Quase 1 em cada 4 adultos nos EUA já teve sua conta assumida por um fraudador; desde 2019, os ataques triplicaram e, em 2021, as perdas aumentaram em 90%.
Agrava ainda mais esse problema o fato de que sequestros de contas (ATOs) são notoriamente difíceis de detectar de forma eficaz.
Detectar ATO muitas vezes significa que carteiras fintech e comerciantes “elevam” o nível de verificação dos clientes e adicionam fricção à experiência. Isso gera custos, reduz a receita e frustra os consumidores.
Mas existe uma maneira melhor.
O que é sequestro de conta?
Tomada de Conta ocorre quando um fraudador acessa a conta de um cliente legítimo. Esse tipo de ataque pode acontecer com qualquer conta de e‑mail, rede social, assinatura, banco ou cartão de crédito.
Assim que tiverem acesso a uma conta, podem realizar transações fraudulentas, usar pontos de fidelidade, coletar dados de clientes para vender e até mesmo alterar a senha para impedir que o cliente acesse a conta.
Para o comerciante ou a carteira fintech, esses ataques muitas vezes parecem logins legítimos.
Por que o ATO está piorando?
Após uma onda de vazamentos de dados e a corrida para o digital e o comércio eletrônico durante a pandemia, os fraudadores se tornaram mais criativos. Eles passaram a atuar em grande escala, sobrecarregando as abordagens tradicionais de detecção de ATO.
Para o provedor de serviços, parece que a conta fez login com um nome de usuário e senha legítimos. Esse usuário autenticado pode não acionar um controle de fraude, a menos que o comerciante ou a carteira Fintech esteja intencionalmente procurando por algo fora do comum.
Precisamos agir mais rápido para criar um ambiente online mais seguro para os usuários.
Como os criminosos obtêm as informações da sua conta?
Passo 1: Obter uma senha
O usuário/senha é vazado em uma das violações, e há uma boa chance de a mesma senha ser reutilizada pela maioria das vítimas em outros sites.
Passo 2: Obtenha o OTP ou “One Time Password”
O próximo passo do fraudador é obter quaisquer códigos PIN de segurança que o seu prestador de serviços possa enviar para você (por exemplo, um código SMS de uso único ou um e-mail).
Eles têm vários tipos de ataques para obter acesso a esses códigos de acesso (OTPs).
- Ataques de troca de SIM O atacante convence uma operadora de telefonia móvel (como AT&T, Verizon ou Vodaphone) a “portar” o número de telefone para um novo dispositivo. Então, quando o código OTP for enviado, ele irá para o atacante, e não para a vítima.
- Ataques de phishingConvencer o cliente a fornecer o OTP, o que pode acontecer de duas maneiras:
- Sites ou e‑mails falsos: Criminosos criam sites, e‑mails ou faturas que parecem ser de uma empresa legítima com a qual o cliente se relaciona e alegam existir um problema na conta.
- b) Intimidação: Uso de pressão ou táticas de intimidação contra o cliente para convencê-lo a compartilhar seu OTP.
- Dispositivos Roubados Um dispositivo é roubado depois que o fraudador consegue ver o PIN ou código do telefone celular usado pela vítima. Ao roubar o dispositivo, o fraudador passa a poder receber um OTP por e‑mail ou SMS, o que lhe permite acessar com facilidade a conta do provedor do cliente (por exemplo, seu banco ou empresa de fintech).
- MalwareMalware é um software, um aplicativo que compromete o dispositivo quando é instalado. Ele pode ser instalado ao clicar em um link malicioso (como em casos de phishing) ou ser entregue por meio de spam e outros anúncios.
Etapa 3: Cometer fraude
Assim que o fraudador tiver acesso à conta, ele poderá esvaziá-la, usá-la para atividades ilícitas ou fazer compras como se fosse o próprio usuário. E a carteira Fintech ou o comerciante só descobrirão quando o usuário entrar em contato.
Abordagens tradicionais não estão impedindo ATO
Uma solução é usar a impressão digital do dispositivo. Muitos comerciantes e provedores de serviços utilizam sinais do dispositivo, como configurações do navegador ou o número IMEI exclusivo do celular, para garantir que o usuário esteja acessando a partir do mesmo dispositivo usado anteriormente. Se o dispositivo mudar, o provedor de serviços buscará uma camada adicional de segurança, frequentemente chamada de “step up”.
Em um caso de uso de carteira fintech, usuários que acessam a partir de um novo dispositivo podem ser solicitados a fornecer uma autenticação adicional (por exemplo, verificando com um código enviado por e-mail ou SMS). Esse segundo fator de autenticação dá ao provedor de serviços confiança de que se trata de um usuário legítimo.
Com a explosão dos ataques de tomada de conta de contas e do seu volume, cada vez mais bons clientes estão sendo barrados pela autenticação em duas etapas.
Esses falsos positivos geram atrito e frustração para os usuários, aumentando custos e churn para carteiras de fintech e comerciantes.
A necessidade de uma detecção detalhada
Olhar apenas para o dispositivo e o evento de login de forma isolada deixa de lado o quadro geral. Para evitar mais fraudes de ATO, as organizações devem.
- Combine sinais do dispositivo com o comportamento. Nem todos os sinais do dispositivo têm o mesmo peso, e fraudadores já descobriram como falsificar localizações e outros sinais importantes do dispositivo. Mas, quando você combina características menores — muitas vezes menos consideradas — do dispositivo com a forma como ele está sendo usado (o comportamento), é possível detectar comportamentos mais suspeitos.
- Combine fontes de dados para gerar insights melhores. Bancos de dados de terceiros incluem credenciais conhecidas por terem sido comprometidas ou números de telefone celular que historicamente já foram usados em fraudes em outros lugares. Combine esses dados com as informações do dispositivo e o comportamento para construir um quadro completo.
- Detectar software remoto. Pouquíssimos bons usuários acessam suas contas por meio de software de compartilhamento de tela remoto. Para a pequena parcela que faz isso, o atrito adicional da autenticação em etapas permite que eles façam login com sucesso.
- Detectar emuladores.Quase nenhum bom usuário emula o seu dispositivo móvel em um laptop ou em outro dispositivo.
- Fique atento a anomalias em toda a base de clientes.Com sinais de dispositivo em nível de detalhe é possível ver se vários usuários e tentativas de login seguem um padrão semelhante em que algo parece suspeito.
- Implemente uma “Pontuação do Mesmo Usuário”. Se um telefone for roubado ou comprometido por malware, a mesma pontuação de usuário permite que os comerciantes detectem comportamentos de risco no mesmo dispositivo.
- Violações de dados.Monitore proativamente outras violações de dados que afetem seus clientes.
- Troca de SIM. Identifique possíveis trocas de SIM por meio de fontes de dados e detecção de anomalias.
Por que a Sardine é única
A Sardine consegue detectar as pistas ocultas e os sinais que os fraudadores deixam para trás em um ataque de ATO e proporcionar reduções significativas em ATO.
Em toda a nossa base de clientes, temos visto resultados incríveis quando eles utilizam todo o potencial da Sardine. Um cliente relatou uma redução de 34,8% em ATO no primeiro mês de implementação da Sardine (e continuamos a otimizar).
Mas a verdadeira vitória foi reduzir os falsos positivos em 63,9%!
Menos atrito. Mais fraudes detectadas.
A Sardine foi criada para combinar conjuntos de dados com o dispositivo e o comportamento. Temos sinais mais granulares do que a concorrência, o que nos ajuda a detectar fraudes e reduzir falsos positivos.
Claro que não podemos dizer exatamente como fazemos isso (se você sabe, você sabe).
Nós nos importamos com resultados.
E adoraríamos ajudar você a alcançá-los.
Se quiser uma demonstração, por que não falar connosco?