A fraude está se tornando cada vez mais comum em redes P2P como a Zelle e outras, como foi destacado novamente hoje pelo artigo do NYTimes.
À medida que mais pagamentos instantâneos em tempo real, como RTP ou FasterPayments, entram em operação nos EUA, esse problema só vai piorar. A regulamentação norte-americana para proteger os consumidores desses vetores de fraude está, infelizmente, muito atrasada.
O mesmo motivo pelo qual os clientes adoram pagamentos instantâneos em tempo real via P2P, como Zelle, Venmo, SquareCash e também criptomoedas, é o motivo pelo qual os fraudadores também adoram — com esses métodos de pagamento, o dinheiro pode ser transferido instantaneamente e não é recuperável.
Neste artigo, quero compartilhar algumas recomendações para consumidores, fintechs, bancos e reguladores sobre como lidar com golpes em pagamentos P2P no Zelle e em outras plataformas. Com o sistema de Real Time Payments (também conhecido como RTP) da The Clearing House já em operação em vários bancos e o Faster Payments do Federal Reserve previsto para entrar em funcionamento em alguns anos, esses tipos de vetores de fraude tendem apenas a se agravar.
1. Os consumidores nunca devem confiar no identificador de chamadas (CallerID)
Primeiro, como consumidores, nunca devemos confiar no CallerID. Golpistas muitas vezes conseguem se safar fingindo que uma ligação ou mensagem de texto está vindo de um banco ou fintech. É muito simples para eles associar qualquer nome (geralmente o de um banco) ao próprio número de telefone ao ligar ou enviar mensagens de texto, por meio de vários métodos de spoofing de callerId.
Para se proteger, você deve sempre verificar se esse número realmente pertence ao banco ou à fintech. A melhor forma de fazer isso é acessar o site do banco ou da fintech e conferir se o número do remetente está listado lá. Observe que você nunca deve confiar no número de telefone que aparece nos resultados de busca do Google, pois golpistas frequentemente usam táticas sofisticadas de SEO ou anúncios para divulgar o próprio número como se pertencesse ao banco.
2. A identidade é multifacetada
Em segundo lugar, bancos e fintechs devem parar de usar números de telefone como único identificador de uma pessoa. A identidade digital é cada vez mais multifacetada e a identidade real de alguém é uma combinação de:
- ID do dispositivo
- ID do SIM
- Número de telefone
- KYC — bureaus de crédito
- Documento de identidade — passaporte, carta de condução
- Biometria — TouchId, FaceId
Neste caso, a falha gritante na prevenção de fraudes do Wells Fargo e do Zelle é que eles permitem que qualquer pessoa comprove a posse de um número de telefone e conecte esse número ao Zelle. O golpista conseguiu verificar o número de telefone pedindo os códigos à vítima por meio de técnicas de engenharia social. O Wells e o Zelle cometeram o erro básico de não verificar se a identidade registrada na operadora de telefonia correspondia à identidade da conta do Wells.
Em vez de conceder acesso ao Zelle a qualquer pessoa apenas com base no número de telefone, uma abordagem muito mais à prova de falhas é conceder acesso com base na identidade holística da pessoa, ou seja, se a identidade do telefone na operadora corresponde à identidade nos bureaus (vinculada ao SSN) ou aos documentos de identidade (como passaporte ou carteira de motorista).
Na Sardine, evitamos fraudes em pagamentos ao construir uma identidade holística do consumidor e utilizar múltiplas facetas da identidade de uma pessoa, já no momento da abertura da conta. Usamos nossos modelos de IA proprietários para pontuar um usuário no momento da abertura da conta sob a ótica de quão provável é que ele venha a cometer fraude em pagamentos no futuro.
3. Telemetria avançada de dispositivos para prevenir golpes de engenharia social
Golpes de suporte técnico ou de romance não podem ser detectados no lado do servidor. Você precisa fazer telemetria no lado do cliente usando produtos avançados de inteligência de dispositivos como os nossos na Sardine.
- A maioria dos fraudadores manipula socialmente as vítimas usando mensagens que parecem vir de bancos.
- Eles então fingem ser o suporte ao cliente do banco e convencem as vítimas a instalar um aplicativo de acesso remoto, como Team Viewer ou Any Desk.
A única maneira confiável de saber se há várias pessoas acessando a conta bancária é analisando o comportamento do lado do cliente. Na Sardine, conseguimos detectar se várias pessoas — vítima e fraudador — estão movendo o mouse ou digitando ao mesmo tempo.
Confira este post anterior informativo e veja uma demonstração ao vivo de como a nossa tecnologia funciona.
4. Novos métodos de pagamento exigem repensar a proteção ao consumidor
Por fim, em termos de regulamentação, o CFPB e outros órgãos deveriam analisar o que o Reino Unido teve de fazer em relação a golpes semelhantes em seus sistemas de Faster Payments. O Reino Unido conta com pagamentos instantâneos em tempo real via Faster Payments desde 2008 (portanto, uma década antes do Zelle, que começou em 2017) e tem lidado com golpes semelhantes há muito mais tempo.
Esse também foi o vetor de ataque de crescimento mais rápido no Reino Unido e é conhecido como golpe de APP (Pagamentos por Transferência Autorizada).
- Os bancos, sob a orientação do Payment Systems Regulator (PSR) no Reino Unido, criaram um “fundo comum” de dinheiro para indenizar as vítimas quando a responsabilidade pela fraude não pudesse ser atribuída a ninguém. Nos Estados Unidos, o CFPB e outros órgãos reguladores deveriam levar a sério a proteção ao consumidor e criar um ombudsman semelhante e um fundo de recursos similar para reembolsar as vítimas.
- Além disso, quando você envia dinheiro por meio do Faster Payments para um beneficiário, pode verificar se a conta bancária desse beneficiário realmente pertence à pessoa para quem você pretendia enviar o dinheiro, por meio de um processo chamado Confirmation of Payee (CoP). Precisamos de algo muito semelhante no momento dos pagamentos via Zelle!
Em resumo, como as revelações desta semana do artigo do NYTimes mostram, à medida que Zelle, RTP e FasterPayments continuam a ganhar popularidade, a fraude só tende a piorar. A hora de enfrentar diretamente esses vetores de fraude é agora.