Resumo
O rápido surgimento de novos serviços de pagamento instantâneo, construídos sobre trilhos de pagamento em tempo real, representa o futuro da movimentação de dinheiro. Embora esses trilhos tenham muitos benefícios, também houve um aumento significativo nas fraudes — especificamente, em ataques de engenharia social.
A prevenção tradicional contra fraudes não é mais eficaz nesse ambiente em tempo real; a tecnologia de detecção de fraudes em tempo real pode proteger os consumidores.
O setor de serviços financeiros precisa melhorar a colaboração entre todos os participantes, incluindo instituições financeiras, fintechs e empresas de criptomoedas, para enfrentar o risco sistêmico decorrente do crescimento dos pagamentos instantâneos e das fraudes correspondentes.
O crescimento dos pagamentos em tempo real
A forma como movimentamos dinheiro está mudando rapidamente. Nem os consumidores nem as empresas querem esperar de 3 a 5 dias para que os recursos sejam compensados em suas contas ou para pagar contas.
Em nível internacional, países como o Reino Unido, Austrália, Singapura, Índia e Suécia já oferecem à sua população acesso a pagamentos em tempo real em diversos casos de uso, incluindo transferências de conta para conta, solicitações de pagamento, pagamentos instantâneos, entre outros.
Enquanto, nos Estados Unidos, o uso crescente de aplicativos de pagamento peer-to-peer (P2P), como Zelle, Cash App e Venmo, representa o primeiro exemplo de inovações construídas sobre trilhos de pagamentos em tempo real. De acordo com Insider Intelligence, os serviços P2P nos EUA chegarão a quase US$ 1 trilhão em transações de pagamento em 2022.
Parte do volume de pagamentos P2P nos EUA já utiliza uma infraestrutura de pagamentos em tempo real. Em fevereiro de 2021, a Early Warning Services — empresa responsável pelo Zelle — e a The Clearing House (TCH) anunciaram que as transações do Zelle passariam a ser realizadas por meio da rede RTP da TCH, que abrange mais de 60% das contas de depósito nos Estados Unidos.
Além da TCH, o Federal Reserve está testando sua infraestrutura de pagamentos em tempo real, o FedNow, com mais de 200 instituições financeiras e planeja lançar o serviço em 2023. A Alloy Labs Alliance — um consórcio de bancos comunitários e cooperativas de crédito — em breve lançará sua própria infraestrutura de pagamentos em tempo real, o CHUCK.
Ataques de engenharia social e fraude em pagamentos autorizados (APP)
Embora especialistas em pagamentos promovam os benefícios da movimentação instantânea de dinheiro, um problema crescente é o aumento das fraudes nesses aplicativos de pagamento P2P. Diferentemente dos crimes cibernéticos tradicionais, incluindo tomada de controle de conta ou ataques de preenchimento de credenciais, os fraudadores usam ataques de engenharia social, como falsificação de número de telefone, chamadas automáticas e mensagens de texto personalizadas, para iniciar pagamentos por meio desses aplicativos.
Os idosos são particularmente vulneráveis a ataques de engenharia social. De acordo com o relatório sobre crimes cibernéticos, os fraudadores têm o dobro de probabilidade de mirar nesse grupo. A Comissão Federal de Comércio relata que consumidores com mais de 70 anos normalmente perdem US$ 1.500 cada.
Criminosos muitas vezes se apresentam como representantes do banco ou da corretora da vítima e pedem que ela envie dinheiro para uma conta específica usando um aplicativo de pagamento P2P. Eles podem usar softwares de acesso remoto (Zoom, TeamViewer, etc.) para “orientar” a vítima a concluir o pagamento.
Esta é uma fraude de Pagamento por Transferência Autorizada (APP). Pode ser difícil de prevenir, pois a vítima está fornecendo os dados da sua conta e utilizando o próprio dispositivo.
Ainda assim, há coisas que podemos fazer para superar esse desafio:
1. Detecção e prevenção de fraudes em aplicativos em tempo real
Já não é suficiente confiar em transações passadas para identificar novos padrões de fraude. A detecção de fraude precisa acontecer em tempo real para capturar ataques de engenharia social.
Assim como os ataques de engenharia social baseados em aplicativos P2P, uma forma comum de fraude APP em cripto são os golpes de “consultor de investimentos”. Nesse cenário, um fraudador finge ser um consultor e convence o usuário a criar uma conta de investimento. Enquanto utiliza um software de acesso remoto, o fraudador orienta a vítima durante o processo de abertura da conta, em que a própria vítima usa sua identidade para a verificação de KYC. Em seguida, o fraudador passa a ter acesso à conta e rouba os fundos transferidos.
Esse tipo de fraude pode ser bloqueado ao sinalizar de forma eficaz dispositivos, emuladores ou scripts suspeitos, bem como sessões realizadas por meio de proxies, VPNs, compartilhamento de tela ou desktops remotos, em tempo real, no início de uma transação. Bancos, fintechs e empresas de criptomoedas podem coletar dados de dispositivo e de rede em suas páginas de login para evitar esses ataques.
Outra forma de detectar fraudadores é por meio de seu comportamento característico no dispositivo. Usuários comuns tendem a preencher automaticamente um formulário de onboarding e apresentam padrões variados de movimento do mouse e de rolagem. Um fraudador provavelmente irá copiar e colar e terá movimentos mais repetitivos devido à prática. Outros sinais comportamentais, como o uso de atalhos e trocas de página ou de janela, podem desempenhar um papel crucial para ajudar as empresas a identificar fraudes.
Na Sardine, usamos com sucesso inteligência de dispositivo e dados comportamentais com empresas de fintech e cripto para prevenir fraudes. O uso de dados em tempo real para detectar e sinalizar engenharia social pode interromper uma transação fraudulenta antes que o dinheiro seja movimentado.
2. Colaboração entre setores para solucionar lacunas de dados sobre fraudes
Para prevenir com sucesso fraudes APP em pagamentos em tempo real, também é necessário haver coordenação entre todos os participantes do setor de serviços financeiros para colaborar e compartilhar dados. Os modelos atuais de consórcios de compartilhamento de dados não incluem empresas de fintech e cripto, bancos comunitários e cooperativas de crédito. Isso permite que quadrilhas de fraude conhecidas e agentes mal-intencionados continuem a explorar consumidores e comerciantes, mudando de uma instituição para outra.
A Sardine está desenvolvendo um consórcio de âmbito setorial para abordar esses temas. O grupo de trabalho incluirá todos os participantes, desde instituições financeiras, empresas de fintech e de criptomoedas, órgãos reguladores e organizações de defesa do consumidor.
3. Adote as melhores práticas globais
Países com trilhos de pagamentos em tempo real já consolidados também têm observado iniciativas importantes impulsionadas pela regulamentação, incluindo:
- Exigir autenticação de dois fatores ou baseada em token para pagamentos em tempo real — Por exemplo, o regulamento de Autenticação Forte do Cliente na Europa exige que bancos, empresas de tecnologia financeira e comerciantes ofereçam suporte à autenticação de dois fatores para pagamentos push e transações de alto risco.
- Confirmar o beneficiário — No Reino Unido, a entidade do setor Pay.Uk lançou um serviço para garantir que o nome do destinatário pretendido corresponda ao nome na conta bancária. Se você estiver tentando pagar a Coinbase, o nome da conta deve corresponder a uma conta Coinbase conhecida no banco de dados. Os usuários recebem avisos e verificações antes de concluir o pagamento.
- Reservar um fundo para cobrir prejuízos — Nove dos maiores bancos do Reino Unido aderiram a um código voluntário criado pelo regulador de sistemas de pagamento do Reino Unido (PSR) para reembolsar as vítimas de golpes de pagamentos autorizados (APP) na rede de pagamentos em tempo real do país. Além disso, o PSR propôs a introdução de um reembolso obrigatório.
Nenhum agente ou país, isoladamente, consegue combater a fraude de forma eficaz, especialmente à medida que os pagamentos transfronteiriços se tornam mais convenientes. Estamos acompanhando de perto a implementação e a aplicação dessas regulamentações e como o setor privado pode contribuir para alcançar os resultados pretendidos. Queremos continuar o diálogo com instituições financeiras empenhadas em reduzir a fraude de APP.
Agora é o momento de combater a fraude em pagamentos em tempo real
O Federal Reserve escreveu recentemente que “a natureza irrevogável e em tempo real dos pagamentos instantâneos pode representar um desafio para o setor na detecção e prevenção de fraudes”. E os órgãos reguladores estão atentos.
A Comissão Federal de Comércio processou recentemente o Walmart por permitir que fraudadores abusassem de seu serviço de transferência de dinheiro. O Bureau de Proteção Financeira ao Consumidor está considerando reclassificar a fraude APP como “não autorizada”, o que significaria que os bancos teriam de reembolsar as vítimas de ataques de engenharia social sob a Regulamentação E.
Em vez de esperar que os órgãos reguladores proponham uma solução, assuma o controle do seu risco de fraude e impeça hoje mesmo ataques de engenharia social e fraudes por APP. A detecção de fraude em tempo real é possível e essencial para pagamentos em tempo real.