51 min
Fraudology
Tendências de Fraude em E-commerce Revelam Novos Ataques de Tomada de Conta
Vamos analisar isso.
Neste episódio solo, estou gravando de um quarto de hotel em San Diego durante a conferência do Merchant Advisory Group. E antes que o caos completo da conferência comece, eu queria compartilhar algumas coisas que as equipes de fraude estão começando a perceber e que merecem atenção.
Porque é isto que está realmente a acontecer.
Alguns dos padrões de fraude que estão atingindo os lojistas de comércio eletrônico neste momento não seguem mais os velhos roteiros. Os investigadores estão observando ataques que combinam tomada de conta, fraude de pagamento e confiança no dispositivo de maneiras que fazem os modelos tradicionais de detecção terem dificuldade.
À primeira vista, a atividade parece o comportamento normal de um cliente. Mas, quando você olha mais de perto, o histórico de transações, as fontes de pagamento e a atividade da sessão contam uma história bem diferente.
O primeiro padrão que analiso é o que estou chamando de tomada de conta de duas vítimas.
Nesta versão de fraude por tomada de conta, os criminosos comprometem uma conta de cliente já existente, que possui um longo histórico de compras e fortes sinais de reputação. Em vez de simplesmente usar os cartões já armazenados na conta, o invasor adiciona o cartão de crédito roubado de uma pessoa completamente diferente.
E é aqui que entra o verdadeiro risco.
Porque a conta já parece legítima. Ela tem histórico de compras. Tem um perfil de dispositivo confiável. Pode até ter anos de comportamento do cliente por trás. Os sistemas de fraude muitas vezes tratam a transação como baixo risco porque a própria conta parece limpa.
Mas o instrumento de pagamento foi roubado.
Essa combinação permite que fraudadores contornem muitos controles tradicionais.
A segunda tendência envolve o sequestro de sessão impulsionado por malware. Nesses casos, os fraudadores se aproveitam de uma sessão legítima de um cliente que já está ativa em um dispositivo confiável.
Em vez de fazerem login eles mesmos, os invasores reproduzem ou continuam a sessão legítima. Do ponto de vista da detecção de fraude, parece ser o mesmo usuário, o mesmo dispositivo, a mesma sessão.
É por isso que as equipes de fraude se importam com isso.
Se o fraudador conseguir atuar dentro de uma sessão confiável, muitos dos sinais em que confiamos para detecção de fraude simplesmente não serão acionados.
Mais adiante no episódio, também falo sobre algo que está começando a aparecer em ambientes de teste no varejo: o comportamento de compra de IAs agentes.
Agentes de IA autônomos estão começando a realizar transações de comércio eletrônico que parecem indistinguíveis das de compradores humanos. E isso cria um novo problema que o setor ainda não resolveu completamente.
O principal ponto a entender é que nossos sistemas atuais de identificação de dispositivos e detecção de bots foram projetados para detectar automação, não agentes de compra autônomos que se comportam como usuários reais.
O que traz um novo desafio.
Como os comerciantes verificam a identidade e a intenção de um comprador não humano?
O que você ouvirá neste episódio:
- Como funciona o padrão de fraude de tomada de conta de conta com duas vítimas
- Por que contas confiáveis de comércio eletrônico estão sendo alvo de atacantes
- Como o malware permite o sequestro de sessão dentro de sessões legítimas de usuários
- Por que os varejistas de cartões-presente estão vendo um aumento na fraude por repetição de sessão
- O risco emergente dos agentes de compras com IA e os desafios de Conheça Seu Agente
Você deve ouvir este episódio se:
- Você lidera a área de fraude ou risco de pagamentos em uma empresa de comércio eletrônico
- Você investiga casos de tomada de controle de contas e fraude em pagamentos
- Você supervisiona sistemas de detecção de fraude ou controles de risco de transações
Se você gostou deste episódio, não deixe de assinar e avaliar o podcast no iTunes, Spotify, YouTube ou em qualquer outra plataforma onde você ouça podcasts.
Notas do episódio e principais aprendizados
A tomada de controle de contas com duas vítimas está remodelando os padrões de fraude em pagamentos
À primeira vista, a fraude por tomada de conta segue um padrão familiar. Os fraudadores obtêm acesso à conta de um cliente e utilizam os instrumentos de pagamento já armazenados dentro dessa conta.
Mas a realidade operacional está mudando.
Os investigadores de fraude estão vendo cada vez mais ataques em que a conta comprometida e o instrumento de pagamento pertencem a duas vítimas completamente diferentes.
Veja o que está realmente acontecendo.
Os invasores assumem o controle de uma conta legítima de comércio eletrônico que apresenta fortes sinais de histórico. A conta pode ter anos de atividade de compras, várias transações bem-sucedidas e padrões de comportamento que parecem confiáveis.
Em vez de usar os cartões de pagamento já armazenados na conta, o invasor adiciona um cartão de crédito recém-roubado pertencente a outra vítima.
Indicadores operacionais podem incluir:
- canais de escalonamento acionados por novas adições de métodos de pagamento
- correlação entre sinais cruzados do histórico de conta confiável e novos sinais de risco do cartão
- alinhamento de tipologias com sequestro de conta combinado e fraude de pagamento
- enriquecimento de alertas ligado a eventos de injeção de método de pagamento
- monitoramento comportamental para compras repentinas de cartões-presente de alto valor
- análise de rede que vincula contas comprometidas à infraestrutura de abuso de credenciais
E é aqui que o risco real aparece.
Os modelos de fraude costumam depender fortemente do histórico da conta. Quando a conta parece legítima, muitas transações passam pelos filtros de risco.
As implicações para a liderança exigem uma análise de risco em nível de transação mais robusta, que considere os sinais do instrumento de pagamento de forma independente da reputação da conta.
Ataques de sequestro de sessão exploram sinais de dispositivos confiáveis
A fraude de sequestro de sessão apresenta um desafio operacional diferente.
Em vez de entrarem em uma conta usando credenciais roubadas, os invasores se inserem em uma sessão legítima que já foi autenticada pelo próprio cliente.
O principal ponto a entender é que o fraudador não precisa se autenticar.
O evento de autenticação já ocorreu.
Os invasores usam malware ou ferramentas de reprodução de sessão para se aproveitar dessa sessão legítima e continuar o fluxo de compra. Para os sistemas antifraude, a atividade parece ser do mesmo cliente usando o mesmo dispositivo.
Indicadores operacionais podem incluir:
- canais de escalonamento acionados após eventos de continuação de sessão
- enriquecimento de alertas vinculado a sinais de malware ou à infraestrutura de VPN
- correlação entre sinais cruzados entre a estabilidade da impressão digital do dispositivo e anomalias comportamentais
- monitoramento comportamental para mudanças súbitas na velocidade de compras
- análise de rede identificando infraestrutura compartilhada de atacantes entre sessões
- alinhamento de tipologias com fraude de cartão-presente e abuso de credenciais
Como a sessão se origina de um ambiente confiável, muitos modelos de fraude classificam a atividade como de baixo risco.
As implicações para a liderança exigem um monitoramento comportamental mais rigoroso e uma análise de risco de sessão em tempo real que avalie a atividade após o login, não apenas no momento da autenticação.
A IA agente introduz um novo desafio para a detecção de fraudes
O último padrão discutido neste episódio foca em algo que está apenas começando a surgir em ambientes de teste.
Comportamento de compra de IA agente.
Varejistas que estão experimentando agentes de IA autônomos estão descobrindo que esses agentes conseguem concluir transações de comércio eletrônico de maneiras que parecem quase idênticas às de compradores humanos.
O desafio operacional é a detecção.
A detecção tradicional de bots baseia-se na identificação de sinais de automação, atividade incomum do navegador ou padrões de interação não humanos.
Mas sistemas de IA agentes estão sendo treinados para imitar o comportamento de navegação humano.
Considerações operacionais podem incluir:
- supervisão de governança para a atividade comercial de agentes de IA
- canais de escalonamento para transações iniciadas por entidades não humanas
- correlação entre sinais cruzados de biometria comportamental e intenção de compra
- enriquecimento de alertas usando sinais de monitoramento comportamental
- alinhamento de tipologia entre atividade de bots e automação legítima
O principal ponto a entender é que o setor atualmente carece de um framework padronizado para verificar agentes de IA.
As implicações para a liderança incluem a necessidade emergente de modelos de verificação de identidade capazes de avaliar atores não humanos em ambientes de comércio eletrônico.
