O que é uma Verificação de Velocidade?

Um controle de velocidade é uma política de avaliação de risco (em tempo real) que observa a frequência de uma ação específica do cliente durante um período de tempo que a empresa define como alvo. O sistema aborda atividades que ocorrem com uma frequência que excede um limite estabelecido, como um cliente tentando realizar um pagamento mais de uma vez por segundo, sinalizando-as ou bloqueando-as.

As páginas da web associadas às vendas de produtos SaaS são, por vezes, marcadas como pontos de acesso iniciais para softwares automatizados, consistentes com sua disponibilidade pública característica (e que geralmente não exigem uma senha para a interação inicial com o serviço). A implementação de verificações de velocidade oferece um meio de gerenciar pelo menos as três categorias mais frequentes de abuso:

•       O teste de cartões envolve o uso de sistemas automatizados para submeter vários números de cartões comprometidos através do portal de transações de um comerciante para identificar seu status operacional. As despesas operacionais de um comerciante englobam itens como taxas de processamento e obrigações financeiras relacionadas a chargebacks.
•       Com Credential Stuffing, bots realizam sequências de login automatizadas para testar se um número considerável de nomes de usuário e senhas, obtidos através de coletas de dados anteriores, são funcionais em uma plataforma SaaS.
•       A criação de várias contas gratuitas temporárias via scripts permite o acesso a diversos serviços pagos, como computação em nuvem ou ferramentas de scraping, sem uma assinatura correspondente. Atualmente, os recursos são acessíveis a esses usuários sem custo, e a monetização futura não está prevista.

Um conjunto realmente robusto de regras de velocidade irá se atentar apenas à frequência de “um clique” e também examinará combinações de informações relacionadas à identidade para pegar o fraudador que está fazendo o possível para se disfarçar de:

• O Log de Transações: O sistema mostra a frequência de um único número de cartão de crédito, ID de conta ou endereço de cobrança de uma pessoa sendo usado dentro do período de tempo especificado.
• Impressões Digitais de Dispositivos: Registra a combinação precisa de hardware, versão do navegador e resolução da tela. O cenário em que um perfil de navegador exibe 20 usos em um período de dois minutos, acompanhado por nomes de usuário variados, corresponde a um resultado de classificação de bloqueio.
• Geolocalização de IP: O número de vezes que uma solicitação vem do mesmo endereço IP. O sistema também é configurado para detectar ocorrências como “viagem impossível”, como um login originado em Nova York e, subsequentemente, de Tóquio dentro de um intervalo de cinco minutos.
• Análise do Comportamento de E-mail: Estudo do comportamento de um certo número de contas sendo registradas apenas com provedores de e-mail temporário, ou através de diferentes variações do mesmo endereço de e-mail base (como, por exemplo, [email protected], [email protected], e assim por diante).

Dependendo do porte da empresa, as equipes de engenharia geralmente escolhem uma das duas principais opções de implementação:

• O Provedor de Serviços de Pagamento: Seu dashboard oferece funcionalidades para definir regras que abordam tentativas de testes de cartão em um estágio inicial. O uso desta funcionalidade não envolve modificações no sistema primário ou programação adicional.
• Verificação de Fraude Sob Medida (API Dedicada): Poucos passos antes que a ação do cliente atinja seu sistema de faturamento, você tem o direito de interceptá-la e enviar uma solicitação de API ao seu fornecedor externo de prevenção de fraude. Esse nível de análise é baseado em rastreamento aprofundado de dados no aplicativo e em tomada de decisões históricas complexas, e decide permitir ou bloquear antes que qualquer coisa seja passada adiante no processo de pagamento.

Conjuntos de regras específicos identificam situações onde usuários genuínos podem enfrentar impedimentos de acesso (por exemplo, uma senha esquecida ou internet restrita). Aqui estão algumas dicas para ajudar você a ajustar suas regras:

• Analisar Linhas de Base Históricas: Obtenha insights sobre atividades reais de usuários analisando logs de clientes durante períodos de alto volume, como, por exemplo, grandes lançamentos de produtos, para ver o quão rápido um humano poderia trabalhar no máximo. Limites iniciais de fraude pode ser estabelecido em um nível que excede os limites humanos típicos.
• Usar Janelas Deslizantes Dinâmicas: Em vez de reiniciar a contagem após a meia-noite, implemente janelas de tempo deslizantes (por exemplo, um máximo de 3 tentativas por janela de 60 segundos).
• Dividir por Nível de Confiança do Usuário: Permita verificações de velocidade mais rápidas para usuários bem reconhecidos e logados há muito tempo; enquanto isso, aplique verificações de velocidade rigorosas para usuários não registrados finalizações de compra como convidado ou novas contas.

Este sinal está associado ao volume de requisições de entrada estar acima do limite máximo configurado durante um período específico. Uma mensagem de erro simples e genérica (combinada com o bloqueio de tentativas subsequentes) poderia informar entidades não autorizadas sobre aspectos das medidas de segurança. Essa combinação também afeta a experiência de usuários autenticados. Uma forma eficiente de lidar com um estouro é introduzir CAPTCHA ou autenticação multifator (MFA), pois isso interrompe a automação do bot, pelo menos por enquanto, e também oferece ao usuário humano uma saída, permitindo que ele conclua seu trabalho.