Detecção de fraudes e estornos no Apple Pay
Quando você entra em uma loja física ou faz o checkout online e paga com seu iPhone ou Apple Watch, pode estar usando o serviço Apple Pay. Essa forma mais conveniente de pagar é a preferida pelos consumidores mais jovens, mas muitos lojistas no varejo e no comércio eletrônico estão percebendo um aumento nas fraudes vindo do Apple Pay.
Os comerciantes estão entre a cruz e a espada. Para aumentar o volume de compras e atrair o principal público jovem, eles precisam oferecer suporte ao Apple Pay, mas isso pode aumentar as perdas por fraude e gerar taxas de chargeback mais altas.
Para tirar o máximo proveito do Apple Pay, precisamos analisar tudo em detalhes.
- Adoção do Apple Pay e estatísticas
- Economia do Apple Pay
- A anatomia de uma transação
- Padrões emergentes de fraude.
1. Adoção do Apple Pay no Ocidente
O Apple Pay popularizou um novo mecanismo de “Cartão Presente” como alternativa à passada do cartão, chamado NFC (ou “aproximar para pagar”) nos EUA. Pela primeira vez, os consumidores puderam deixar seus cartões em casa e pagar com o telefone, relógio ou finalizar compras online sem precisar digitar longos números de cartão e datas de validade. Essa conveniência explodiu em popularidade desde o seu lançamento em 2014. Agora um em cada 5 consumidores nos EUA usa o Apple Pay todos os meses.
Os utilizadores do Apple Pay tendem a ser mais jovens, com 73% dos utilizadores da Geração Z a preferirem usar o Apple Pay para compras online e em loja física. Para atrair este público-alvo essencial, os comerciantes são cada vez mais pressionados a atualizar as suas soluções de aceitação de pagamentos.
O suporte a NFC (aproximar para pagar) obrigou muitos varejistas a atualizar seus terminais para suportar NFC nos Estados Unidos. Na Europa, um sistema semelhante ao NFC com chip e PIN já era usado com cartões de crédito há muito tempo, então a adoção do Apple Pay na UE foi mais fácil. Além disso, a ampla utilização de “cartões contactless” (ou de aproximação) fez com que o Apple Pay não representasse a mesma mudança radical para os consumidores europeus.
A NFC é conveniente para os consumidores, mas, ao contrário do chip e PIN, não é tão segura porque o usuário não está inserindo um segundo fator de autenticação. Para compensar isso, geralmente existem limites de valor (US$ 250 nos EUA) e taxas de recusa mais altas nas transações por NFC em comparação com chip e PIN.
2. Economia do Apple Pay
Quando alguém usa um cartão, o comerciante pode pagar uma “taxa de desconto” de cerca de 2% por essa transação nos EUA. As taxas são mais baixas na UE devido às regulamentações, por isso os serviços e os programas de pontos de fidelidade tendem a ser relativamente ruins na UE.
A maior parte dessas taxas nos EUA, digamos 1,7%, irá para o emissor, e o emissor pode pagar à Apple cerca de 0,15%.
Assim, a Apple recebe a sua parte dos emissores, o que significa que os comerciantes muitas vezes saem perdendo. Por isso, a maioria dos varejistas havia desativado o NFC e/ou o Apple Pay em seus terminais nos primeiros tempos. No entanto, diante do aumento da demanda dos consumidores, especialmente do público mais jovem, muitos agora estão habilitando esse tipo de pagamento.
Com margens comprimidas, maior risco de fraude e uma demanda do consumidor em crescimento, é mais crucial do que nunca entender o Apple Pay para evitar que fraudes corroam as margens e a confiança dos consumidores.
3. A Anatomia de uma Transação com Apple Pay
O Apple Pay utiliza uma variedade de recursos de segurança em diferentes etapas do ciclo de vida do cliente para proteger os dados dos usuários, incluindo:
- Criação de conta (Tokenização): Ao adicionar um cartão de crédito ou débito ao Apple Pay, o número do cartão é criptografado e armazenado no seu dispositivo em um chip seguro chamado Secure Element, e esse número tokenizado é chamado DAN. Quando você faz um pagamento, o Apple Pay gera um token exclusivo que é usado para processar a transação. Esse token não pode ser usado para rastrear seus gastos nem para fazer compras não autorizadas.
- No pagamento (autenticação biométrica): Você pode usar o Touch ID ou o Face ID para autenticar pagamentos feitos com o Apple Pay. Isso ajuda a garantir que somente você possa fazer pagamentos com o seu dispositivo.
- Em repouso (Criptografia): Toda a comunicação entre o seu dispositivo e os servidores do Apple Pay é criptografada. Quaisquer dados confidenciais, como tokens ou marcadores biométricos, nunca saem do seu dispositivo. Isso ajuda a proteger os seus dados contra acessos não autorizados.
O CVV (código de segurança de 3 ou 4 dígitos) também é protegido de forma segura. O Apple Pay gera um novo CVV para cada transação, esse CVV específico da transação dinâmico é mais seguro do que as passagens magnéticas, o que ajuda a evitar ataques de malware.
3.1 Anatomia de uma transação: criação do token Apple Pay
Quando você adiciona um cartão de crédito ou débito ao Apple Pay, o sistema Apple Pay usa um Provedor de Serviço de Token (TSP) para gerar um token de pagamento com base no seu cartão de crédito ou débito, chamado Número de Conta do Dispositivo (DAN).
O DAN é usado para representar o seu cartão em transações com o Apple Pay.
O DAN não é o número do seu cartão e não pode ser usado para fazer compras não autorizadas. O mesmo cartão adicionado a outro iPhone gerará um DAN “diferente” e, por isso, é chamado de “número de conta do dispositivo”.
O DAN é criado por meio de um processo chamado tokenização. A tokenização é uma técnica de segurança que substitui dados sensíveis por um identificador exclusivo que não pode ser usado para recriar os dados originais. No caso do Apple Pay, o DAN é criado criptografando o número do seu cartão com uma chave exclusiva. Essa chave é armazenada no seu dispositivo no Secure Element e não pode ser acessada por mais ninguém.
4 padrões de fraude no Apple Pay
4.1 Não Específico ao Apple Pay
Embora o Apple Pay seja geralmente considerado um método de pagamento seguro, existem alguns riscos associados ao seu uso em transações online.
Esses riscos incluem
- Sites fraudulentos: Existem vários sites fraudulentos que afirmam aceitar Apple Pay. Esses sites podem parecer legítimos, mas são projetados para roubar suas informações pessoais.
- Violações de dados: Se o site de um comerciante for invadido, os seus dados do Apple Pay podem ser comprometidos. Isso pode permitir que criminosos façam compras não autorizadas usando a sua conta.
- Malware: Se você baixar um aplicativo malicioso, ele poderá potencialmente roubar seus dados do Apple Pay.
4.2 Risco Específico do Apple Pay
A Apple tornou o cenário mais complexo ao introduzir mais um agente no ecossistema de pagamentos.
Agora, quando um comerciante tenta depurar o que deu errado em uma transação (por exemplo, mais recusas ou para garantir que o endereço de cobrança na Apple seja válido), talvez ele precise depurar junto com a Visa, a Apple e o emissor do cartão.
Na maioria dos casos, eles vão apontar que a responsabilidade é do emissor.
Para alguns emissores, é um sistema novo; por isso, eles geralmente têm várias brechas para o Apple Pay.
Algumas das brechas:
- Proteção limitada contra ataques de carding para adicionar um cartão ao Apple Pay.
- Validação limitada do endereço de cobrança no Apple Pay.
Agora vamos discutir alguns dos problemas do Apple Pay.
Aceitar pagamentos é onde a responsabilidade por fraude é o maior problema para o Apple Pay. Os comerciantes têm responsabilidade por fraude e não têm os números de cartão subjacentes. Os emissores até têm o número do cartão, mas não assumem a responsabilidade pelas perdas por fraude, então não estão motivados a impedir a fraude. Para eles, uma transação é o comerciante recebendo a receita e um impacto de perda por fraude.
4.2.1 Mapeamento do DAN do Apple Pay para o Emissor
Uma forma clássica de detectar fraude era o “mapeamento de BIN”: associar o emissor do cartão ao número do cartão usando os primeiros 6 dígitos do cartão (o Bank Identification Number, ou “BIN”).
O Apple Pay mudou a eficácia do mapeamento de BIN, pois muitos fornecedores internos e externos de bases de dados de BIN não ofereciam suporte ao DAN do Apple Pay. Os BINs do Apple Pay eram diferentes, então recursos como “emissor de risco” ou “é um NeoBank” deixaram de funcionar.
Esses recursos não estão disponíveis se um emissor for comprometido ou se o comerciante quiser saber se esse cartão pertence a um neobanco arriscado ou a um emissor de cartão com controles de fraude deficientes.
Dica da Fraud Squad: Para resolver isso, você precisa de um fornecedor de fraude que ofereça mapeamento de BIN para emissor para Apple Pay. (Quem será que é 🐟👀). Com o tempo, esperamos que a Apple resolva isso com uma solução amigável para o lojista.
4.2.2 Múltiplos DAN/TOKENS para o mesmo cartão
Outra ferramenta clássica para detectar fraude eram as “verificações de velocidade”. Se você visse o mesmo cartão sendo usado várias vezes (10x, 20x ou 100x no mesmo estabelecimento) para compras, esse padrão poderia indicar fraude.
Com o Apple Pay, se um fraudador adicionar o mesmo cartão a vários dispositivos iPhone ele receberá um DAN separado.
Dica da Fraud Squad: Comerciantes, verifiquem com o seu PSP ou fornecedor de soluções antifraude as agregações em torno do número de cartão interno, ou seja, o número de referência da conta permanente – correspondente ao DAN.
Isso pode reduzir significativamente os ataques de fraude.
Conclusão
O Apple Pay é um método de pagamento seguro, mas é importante conhecer os riscos associados ao seu uso em transações online.
A Apple é conhecida pela privacidade (impressão digital, tokenização), mas isso remove parte dos dados que os comerciantes usavam para combater fraudes, tanto no Apple Pay quanto nos navegadores Safari em dispositivos móveis. Ao seguir as dicas acima, você pode ajudar a proteger suas informações pessoais e suas finanças.
Estamos sempre interessados em saber quais ameaças você está vendo e em ajudar no que for possível. Entre em contato conosco se tiver um desafio específico e quiser discuti-lo com nossa equipe antifraude.