Sardinha e o Tubarão - edição NYC
Realizamos hoje em Nova York a nossa primeira mesa-redonda Sardine and the Shark. Tivemos participantes de neobancos, processadoras de pagamento, corretoras de criptomoedas e fintechs embarcadas de todos os tipos e formatos.
Tópico 1: O que acontece quando o FedNow for lançado
A pergunta mais comum que foi feita foi: o que acontece com a fraude quando o RTP e o FedNow decolarem?
Em resumo, as coisas pioram antes de melhorar.
Com o ACH, você tem pelo menos alguns dias para devolver os fundos antes que eles desapareçam. Com métodos de pagamento mais rápidos, o dinheiro simplesmente some na hora. Além disso, como fraudador, se eu consigo abastecer uma conta bancária roubada por meio de débitos ACH, também consigo facilmente abastecê-la via RTP ou FedNow.
A diferença crucial com o RTP/FedNow é que a responsabilidade agora foi transferida para o banco, enquanto com débitos ACH a responsabilidade recai sobre a carteira da fintech. A experiência internacional mostrou que toda infraestrutura de RTP sofre golpes significativos e fraudes de pagamento push autorizado (APP) pouco depois do lançamento.
Então, o que podemos nós fazer para resolver esse problema no futuro?
O banco utilizado para financiar uma carteira Fintech via RTP/FedNow tem a responsabilidade de verificar se o dinheiro está sendo enviado para uma carteira Fintech válida, por exemplo, se o nome/endereço na carteira Fintech corresponde ao nome/endereço na conta bancária. Do ponto de vista do banco, a carteira Fintech é a contraparte e o problema de fraude passa a ser equivalente a um problema de avaliação de risco de contraparte.
Os Estados Unidos não são o primeiro país do mundo a ter trilhos de RTP. Esse problema de fraude em pagamentos mais rápidos é uma pandemia global e existe no Reino Unido, nos EUA, no Brasil e na Índia.
Risco de contraparte é importante
Em serviços financeiros, uma contraparte é a outra empresa e seus clientes. Embora uma instituição financeira possa conhecer seus próprios clientes (KYC), ela não conhece os clientes de suas contrapartes. Existem boas razões de privacidade e liberdade individual para que isso seja algo positivo, mas isso cria um desafio significativo para as empresas que desejam resolver problemas de fraude.
Historicamente, as instituições financeiras resolveram partes desse problema. O exemplo clássico é o Early Warning Services (EWS), criado pelo meu bom amigo e colega Ravi Loganathan. O EWS permite que os maiores bancos compartilhem inteligência sobre fraudes em contas, de uma forma que protege a privacidade dos usuários individuais. No entanto, com mais trilhos de pagamentos em tempo real (como o FedNow) e o surgimento de mais empresas de fintech, temos uma lacuna.
Criminosos exploram brechas.
O problema do RTP precisa de uma solução baseada em dados
Em essência, o problema de fraude em pagamentos instantâneos é melhor resolvido pela entidade que construir o banco de dados de contrapartes mais abrangente do mundo. Na Sardine, estamos dando os primeiros passos para construir exatamente esse tipo de consórcio, reunindo fintechs e bancos para ficar à frente dessa pandemia global.
Tópico 2: Criminosos expõem as brechas entre os trilhos
O segundo tópico que discutimos foram os problemas de fraude que existem nas interfaces entre as várias redes de pagamento, por exemplo, dinheiro circulando entre Zelle e débitos ACH ou entre Visa Direct e débitos ACH.
Neste exemplo, vamos considerar um fraudador que tem uma conta CashApp roubada, um neobank e uma conta Venmo de destino. O objetivo dele é transferir dinheiro do CashApp para o Venmo, passando pelo neobank.
- O fraudador carrega o número de 16 dígitos do cartão do neobank a partir do CashApp via Visa Direct (push to card).
- O dinheiro cai instantaneamente no cartão do neobank porque o Visa Direct liquida na hora.
- Agora, o fraudador retira o dinheiro do neobank, adicionando o cartão do neobank como método de pagamento para abastecer a carteira Venmo.
- Então o dinheiro vai do CashApp → Fintech → Venmo
Para a vítima cujo conta do CashApp foi roubada. Ela só vê que sua conta foi conectada à Fintech - o Venmo é completamente invisível para ela.
Então, o que eles fazem? Eles recorrem ao mecanismo do esquema de cartão para contestar a movimentação de dinheiro para o CashApp.
Há tantas nuances aqui. Vamos nos aprofundar:
- Primeiro, este é um caso clássico de fraude e lavagem de dinheiro misturadas – o fintech está sendo usado para fazer a camuflagem de fundos roubados.
- Em segundo lugar, há uma interação entre um método de pagamento push (Visa Direct) e as trilhas normais de débito em cartão.
Já ouvimos falar de interações estranhas semelhantes entre o Zelle e as redes de débito em cartão, ou entre o Zelle e as redes de débito via ACH. Cada uma dessas redes é regida por suas próprias regras independentes de fraude e de resolução de disputas.
O que acontece quando um fraudador atua nas bordas, ou seja, na interseção entre esses sistemas? Quem é realmente responsável por esse vetor de fraude aqui?
Certamente não a fintech. Ela é apenas uma cúmplice desavisada. Eu esperaria que, pelas regras do Visa Direct ou do Mastercard Send, a parte remetente fosse responsável pelas perdas por fraude, ou seja, a CashApp neste caso.
Então, parece que a falta de clareza na resolução de disputas também está misturada com processos incorretos por parte dos processadores de pagamento — os processadores nem sequer deveriam ter permitido que uma disputa desse tipo fosse registrada.
Em seguida, vamos tornar este exemplo ainda mais complicado.
E se a conta CashApp que estava sendo usada nem fosse uma conta roubada? E se, na verdade, fosse uma conta legítima, que foi criada por um fraudador usando uma identidade roubada/sintética, e essa conta CashApp tivesse sido financiada por uma conta bancária roubada?
Neste caso, o fluxo dos fundos roubados torna-se:
Banco (débito ACH) → Square Cash AppSquare Cash App (Visa Direct) → NeobankNeobank (Visa AFT) → Venmo
Agora,
- O titular original da conta bancária entraria com uma devolução de ACH junto ao CashApp.
- Mas o CashApp na verdade não teria fundos para devolver ao banco, porque eles já foram repassados para o Neobank.
- O CashApp poderia tentar encontrar os responsáveis por fraude ou compliance no Neobank. Mas, nessa altura, o dinheiro já terá saído do CashApp.
- Além disso, na etapa de disputa via ACH entre o banco roubado e o CashApp, não há contestação possível para o CashApp porque o ACH não possui nenhum mecanismo de resolução de disputas.
- Na melhor das hipóteses, quando os valores em dinheiro são altos, o banco roubado e o CashApp chegariam a um acordo em um tribunal após um processo judicial caro.
Isso é uma droga.
A necessidade de compartilhamento de dados
E se, em vez disso, o banco roubado, o CashApp e a fintech pudessem compartilhar todas essas informações entre si, com a mediação de um terceiro que lhes permita fazer isso sob a 314(b)?
A Sardine certamente pode desempenhar um papel aqui.
Temos o prazer de informar que recebemos aprovação da FinCEN para permitir que nossa associação de instituições financeiras compartilhe informações com outras instituições financeiras sobre indivíduos, entidades e organizações, com a finalidade de detectar, identificar ou reportar atividades que possam envolver possível lavagem de dinheiro ou atividades terroristas.
O que significa que podemos permitir que os participantes do nosso consórcio compartilhem informações sobre contrapartes por nosso intermédio, permitindo-nos triangulá-las para identificar um agente mal-intencionado. Ou, neste caso, literalmente seguir a cadeia e conectar o vetor de fraude via ACH ao vetor via Visa Direct.
Tópico 3: A luz do sol é o melhor desinfetante
Por fim, um dos tópicos mexeu comigo pessoalmente. Enquanto liderava a área de fraude em empregadores anteriores, nunca me permitiram falar abertamente sobre os vetores de fraude que estávamos enfrentando. Tudo era sempre fortemente editado ou simplesmente ignorado e varrido para debaixo do tapete, porque a sabedoria predominante das equipes de marketing era: nós não discutimos problemas de fraude em público.
No entanto, a fraude é tão antiga quanto o dinheiro.
Na verdade, é mais antiga do que o dinheiro.
Você não pode simplesmente ignorar isso.
E se não compartilharmos isso publicamente, sem o risco de sermos envergonhados, não conseguiremos crescer como ecossistema.
Minha proposta para todas as empresas que vieram hoje, e para todos os outros que estão lendo isto – se a sua equipe de marketing está impedindo você de se manifestar, é só falar com a gente.
Adoraríamos que você viesse falar sobre esses temas, seguindo as regras de Chatham House, em um dos nossos jantares sobre fraude. Os fraudadores são bem organizados e é quase certo que eles também fazem seus próprios jantares em porões sombrios, e esse é um dos motivos pelos quais estão na frente. Por que nós não podemos fazer o mesmo?
Realizamos esses jantares sobre fraude seguindo as regras da Chatham House, em que os temas discutidos não são atribuídos às pessoas ou empresas que os discutem. Se você quiser participar de um próximo jantar, avise-nos nos comentários abaixo ou entre em contato comigo: soups@sardine.ai
Obrigado a todos que vieram e participaram da nossa mesa-redonda. Sardinhas nadando em cardume conseguem escapar de um tubarão.
- Andrew Steele - Sócio na Activant Capital
- Carl Bartsch - Diretor de Riscos (Chief Risk Officer) na Konfio
- Cesar Medina - Head de Produto Financeiro na Buildertrend
- Corinne Bartow - VP de Parcerias em Fintech na MX
- David Berkowitz (cofundador) e ZevMo Green (gerente principal de produto e proprietário de produto de fintech) na Boss Money da IDT
- Dipanjan Bhattacharjee - Chefe de Risco na ONE
- Guillaume Bajczman - (Chefe da Mesa de Cripto e Gerente de Operações de Tesouraria)
- Justin Saslaw - Sócio na Ribbit Capital
- Matt Chiogioji - Gerente de Produto na Blockchian.com
- Maxim Spivakovsky - Diretor Sênior de Estratégia e Operações, Gestão de Risco de Pagamentos Globais na Galileo / SoFi
- Mike Garris, Chefe de Operações de Débito na Propel Inc.
- Neeha Velavarthy - Gerente de Análise de Fraudes na Klarna
- Sidharth Shah - Gerente Sênior de Produto
- Simon Macadar (Product Owner de Pagamentos de Clientes) na Xapo Group
- Stefany Velasquez - Analista BSA/AML no Piermont Bank
- Sumeet Singh - Sócio na A16Z
- Vik Scoggins - Líder de Produto na Coinbase