder eine Sozialversicherungsnummer in Kanada, nicht vertraulich. Tatsächlich wird die CPF-Nummer, wie oben erwähnt, in Brasilien oft für verschiedene Aktivitäten angefordert – vom Lebensmitteleinkauf über die Anmietung eines Autos bis hin zur Anmeldung in öffentlichen WLAN-Netzen.

Obwohl Identitätsdiebstahl ein globales Problem ist, gibt es ein Element des Identitätsdiebstahls, das einzigartig für Brasilien ist: die CPF-Nummer.

Als die häufigste Form der Identifikation im Land ist es kein Wunder, dass CPF-Nummern in Betrugsmaschen in Brasilien so prominent vorkommen. Tatsächlich erkennen Sicherheitsberichte von vor Jahren das wachsende Problem an und nennen CPF-Betrug als den bevorzugten Betrug gegenüber dem traditionellen Kreditkartenbetrug, da CPF-Nummern für ihre Inhaber nicht leicht nachvollziehbar sind. Tatsächlich sind Kreditkartentransaktionen und -abrechnungen zwar online leicht zugänglich, die CPF-Aktivitäten sind jedoch fast unmöglich zu überwachen. Ein Betrüger kann problemlos die CPF-Nummer einer Person stehlen (wie bereits erwähnt – sie sind nicht vertraulich), einen Kredit aufnehmen oder einen Kauf im Namen eines legitimen CPF-Inhabers tätigen, wodurch Schulden im Namen des Opfers entstehen.

Noch heimtückischer ist, dass CPF-Nummern ein ideales Ziel für Betrüger sind. Es gibt ein ganzes Untergrund-Ökosystem, das sich der Erleichterung von CPF-Betrug als Dienstleistung widmet. Alles, was erforderlich ist, ist eine Mischung aus gültigen CPF-Nummern, die leicht durch einfache Phishing- und Malware-Angriffe zu erhalten sind. Tatsächlich zeigte eine offizielle Prüfung im Jahr 2020, dass mindestens 12 Millionen mehr CPFs „Bürgern“ zugewiesen waren als die Gesamtbevölkerung Brasiliens.

Organisationen, die auf dem brasilianischen Markt tätig sind, sind gesetzlich verpflichtet, die CPF-Nummern der Kunden zu überprüfen, um den Gesetzen des Landes zu entsprechen. Im Gegenzug greifen Unternehmen innerhalb und außerhalb des Landes auf Due-Diligence-Prozesse zurück, um die Compliance sicherzustellen und Reputationsrisiken zu minimieren – und gehen nicht weiter.

Der Hauptgrund, warum das Vertrauen auf Due-Diligence-Prozesse zur Validierung von Identitäten in Brasilien ein solches Problem darstellt, ist, dass CPF-Nummern statische Identifikatoren sind, d.h. ein festes Datenattribut, das sich nicht ändert (wie das Geburtsdatum). Jeder Identitätsverifizierungsprozess, der sich auf leicht verfügbare deterministische Daten verlässt, ist wesentlich anfälliger für Kompromittierungen. Tatsächlich reichen in der heutigen digitalen Wirtschaft, in der Informationen sowohl auf normalen als auch auf ruchlosen Wegen so einfach geteilt und abgerufen werden, statische Daten nicht aus.

Da hochentwickelte Identitätsdiebe dafür bekannt sind, gefälschte Identitäten aus gestohlenen statischen Datenelementen zu erstellen, müssen Organisationen dynamische Daten nutzen. Kurz gesagt, dynamische Identitätsdatenelemente umfassen Dinge wie die Telefonnummer eines Kunden, die E-Mail-Adresse und seine IP (Internet Protocol)-Adresse. Im Gegensatz zu statischen Datenattributen können dynamische Datenattribute über mehrere dynamische Verknüpfungen, Metadaten, Historie und Aktivitätsmuster hinweg genutzt werden, um eine Identität zu validieren.

Zum Beispiel, wie in unserem E-Book zur Erkennung und Bekämpfung von Identitätsbetrug beschrieben, sind diese dynamischen Verknüpfungen zwischen Identitätselementen für gestohlene Identitäten viel wichtiger, da es eine geringe Konsistenz zwischen den Elementen gibt. Zum Beispiel ist bei Metadaten der Vergleich der Adresshistorie mit der Länge der Kredithistorie ein nützlicher Indikator, da die Dauer ähnlich sein sollte. Darüber hinaus weisen Verhaltenselemente viele starke Indikatoren auf. Zum Beispiel ist das IP-Risiko besonders effektiv, um den Ursprung und den Standort einer Identität zu erkennen.

Basierend auf dem, was der Kunde in einem Datensatz eingegeben hat – sei es ein Kontoeröffnungsantrag oder eine Transaktion – können die dynamischen Identitätsdatenelemente Name, E-Mail, Telefonnummer, Adresse und IP-Adresse ausgewertet werden.

Die Vorteile eines probabilistischen Ansatzes zur Risikobewertung sind immens. Zum Beispiel korrelieren Risikosignale wie „email-first-seen-days“ mit dem Identitätsverhalten und können besser identifizieren, wo eine höhere Wahrscheinlichkeit für Betrug besteht. Die Antwort ist keine binäre Ja- oder Nein-Antwort – es ist eine Zahl (insbesondere eine Anzahl von Tagen) und die Korrelation mit bekanntem Betrug zeigt einen probabilistischen Wert. Um dies noch weiter zu führen, könnte dieser Ansatz sogar entschlüsseln, wie lange eine E-Mail mit einer Telefonnummer verknüpft war. Dies ist einfach keine Frage, die durch einen traditionellen Due-Diligence-Ansatz beantwortet wird.

Da wir nun wissen, dass Ihre internen Daten – insbesondere statische Identifikatoren – nicht ausreichen, um CPF-Betrug zu mindern, worauf sollten wir achten? Um Kontext zu schaffen und Differenzierung voranzutreiben, stellen Sie sicher, dass Sie die richtigen externen Datenerkenntnisse nutzen. Diese ermöglichen dank der von der Technologie des maschinellen Lernens bereitgestellten Verhaltensverbindungen die Identitätsprüfung und die Betrugsprävention. 

• Umfassende globale Abdeckung 

Die Daten in unseren Produkten bieten ein umfassendes Bild der Identität eines Kunden, indem sie fünf wichtige Identitätselemente – Name, Telefon, E-Mail, physische Adresse und IP – sowie deren Verknüpfung mit einer Identität analysieren. Unsere auf maschinellem Lernen basierenden Scores nutzen dann internationale Daten, um Abdeckung und digitale Interaktionen aus der Praxis zu bieten und legitime und betrügerische Kundenaktivitäten vorherzusagen.

• Grenzüberschreitend und branchenübergreifend

Die meisten unserer Kunden verfügen über lokale oder kundenspezifische Netzwerke, was ihre Fähigkeit einschränkt, dem Kunden den besten Wert zu bieten. Glücklicherweise bietet unser globales Identity Network Einblicke in grenzüberschreitende und branchenübergreifende Betrugsmuster, über lokale Daten hinaus.

• Datenbereinigung und Vorverarbeitung

Datenbereinigung ist der Prozess des Erkennens oder Entfernens fehlerhafter, beschädigter oder inkonsistenter Daten aus einem Netzwerk. Ekata hat einen rigorosen Datenbereinigungsprozess, der Analysen und Data Engineering nutzt, um Daten für den effizienten Einsatz in Betrugspräventionsmodellen zu validieren und zu normalisieren. Im Falle von CPF-Betrug stellen CPF-Nummern statische Daten dar – Name, Geschlecht, Geburtsdatum, Nationalität. Unsere Daten nutzen zusätzliche, dynamische Daten wie Adresse, E-Mail und Telefon, um die Validierung zu verbessern und eine gründlichere Überprüfung zu bieten.

• Echtzeit-Bewertung 

Wir organisieren unsere Daten zur Identitätsprüfung in einer graphenstrukturierten Datenbank und verwalten Milliarden globaler Datensätze in Echtzeit. Wir berechnen und bewerten Risiken sowie standardisieren, normalisieren und deduplizieren Daten. Dies stellt sicher, dass wir keine Duplikate oder manuellen Agentenaktualisierungen als neue Transaktion zählen.

Da 80 % der Versuche von Identitätsbetrug in Brasilien in der Phase der Identitätsprüfung einer Transaktion und der digitalen Kontoeröffnung auftreten, beruht die Fähigkeit, Betrugsrisiken zuverlässig einzuschätzen, darauf, Zugang zu einzigartigen und wertvollen Daten zu haben, die eine genaue und schnelle Entscheidungsfindung ermöglichen, um eine Identität genau zu verifizieren. Dynamische Daten und prädiktive Risikosignale zu nutzen bedeutet, über die Grenzen des deterministischen Ansatzes hinauszugehen, den die CPF-Verifizierung darstellt.