As três primeiras partes desta série trataram da visão de cima para baixo sobre falsos positivos: você os mede, você os categoriza, e você corrige as partes do seu sistema que se comportam mal.
Mas mesmo que você faça tudo isso perfeitamente, ainda enfrenta mais um problema: o seu sistema de fraude é um labirinto.
Você tem regras, modelos, agentes de IA, filas de revisão manual, respostas de parceiros, decisões de roteamento de pagamentos, verificações de KYC, inteligência de dispositivos e dezenas de outros componentes, cada um capaz de bloquear um usuário.
Mesmo que cada componente seja “razoável” por si só, suas interações ainda podem gerar falsos positivos em lugares que você nunca previu. Um usuário pode contornar uma parte do sistema apenas para ser barrado por outra.
É por isso que equipes de fraude maduras acabam introduzindo um mecanismo completamente diferente: uma camada de substituição em alto nível que fica acima de toda a pilha e impede o sistema de prejudicar usuários em quem você já tem motivos para confiar.
Pense nisso como a imagem espelhada de uma rede de segurança contra fraudes. Quando qualquer agente no sistema, seja uma regra, modelo, agente ou pessoa, tenta bloquear um usuário, essa rede de segurança verifica se há evidências sólidas de que o usuário é realmente bom. Se houver, ela reverte a recusa.
Essa ideia é extremamente poderosa quando implementada corretamente, mas exige um design cuidadoso.
Vamos ver como isso funciona.
Como projetar sistemas de substituição
Há duas perguntas que você precisa responder antes de projetar qualquer lógica de substituição.
A primeira diz respeito às partes do seu sistema que não devem ser substituídas, e definitivamente não por padrão.
É o seguinte: nem todas as soluções devem ser tratadas da mesma forma.
Se uma lista negra de cartões roubados indicar que um cartão foi comprometido, você não deve automaticamente ignorar essa decisão só porque o IP parece inofensivo. Afinal, o fornecedor de inteligência de dados pode estar errado.
Você não precisa tornar isso complexo, e não há necessidade de combinar lógicas de detecção de fraude com lógicas de detecção de falsos positivos. Basta marcar, no seu sistema, as soluções que têm precisão quase perfeita e que nunca devem ser substituídas.
A segunda coisa que você precisa considerar, obviamente, é quais heurísticas são fortes o suficiente para detectar falsos positivos?
Isso já é uma exigência muito alta, mas você não está simplesmente detectando falsos positivos. Você está identificando-os dentro de uma população recusada que já apresenta uma taxa de fraude significativamente maior. Suas heurísticas precisam ser à prova de falhas se você for aplicá-las a um segmento de risco tão elevado.
Então permanece a pergunta: por onde você começa?
Gostaria de sugerir quatro heurísticas principais, ou famílias de lógica, que geralmente se mostram eficazes para filtrar populações com alta taxa de fraude e encontrar falsos positivos nelas.
Quais deles você implementa e de que forma exata depende do seu contexto de negócios específico.
Família 1: Usuários confiáveis
Esta é a categoria mais simples e intuitiva: usuários que você já conhece e em quem confia.
Esses sinais podem incluir contas antigas com histórico comportamental limpo ou usuários que passaram por uma verificação de alta fricção. E não estou falando do seu KYC genérico, mas de algo que afirme a identidade de forma realmente significativa.
“Calma aí,” você deve estar pensando, “essa é a informação mais trivial de todas! Com certeza eu não perdi meu tempo por… isso?!”
A questão é que, embora sinalizar contas estabelecidas seja simples, a lógica muda completamente quando você precisa avaliar contas novas ou usuários de uso único. Em muitos casos, esses “novos” usuários podem ser usuários recorrentes e, se conseguirmos associá-los à atividade passada, talvez possamos excluí-los de mecanismos de risco de alta fricção.
Por exemplo, eu mesmo tenho três contas no PayPal, pois morei em três países diferentes e o PayPal exige que os usuários abram uma conta em cada novo país para o qual se mudam.
Esta não é a jornada ideal do usuário, mas entendo os requisitos de conformidade que eles precisam cumprir. Ao mesmo tempo, também sei que sempre que abro uma nova conta, eles a vinculam imediatamente às minhas contas anteriores.
Como? Simplesmente porque estou usando o mesmo dispositivo para abrir uma nova conta com o mesmo nome de uma conta que eu já possuo. Sou eu.
A principal percepção é que a confiança pode ser inferida, não apenas acumulada. Você não precisa esperar que alguém construa um longo histórico em uma única conta. Se for a mesma pessoa por trás de várias contas, e você tiver verificado a legitimidade de uma delas, a nova herda uma parte dessa confiança.
Agora, usar o mesmo dispositivo e o mesmo nome para abrir uma nova conta não é exatamente uma heurística revolucionária (embora nem todas as equipes tenham isso implementado). Mas você pode facilmente encontrar lógicas semelhantes que não dependem do mesmo dispositivo e que ainda são tão fortes quanto.
Aqui estão alguns exemplos:
- Cartão + endereço IP
- Email + mesmo item comprado
- Sobrenome + localização geográfica exata (sim, você também pode fazer inferências entre membros da família!)
Lembre-se: não se trata de encontrar links aleatórios. Trata-se de vincular um novo evento a um evento sólido, comprovado e confiável.
Família 2: Ambientes de alta exposição
Os fraudadores evitam ambientes onde sua verdadeira identidade ou seus vínculos reais possam ser expostos.
Usuários legítimos, por outro lado, costumam atuar nesses ambientes de forma natural.
Isso leva a uma heurística surpreendentemente poderosa: se um usuário realiza transações a partir de um ambiente de rede altamente controlado ou altamente rastreável, a probabilidade de ele ser um fraudador cai drasticamente.
Exemplos incluem:
- Redes IP corporativas, governamentais e militares com controle de acesso rigoroso, em que o usuário provavelmente é um funcionário.
- Redes IP universitárias, onde o usuário é membro da equipe ou estudante.
- Redes IP de grandes organizações sem fins lucrativos (.org), onde o usuário provavelmente é um funcionário.
É altamente improvável cometer fraude a partir de uma rede desse tipo, pois ela é monitorada em busca de violações de segurança e pode ser rastreada até usuários individuais com relativa facilidade.
Da mesma forma, enviar encomendas para um endereço de entrega altamente controlado (uma base militar, por exemplo) é outro indicativo de que o usuário é muito improvável de ser um fraudador.
Tenha em mente que não se trata apenas de identificar e processar o fraudador. A maioria deles não teme isso. O que realmente os inibe é o medo de serem sancionados pelo próprio empregador, o que os desestimularia a utilizar esses recursos para cometer fraude.
Família 3: Cadeias geográficas
Incompatibilidades geográficas são uma das fontes mais comuns de falsos positivos. Falamos sobre isso na Parte 3 com o exemplo entre os EUA e o Canadá. Mas também podemos usá-las para identificar falsos positivos.
Especificamente, gostaria de destacar dois tipos de cadeias geográficas:
1. Proximidade geográfica em regiões altamente específicas
Se um endereço IP corresponder a uma localização extremamente próxima do endereço de cobrança legítimo, isso por si só não é necessariamente um indicador positivo.
Por exemplo, se o endereço estiver localizado em Nova York, provavelmente não é tão difícil encontrar um IP de proxy aberto a menos de 10 milhas de distância.
Mas e se o endereço estiver em uma cidade pequena ou área rural? Quando você obtém uma forte correspondência com a localização do IP (<10 milhas), isso pode ser um indicador de bom usuário mais forte do que a maioria das pessoas imagina. Fraudadores conseguem falsificar grandes cidades com facilidade. Eles não conseguem falsificar vilarejos obscuros com a mesma facilidade.
2. Incompatibilidade consistente com a nacionalidade (viajante)
Mais uma vez, é fácil usar exemplos da minha própria experiência pessoal: quando uso o meu cartão espanhol em Israel, muitas vezes sou bloqueado. Por quê? Por causa da incompatibilidade entre o BIN ES e o IP IL.
Mas isso não deveria acontecer. Analisar o meu nome deveria identificá‑lo como israelense (a tecnologia existe), e associá‑lo ao IP israelense deveria ser fácil. Isso não quer dizer que, quando um nome tem a mesma nacionalidade que o endereço IP, significa que é um bom evento.
No entanto, quando vemos um padrão muito específico em que o cartão não corresponde ao IP, mas o nome corresponde ao IP, identificamos uma correlação que é obscura demais para um fraudador conseguir imitar.
Quando um fraudador vê um cartão espanhol? Ele simplesmente usa um IP espanhol. Não há motivo para complicar mais do que isso.
Isso é sutil e contextual. Mas, quando a lógica é devidamente validada, ela pode reverter um número surpreendente de falsos positivos baseados em geolocalização, ao mesmo tempo em que introduz um risco adicional de fraude mínimo.
Família 4: Itens não revendíveis ou de baixo risco
Esta heurística final se aplica principalmente a empresas transacionais.
Os fraudadores ganham dinheiro revendendo o que roubam. O seu modelo econômico depende de transferir os bens roubados, sejam digitais ou físicos, para outra pessoa. Se o item que está sendo comprado não tiver mercado de revenda, ou tiver apenas um mercado muito fraco, recusá-lo por “risco de fraude” costuma ser contraproducente.
Isso pode ser assim:
- Bens e serviços educacionais
- Itens de nicho ou hiperpersonalizados
- Serviços que exigem consumo pessoal
Essas transações não devem ser tratadas com a mesma desconfiança que bens universalmente fungíveis (eletrônicos, cartões-presente, moeda digital etc.). Em um sistema de exceções bem projetado, o “baixo valor de revenda” pode funcionar como um freio que impede o seu sistema de desperdiçar energia com coisas que os fraudadores não querem em primeiro lugar.
Família 1: Usuários confiáveis conhecidos | Família 2: Ambientes de alta exposição | Família 3: Cadeias geográficas | Família 4: Itens de baixo risco | |
Sinal principal | O usuário está vinculado a uma identidade legítima previamente verificada | O usuário realiza transações a partir de uma rede rastreável e monitorada | Dados geográficos contam uma história coerente de "viajante" ou de "morador local" | O item não tem um mercado de revenda significativo |
Sinais de exemplo | Mesmo dispositivo e nome em várias contas, cartão e IP correspondendo a um evento bom anterior, vínculo de membro da família | IPs corporativos, governamentais ou militares; redes universitárias; endereços de envio controlados | Proximidade rural entre IP e faturamento (<10 mi); nacionalidade do nome corresponde ao IP, mas não ao cartão (padrão de viajante) | Serviços educacionais, itens hiperpersonalizados, serviços de consumo pessoal |
Por que funciona | A confiança pode ser inferida, não apenas coletada — a mesma pessoa já foi validada em outro lugar | Os fraudadores evitam ambientes que revelem sua verdadeira identidade ou que possam ser rastreados até o empregador | Esses padrões são complexos ou específicos demais para que fraudadores consigam manipulá-los — eles acabam escolhendo o caminho mais simples | Golpistas precisam de valor de revenda; sem mercado de revenda, não há incentivo econômico para roubar |
Cuidado com | Vínculo fraco que fraudadores poderiam imitar (por exemplo, e-mail sozinho não é suficiente) | VPNs que simulam redes corporativas; IPs institucionais compartilhados | A lógica só é válida em contextos geográficos específicos — deve ser verificada por mercado | Alguns itens de nicho ainda têm valor de revenda em mercados secundários |
Melhor para | Empresas com usuários recorrentes, fluxos de múltiplas contas ou jornadas entre dispositivos | Empresas com tráfego B2B ou usuários em ambientes institucionais | Empresas com bases de usuários internacionais e regras de incompatibilidade geográfica | Empresas de comércio eletrônico e de produtos digitais |
Como implementar lógica de substituição com segurança
Vamos simplificar: você não ativa a lógica de override para 100% do seu tráfego no primeiro dia. Você testa. De forma robusta.
Um lançamento típico pode ser assim:
- Implante a regra de substituição apenas no modo sombra.
- Meça os acessos e compare-os com a sua análise preditiva. Está ocorrendo conforme as suas expectativas?
- Reduza a regra em modo sombra para 80% da população e introduza uma regra desafiadora que de fato reverta as recusas para os 20% restantes (considere esses números apenas como exemplos e decida como dividir a população com base no seu próprio apetite de risco).
- Observe os resultados ao longo de 30 a 60 dias; isso deve mostrar a velocidade com que a fraude amadurece na população não recusada.
- Parece bom? Aumente gradualmente para 50% e repita. Não está claro? Espere mais 30 dias. Picos de fraude? Volte para 100% em modo sombra (e repense a estratégia).
- Aumente gradualmente até atingir a implementação completa.
Uma coisa que você pode descobrir ao longo dessa ampliação cautelosa é que as fraudes que conseguirem atravessar essas regras podem vir de um punhado de soluções de detecção de fraude.
Isso é bastante comum e, nesse caso, você deve mover essas soluções de fraude para o nível que não é substituído. Quando você desenvolve lógicas de exclusão para outras lógicas de exclusão, você sabe que está liderando o mercado.
O que você já deveria ter até agora
Agora você tem uma estrutura completa para reduzir falsos positivos:
- Na parte 1, você aprendeu como medir falsos positivos apesar de o seu sistema escondê-los.
- Na parte 2, explicamos como agrupá-los e decidir quais deles você pode realmente influenciar.
- Na parte 3, você aprendeu como corrigir as partes problemáticas da sua pilha de prevenção a fraudes por meio do refinamento de regras, ajustes de limites e solução de problemas de qualidade de dados.
- E agora, você tem um mecanismo de substituição em nível de sistema que impede que bons usuários sejam prejudicados mesmo quando uma parte local da lógica falha.
Se você juntar as quatro partes, você passa de:
“Achamos que temos alguns falsos positivos em algum lugar…”
…para:
“Sabemos exatamente de onde vêm nossos falsos positivos, como medi-los, como reduzi-los no sistema subjacente e como nos proteger deles no nível da arquitetura.”
É assim que é uma organização de combate à fraude de alto desempenho. Não se trata apenas de detectar fraudes, mas de permitir que o seu negócio cresça com segurança.
E é aí que está o verdadeiro potencial.
