6 min
Falamos o tempo todo sobre regras antifraude, mas raramente ouço alguém perguntar o que realmente queremos dizer com esse termo. Para que servem as regras, quem deve criá-las e com que frequência devem ser revistas? Ao longo da minha carreira, constatei que os tipos de regras antifraude se dividem em três categorias distintas, mas a maioria das equipes gerencia todas elas da mesma forma. Esse hábito gera custos significativos sem que se perceba. As equipes acabam monitorando algumas regras em excesso e outras de forma insuficiente, atribuindo a responsabilidade às pessoas erradas e esperando que as regras funcionem de maneiras para as quais nunca foram concebidas.
Neste episódio, abordo as regras estratégicas, as regras comportamentais e as regras de tendências, explicando como cada uma é criada, avaliada e gerida. Se gere um motor de regras ou é responsável pela forma como uma equipa de combate à fraude utiliza o seu tempo, esta é uma forma prática de organizar esse trabalho.
O que você vai ouvir neste episódio:
- Por que os três tipos de regras de fraude exigem diferentes frequências de monitoramento, diferentes responsáveis e diferentes critérios de sucesso
- Como as regras de fraude baseadas em pontuação de ML e as regras de fraude baseadas em limites segmentam sua população em grupos de aprovação, recusa e verificação adicional
- Por que alterar um limite em um conjunto de regras de estratégia muitas vezes exige ajustar os demais e por que essas regras devem ser avaliadas em conjunto
- Como as regras comportamentais criadas pelas equipes antifraude, incluindo exemplos de regras de velocidade para detecção de fraudes, podem identificar várias quadrilhas com o mesmo modus operandi sem se ajustar excessivamente a um único ataque
- Como são, na prática, as regras compostas de prevenção a fraudes, incluindo um exemplo de regra de fraude baseada na impressão digital do dispositivo que combina o risco do e-mail, um novo dispositivo e uma divergência de país
- Por que as regras de tendência são, inicialmente, sua ferramenta mais rápida e precisa — e por que perdem a eficácia tão depressa
- Como deve funcionar o ciclo de vida das regras antifraude, com regras específicas servindo como solução temporária enquanto defesas mais robustas assumem o controle
- O que dá errado na priorização de regras antifraude quando todas recebem a mesma atenção
Você deveria ouvir este episódio se:
- Gerencia um mecanismo de regras e quer uma estrutura clara para criar regras de fraude adequadas à sua finalidade
- Estão a criar ou a reestruturar uma equipa de combate à fraude e precisam de decidir que equipa deve ser responsável por cada regra
- Querem melhorar a implementação de regras antifraude, integrando as regras de estratégia ao processo de lançamento de modelos
- Continua adicionando regras específicas para impedir ataques e está preocupado com o acúmulo de falsos positivos
- Dependem do modelo de um fornecedor e precisam saber o que solicitar ao definir os limites
Notas do episódio e principais conclusões
As regras de estratégia são a sua camada básica de defesa
As regras de estratégia segmentam a sua população e definem a estrutura geral das suas defesas. Determinam quais os segmentos que são aprovados, quais são bloqueados e quais são sujeitos a uma etapa adicional, como autenticação ou análise manual, e geralmente são aplicadas sobre uma pontuação de um modelo de aprendizagem automática, de um agente de IA ou de um sistema de pontuação. Como estas regras estão interligadas, alterar um limiar normalmente implica ajustar os restantes. Recomendo avaliá-las como um conjunto de regras, e não apenas uma a uma. A sua precisão tende a ser modesta, mas mantêm um bom desempenho ao longo do tempo. Normalmente, uma revisão mensal é suficiente. Uma vez que estão associadas à distribuição das pontuações do modelo, devem ser concebidas e lançadas em conjunto com o modelo, idealmente com um envolvimento próximo da equipa de ciência de dados ou com o apoio do fornecedor, caso o modelo seja fornecido por terceiros.
As regras comportamentais são a espinha dorsal
As regras comportamentais detetam tipologias que escapam ao seu modelo e às suas regras de estratégia, seja porque o padrão é novo, demasiado pequeno ou complexo para ser modelado, seja porque visa comportamentos que geram falsos positivos. A ideia central é que estas regras descrevem comportamentos suspeitos ou legítimos, e não um ataque específico, o que evita que se ajustem excessivamente a um único grupo e permite que detetem outros com uma abordagem semelhante. As regras de velocidade são um exemplo clássico; outro é uma regra composta que combina um domínio de e-mail de risco, um novo dispositivo e um país do endereço IP que não corresponde ao esperado. Estas regras devem ser mais precisas do que as regras de estratégia; caso contrário, há poucos motivos para as manter. O seu desempenho degrada-se mais rapidamente do que o dos modelos, mas não de forma acentuada, pelo que uma revisão semanal ou mensal é suficiente. A responsabilidade deve caber à equipa de análise de fraude, pois exige tanto conhecimento especializado do domínio como competências de análise de dados.
As regras de tendência estancam a sangria e, depois, devem ser desativadas
As regras de tendência visam um ataque, uma tendência ou uma rede de fraude específica e são deliberadamente restritas. Uma regra típica inclui alguns domínios de e-mail descartáveis, um BIN de cartão específico, um fragmento de um endereço de entrega e um valor mínimo, o que a torna uma regra do tipo lista de bloqueio criada para um único padrão. Inicialmente, são muito precisas, mas deterioram-se muito depressa, porque os autores de fraude só precisam de alterar um detalhe para as contornar. Por isso, enquanto um ataque estiver ativo, devem ser monitorizadas diariamente ou semanalmente. Considero que devem fazer parte do conjunto de ferramentas das operações antifraude, mas devem ser sempre tratadas como uma solução temporária. Dão-lhe tempo para implementar defesas mais robustas, mas, se permanecerem em vigor sem supervisão, acabam por acumular falsos positivos.
Escolhendo a ferramenta certa para cada tarefa
Isso vai além de um exercício de classificação. Quando todas as regras são tratadas da mesma forma, você desperdiça esforços monitorando regras que não precisam disso, deixa passar a deterioração daquelas que precisam, atribui a responsabilidade à equipe errada e avalia as regras com base em critérios de sucesso inadequados. Quando cada categoria tem sua própria frequência de revisão, seu responsável e suas expectativas, suas defesas se tornam mais resilientes e fáceis de escalar.
Conclusão final
Se você guardar uma única ideia deste episódio, que seja esta: uma regra só é tão boa quanto a função para a qual foi criada. As regras de estratégia transformam uma pontuação em ação, as regras comportamentais descrevem como a fraude tende a se manifestar e as regras de tendência apagam o incêndio à sua frente. Atribua a cada uma o responsável, a frequência de monitoramento e as expectativas adequadas, e suas defesas contra fraudes se manterão mais robustas à medida que crescerem.
Recursos e links
Ainda não quer encerrar a conversa sobre o meu assunto favorito — e, espero, o seu também? Assine a newsletter The Saturday Fraud Strategist.
Conecte-se com Chen Zamir | LinkedIn
Apresentador do The Saturday Fraud Strategist
Ajudando fintechs a criar defesas mais inteligentes contra fraudes
Coautor de “The Fraud Fighter’s AI Playbook”
Episode transcript
Chen Zamir
00:07
We talk about fraud rules all the time, but what do we actually mean when we say rules? What are rules for? Who writes them? How should they be monitored? Here's the thing. During my career, I found out that there are actually three distinct categories of rules. But most teams treat them all the same. And what are these categories? Strategy rules, behavioral rules, and trend rules. Each designed differently, written by different teams, and with completely different roles to play in your fraud defenses. Mixing them up means you'll either over monitor some while under monitor others, assign ownership to the wrong teams, or worse, expect them to perform in ways they were never designed to. So, in this video, I'll break down each category and show you exactly how to handle them. Let's get into it.
Chen Zamir
00:56
Strategy rules segment your population and define the overall design of your fraud defense. Which segments get approved? Which segments get blocked? Which segments go through a step up like authentication or manual review? In most cases, these rules are written around the score calculated by a machine learning model, an AI agent, or if your organization is still living in the 80s, a scorecard that tells the result of other rules. A good strategy segments the population according to risk bands and ideally other general risk factors like payment method, transaction amount or user history. It usually looks something like this. If score is above 80 and the amount is higher than $100, then decline the payment. Keep in mind that strategy rules are usually interconnected, especially if you manage multiple segments. Changing a threshold in one rule would dictate mirroring changes in other rules in the same set. For example, if in that previous example I had a rule that sends to manual review payments with scores between 50 and 80 and I raise the upper limit to 85, I now need to change my decline rule we just saw to only start declining above 85. This also means you may want to measure these interconnected rules as a rule set and not only individually. Performance-wise as these are high level rules that operate on the entire population and mostly translate a score into a deterministic action. Accuracy tends to be quite low. However, this also means they're more resilient to degradation. Machine learning models tend to degrade much more slowly than rules. So you don't need to monitor them daily or weekly. A monthly cadence is usually more than enough. And from an ownership perspective, since strategy rules are tightly coupled to a model score distribution, it makes sense that they'd be designed, reviewed, and deployed as part of the model release process. Should a data science team write them? Perhaps. If it makes sense within your team's context. But even if fraud analysts write them, they should work very closely with the data science team to do so. And what if the model you use is supplied by a vendor? Then ideally you should request them to support you with the required data analysis and segmentation.
Chen Zamir
03:13
Behavioral rules detect typologies that bypass your fraud model and strategy rules. This can happen for a few reasons. That typology is new and didn't appear in the model's training set. It's too intricate or small to describe with a model. Or you're targeting false positive behaviors that models aren't really designed to catch. Regardless of the reason, the point of these rules is to describe suspicious, or legitimate behaviors, and not a particular fraud attack. And by doing so, your rules can catch different rings that have similar MOS without the need to constantly tweak them and overfeit them to one particular attack. A good example would be velocity rules. They describe a certain typology that can manifest in different attacks and by different fraudsters. Here's an example. If domain risk is high, and the device is new, and the IP country mismatches the account country, then block the account. Let's talk about performance for a second. Ideally, behavioral rules should be quite accurate. And in all cases more accurate than the strategy rules themselves. Otherwise, why bother with them? And while behavioral rules degrade faster than models, because they describe general typologies rather than specific patterns, they don't degrade that fast. Even if a fraud ring leaves your platform, the rule would still catch new fraudsters attacking you in similar ways. So from a monitoring perspective, you want to review your behavioral rules on a weekly or monthly cadence. And in terms of ownership, behavioral rules sit squarely with the fraud analytics team. As they require both deep domain expertise and data literacy.
Chen Zamir
04:54
Trend rules are designed to stop specific trends, attacks, or fraud rings. When nothing else works, when fraudsters bypass your model, strategy rules, and fancy behavioral rules, you need to bring the hammer down. These rules focus on a specific narrow pattern to maximize the effectiveness of your defenses. They usually look like this. If the email domain is tempemail24.com or gorilla.info or 10minute.net net, and the card bin is specific to this trend, and the shipping address has 1247 harbor somewhere in it, and the amount is higher than 50 bucks, then decline the payment. From a performance standpoint, trend rules tend to start off being very accurate as they're tailored to a specific attack. That means that on paper they should be your most accurate rules and by a wide margin, but they also degrade fast, very fast. It's often easy for fraudsters to tweak something in their behavior and bypass a trend rule. This means these rules should be monitored daily to weekly, especially if they're part of stopping an ongoing attack. And when it comes to the ownership question, I personally believe that trend rules should be within the tool set frauds teams have at their disposal when dealing with fraud attacks. However, you should consider your trend rules as a stop gap solution. The idea is they buy you time to deploy more substantial defenses that degrade more slowly, and that scale better. Allowing you to eventually get rid of them completely. Because if they are left unchecked over time they can really cause havoc by accommodating false positives.
Chen Zamir
06:37
Understand the differences between the three types of rules isn't just academic, it's operational. Because when you treat all rules the same, you waste resources monitoring things that don't need daily attention while missing degradation in rules that do. You assign ownership to the wrong teams and you harm your overall effectiveness by mismanaging the success criteria for each role category. But get this right and your fraud defense would be more resilient and easier to scale. Anyway, that's all for today. I'll see you next Saturday.
View full transcript
