A maioria das decisões sobre fraude acontece depois que o pagamento já está em andamento. Os dados do cartão foram inseridos, a solicitação foi enviada ao seu provedor de serviços de pagamento (PSP), o emissor responde e, em algum ponto dessa cadeia, uma decisão é tomada.
Funciona, mas certamente não é o único ponto em que se pode intervir.
Em um funil de pagamentos de alto volume, esperar por uma resposta de autorização para fazer a triagem de fraude é uma forma cada vez mais cara de gerenciar risco. Quando o processador emite uma aprovação, o comerciante já incorreu em taxas de gateway, acionou sobretaxas de integridade de rede e se comprometeu com um caminho operacional notoriamente difícil de reverter.
A prevenção eficaz de fraudes exige uma filosofia de “porta de entrada”. Em vez de reagirem a uma autorização, os comerciantes devem tratar a fase de pré-autorização (pré-auth) como um filtro estratégico, de modo que, quando a transação chegar à rede de pagamentos, ela já tenha sido verificada quanto à identidade e à intenção.
Este artigo explica por que isso é importante, o que você perde ao tentar fazer isso e como fazê-lo funcionar mesmo assim.
Por que a prevenção de fraude na pré-autorização é importante
Há alguns motivos distintos pelos quais os comerciantes se beneficiam ao detectar fraudes antes que a autorização chegue à rede. Alguns têm a ver com custos, outros com reputação, e o que acho mais interessante diz respeito à experiência que você cria para o comprador.
Parar a fraude depois que ela acontece é caro
Quando a fraude acontece após a autenticação, a transação já foi concluída. O dinheiro já mudou de mãos. Os bens ou serviços podem já ter sido entregues. Reverter uma transação pós-autenticação significa reembolsos, cancelamentos, custos operacionais e, em muitos casos, você acaba arcando com o prejuízo mesmo assim.
A detecção pré-autorização não apenas reduz as perdas por fraude. Ela elimina completamente o processo de estorno.A transação fraudulenta nunca entra no sistema, então não há reembolso para disputar, nenhuma contestação para registrar e nenhuma experiência do cliente para reparar depois.
Esse é um perfil de custos fundamentalmente diferente de detectar fraude após a autorização, e é o argumento mais forte para mover a detecção para etapas anteriores. Cada solicitação de autorização enviada a um gateway ou processador traz um custo, como intercâmbio, custos de processamento ou taxas de gateway. Bloquear um pagamento fraudulento antes que ele chegue ao PSP elimina totalmente esse gasto, o que é especialmente importante ao mitigar ataques em rajada.
Saúde do ID do comerciante e melhores taxas de aprovação ao longo do tempo
Cada pagamento que você envia afeta, ao longo do tempo, como o seu estabelecimento é visto por emissores e adquirentes. Quando o seu tráfego é limpo, com baixas taxas de fraude e poucas recusas, você constrói uma reputação. Os emissores passam a reconhecer o seu Merchant ID (MID) como saudável, o que se traduz diretamente em maiores taxas de aprovação e menos recusas indevidas para clientes legítimos.
O inverso também é verdadeiro. Quando um MID envia constantemente tráfego ruidoso e de alto risco, os emissores se tornam mais conservadores. Eles passam a recusar mais. Sua taxa de aceitação cai. E esse é um problema muito mais difícil de corrigir retroativamente.
Essa dinâmica se tornou mais concreta com a chegada do VAMP, o Programa de Monitoramento de Adquirentes da Visa. O VAMP acompanha mensalmente os níveis de fraude e de disputas por comerciante. Ultrapasse os limites e você será obrigado a implementar medidas de mitigação de risco; continue excedendo-os e enfrentará penalidades.
O programa transforma o que antes era apenas uma preocupação de reputação em uma exigência rígida de conformidade. A filtragem pré-autorização garante que o tráfego que chega à rede seja o mais limpo possível, o que ajuda diretamente a manter suas taxas do VAMP sob controle.
Feedback instantâneo e oportunidade de conversão
Essa é frequentemente a vantagem mais importante para conversão. Se um lojista determinar que um cartão específico não pode ser usado em uma transação, ele pode informar o comprador imediatamente. Em vez de uma recusa definitiva, o lojista pode oferecer dinamicamente métodos de pagamento alternativos, como outro cartão, uma carteira digital ou uma opção de comprar agora e pagar depois (BNPL), antes mesmo de o pagamento ser efetuado.
A experiência do usuário e a taxa geral de conversão melhoram quando essas decisões acontecem antes de o comprador efetivamente realizar o pagamento. Identificar um agente mal-intencionado antes da autorização também significa que você não está forçando um cliente legítimo a passar por um constrangedor processo de estorno pós-autorização.
O que você está abrindo mão
A pré-autorização parece boa na teoria, mas há um problema significativo de dados e você precisa entrar nisso de olhos bem abertos.
Migrar para o pré-autorização exige reconhecer uma verdadeira lacuna de visibilidade. Para os comerciantes que priorizam ficar fora do escopo de conformidade do Payment Card Industry (PCI), lidar com dados brutos de cartão não é uma opção. Essa escolha de segurança cria um déficit imediato de inteligência.
Detalhes do cartão e inteligência de BIN
Se você não é compatível com o PCI, e muitos comerciantes não são, você não lida diretamente com os dados brutos do cartão. Seu PSP hospeda o formulário de pagamento, tokeniza o cartão do lado deles e você nunca vê o número real. Isso significa que você não tem o Bank Identification Number (BIN), nem o emissor, nem o tipo de cartão e nem o país de origem.
O BIN, os primeiros seis a oito dígitos de um número de cartão, carrega uma quantidade significativa de informação. Ele indica qual banco emitiu o cartão, de que país ele é, se é débito ou crédito e se é pré-pago. Um cartão emitido nos EUA sendo usado a partir do México é interpretado de forma muito diferente de um cartão mexicano usado no México. Nenhum desses sinais geográficos está disponível no pré-autorização sem conformidade PCI.
Um token ajuda parcialmente. Mesmo sem conformidade com PCI, os comerciantes ainda podem receber um token que representa o cartão, o que é útil para criação de listas de bloqueio e verificações básicas de velocidade de transações. Mas um token não restaura a inteligência do BIN. Se um token fornece sinal suficiente depende inteiramente da sua profundidade.
Um token “cego” fornece um identificador persistente sem metadados do cartão. Um token “rico” preserva o BIN e os metadados essenciais do cartão, mantendo os dados brutos do cartão fora do seu ambiente.
Sem o segundo, você tem um substituto de segurança útil, mas não uma ferramenta de combate a fraudes.
A resposta do Serviço de Verificação de Endereço
Sem passar pelos trilhos de pagamento, você também perde a resposta do Address Verification Service (AVS), que é o retorno do emissor sobre se o endereço de cobrança informado no checkout corresponde ao que ele tem em arquivo. Claro, não é uma solução milagrosa: as taxas de correspondência do AVS variam bastante de acordo com a região, e fraudadores com todos os dados do cartão muitas vezes conseguem fornecer o endereço de cobrança correto mesmo assim. Ainda assim, é um sinal independente do emissor e mais um ponto de dados que o seu modelo deixa de ter antes da autorização.
O que ter em mente ao fazer prevenção de fraude na pré-autorização
Dadas essas limitações, como é uma boa detecção de fraude pré-autorização na prática? Há duas coisas que você precisa acertar.
Comece com um modelo independente do método de pagamento
O maior erro é criar ou comprar um modelo de fraude que dependa fortemente de dados de cartão. Se o BIN for um dado obrigatório e o modelo literalmente não conseguir pontuar uma transação sem ele, você fica travado antes mesmo de começar.
A maioria dos mecanismos de fraude legados é centrada no cartão, exigindo um BIN e uma resposta AVS para funcionar. Em um ambiente de pré-autorização, esses modelos não apenas perdem precisão. Eles muitas vezes se tornam totalmente inoperantes porque faltam os campos de dados obrigatórios para os quais foram projetados.
A melhor abordagem é um modelo projetado desde o início para ser agnóstico em relação ao método de pagamento. Pense no que isso significa na prática: transferências bancárias, BNPL, carteiras digitais e outros métodos de pagamento alternativos (APMs) não possuem nenhuma das camadas de inteligência típicas dos cartões. Um modelo criado para lidar simultaneamente com pagamentos com cartão e sem cartão já aprendeu a pontuar transações sem dados de BIN, de modo que a ausência de detalhes do cartão não o faz desmoronar.
Há também uma versão mais sutil desse problema: modelos que tratam os dados do cartão como opcionais, mas ainda assim se degradam drasticamente sem eles. Você quer um modelo em que a ausência de detalhes do cartão seja realmente tratada de forma elegante, não um que simplesmente deixe de gerar erro, mas perca silenciosamente metade do seu poder de discriminação.
Compense com sinais mais fortes em outras áreas
A ausência de inteligência de cartão precisa ser compensada sendo mais forte em todos os outros aspectos. Há três categorias de sinais de alta intensidade em torno das quais você pode construir:
Inteligência de dispositivo e comportamento baseado em identidade
É aqui que eu daria mais peso. Uma impressão digital de dispositivo robusta, que persiste entre sessões e resiste a táticas comuns de evasão, como redefinições do navegador, reinstalações de aplicativos ou falsificação de ID do dispositivo, fornece um identificador duradouro que não tem nada a ver com o método de pagamento.
Combinada com sinais comportamentais no checkout, como ritmo de digitação, padrões de navegação e se o comportamento corresponde a sessões anteriores, essa combinação é poderosa justamente porque funciona de forma independente dos dados do cartão.
Um fraudador pode ter um cartão roubado perfeitamente válido, mas se a impressão digital do dispositivo dele estiver ligada a um histórico de fraude e o comportamento no checkout não corresponder a nada na sua base de usuários legítimos, você pode identificá-lo antes que a autorização chegue à rede.
Inteligência avançada de e-mail e IP
Na ausência de uma correspondência de endereço AVS, o endereço de e-mail se torna o principal ponto de ancoragem da identidade. A idade do e-mail, a reputação do domínio, aparições anteriores em casos de fraude em outros comerciantes e o fato de o domínio ser descartável ou não estão todos disponíveis antes da autorização, e a maioria dos comerciantes faz pouco uso desses dados.
Do lado do IP, se você conseguir enxergar através de proxies e VPNs até a verdadeira origem de rede do dispositivo, terá acesso a dados reais de geolocalização, detecção entre datacenter e residência, e verificações de velocidade realmente significativas.
Verificações avançadas de velocidade entre entidades
As verificações tradicionais de velocidade muitas vezes falham no pré-autorização porque procuram por números de cartão repetidos. O que realmente faz diferença é a velocidade entre entidades: se uma impressão digital de dispositivo está ligada a cinco endereços de e-mail diferentes nas últimas 24 horas, se um endereço IP está associado a uma onda de novas criações de conta ou se vários tokens de cartão estão sendo usados no mesmo dispositivo.
O padrão continua visível mesmo quando os tokens variam. Esse é o ponto.
A detecção de fraude pré-autorização não exige que você faça mais com menos. Ela exige que você seja muito bom em interpretar os sinais que não dependem do cartão, e essa é uma habilidade diferente daquela para a qual a maioria das soluções de fraude pós-autorização foi otimizada.
A abordagem de clean room: combinando detecção pré e pós-autorização
A detecção pré-autorização é uma espécie de sala limpa para o ecossistema de pagamentos, e não um substituto das ferramentas tradicionais de combate à fraude. O objetivo é garantir que apenas tráfego de alta qualidade e alta intenção chegue às trilhas de pagamento.
Um comerciante não precisa escolher entre ambientes de pré-autorização e pós-autorização. A defesa mais resiliente vem da combinação em camadas dos dois. A filtragem na pré-autorização assume o trabalho pesado de identificar bots e validar marcadores de identidade, o que permite que a etapa de pós-autorização atue como um ponto final de verificação usando os dados específicos de autorização do emissor. Essa sequência garante que os modelos de risco mais intensivos sejam reservados para o tráfego que já demonstrou um nível básico de confiança.
A combinação oferece vantagens claras: custos mais baixos, relacionamentos mais saudáveis com os emissores e a capacidade de usar feedback instantâneo para interromper a rotatividade de usuários. Ao avaliar a intenção antes de a transação ser finalizada, as empresas assumem o controle da experiência do cliente.
Conclusão
A detecção de fraude pré-autorização não é a melhor opção para todo comerciante. Se o seu volume de fraude é baixo e o esforço operacional não se justifica, não há motivo para pressa. Mas se você está lidando com taxas de fraude relevantes, uma taxa de aceitação em queda ou pressão de conformidade do VAMP, ou se já viu bons clientes ficarem travados porque o seu modelo de fraude captou um sinal ruim no cartão deles e não tinha nada melhor a oferecer, vale a pena perguntar se você está intervindo no ponto certo do fluxo.
As limitações de dados são reais, assim como o trabalho necessário para compensá-las. Quando bem implementada, porém, a detecção pré-autorização oferece algo que a pós-autorização não consegue: a capacidade de bloquear pagamentos fraudulentos antes que cheguem à rede e de oferecer aos bons clientes um caminho melhor quando o método de pagamento deles não vai funcionar.
Vale o investimento.
