O que é uma Verificação de Velocidade?

Uma verificação de velocidade é um mecanismo de avaliação de risco (em tempo real) que observa a frequência de uma ação específica do cliente ao longo de um período de tempo que a empresa define como alvo. O sistema aborda atividades que ocorrem com uma frequência que excede um limite estabelecido, como um cliente tentando pagar mais de uma vez por segundo, sinalizando-as ou bloqueando-as.

As páginas web associadas às vendas de produtos SaaS são por vezes marcadas como pontos de acesso iniciais para software automatizado, consistente com a sua disponibilidade pública característica (e que normalmente não exigem uma palavra-passe para a interação inicial do serviço). A implementação de verificações de velocidade fornece um meio para gerir pelo menos as três categorias mais frequentes de abuso:

•       O teste de cartões envolve o uso de sistemas automatizados para enviar numerosos números de cartão comprometidos através do portal de transações de um comerciante para identificar o seu estado operacional. As despesas operacionais de um comerciante englobam itens como taxas de processamento e obrigações financeiras relacionadas a chargebacks.
•       Com o Credential Stuffing, bots realizam sequências de login automatizadas para testar se um número considerável de nomes de usuário e senhas, obtidos através de coletas de dados anteriores, são funcionais em uma plataforma SaaS.
•       A criação de inúmeras contas gratuitas temporárias via scripts permite o acesso a vários serviços pagos, como computação em nuvem ou ferramentas de scraping, sem uma assinatura correspondente. Atualmente, os recursos são acessíveis a esses usuários sem custo, e a monetização futura não está prevista.

Um conjunto de regras de velocidade realmente robusto prestará atenção apenas à frequência de “um clique” e também examinará combinações de informações relacionadas à identidade para capturar o fraudador que está se esforçando ao máximo para se disfarçar de:

• O Log de Transações: O sistema mostra a frequência de um único número de cartão de crédito, ID de conta ou endereço de cobrança de uma pessoa sendo usado dentro do período de tempo determinado.
• Impressões Digitais de Dispositivos: Registra a combinação precisa de hardware, versão do navegador e resolução da tela. O cenário em que um perfil de navegador exibe 20 usos num período de dois minutos, acompanhado por nomes de usuário variados, corresponde a um resultado de classificação de bloqueio.
• Geolocalização de IP: O número de vezes que uma solicitação provém do mesmo endereço IP. O sistema também está configurado para detectar ocorrências como “viagem impossível,” como um login originado em Nova York e subsequentemente de Tóquio dentro de um intervalo de cinco minutos.
• Analisando Comportamento de E-mail: Estudando o comportamento de um certo número de contas sendo registradas apenas com provedores de e-mail temporários, ou através de diferentes variações do mesmo endereço de e-mail base (como, por exemplo, [email protected], [email protected], e assim por diante).

Dependendo do tamanho da empresa, as equipes de engenharia geralmente escolhem uma das duas principais opções de implementação:

• O Provedor de Serviços de Pagamento: Seu painel oferece recursos para definir regras que abordam tentativas de teste de cartão em um estágio inicial. O uso desta funcionalidade não envolve modificações no sistema primário ou programação adicional.
• Verificação de Fraude Sob Medida (API Dedicada): Alguns passos antes que a ação do cliente chegue ao seu sistema de faturamento, você tem o direito de interceptá-la e enviar uma solicitação de API ao seu fornecedor externo de prevenção de fraudes. Este nível de análise é baseado em rastreamento profundo de dados dentro do aplicativo e em tomadas de decisão históricas complexas, e decide permitir ou bloquear antes que qualquer coisa seja transmitida para o processo de pagamento.

Conjuntos de regras específicos identificam situações em que usuários genuínos podem enfrentar impedimentos de acesso (por exemplo, uma senha esquecida ou internet restrita). Aqui estão algumas dicas para ajudar você a ajustar suas regras:

• Analise as Linhas de Base Históricas: Obtenha insights sobre atividades reais do usuário ao analisar logs de clientes durante períodos de alto volume, por exemplo, grandes lançamentos de produtos, para ver a velocidade máxima de trabalho de um ser humano. Limites iniciais de fraude pode ser estabelecido em um nível que excede os limiares humanos típicos.
• Utilize Janelas Deslizantes Dinâmicas: Em vez de reiniciar a contagem após a meia-noite, implemente janelas de tempo deslizantes (por exemplo, um máximo de 3 tentativas por janela de 60 segundos).
• Divida por Nível de Confiança do Usuário: Permita verificações de velocidade mais rápidas para usuários bem reconhecidos e com login de longa data; enquanto isso, aplique verificações de velocidade rigorosas para não registrados finalizações de compra como convidado ou novas contas.

Este sinal está associado ao volume de solicitações de entrada estar acima do limite máximo configurado durante um período específico. Uma mensagem de erro simples e genérica (combinada com o bloqueio de tentativas subsequentes) poderia informar entidades não autorizadas sobre aspectos das medidas de segurança. Essa combinação também impacta a experiência de usuários autenticados. Uma maneira eficiente de lidar com um estouro é introduzir CAPTCHA ou autenticação multifator (MFA), pois isso interrompe a automação do bot, pelo menos por enquanto, e também oferece ao usuário humano uma saída, permitindo que conclua seu trabalho.