Por que a verificação de velocidade não detecta redes de fraude nem identidades sintéticas

Um credor enviou-nos um lote de 128 pedidos sob suspeita de serem coordenados. Quando alinhei os casos de fraude confirmados, a maioria tinha exatamente uma coisa em comum: o mesmo nome.

Mais nada se repetia. Cada pedido vinha com uma data de nascimento, morada, número de telefone, e-mail e ligação próprios.

Nenhum deles foi recusado. Dois foram financiados.

No papel, pareciam pessoas diferentes. Mas quatro detalhes acabaram por denunciá-los.

TL;DR

As nossas conclusões em poucas palavras:

• Um nome comum surgia repetidamente e nada mais se repetia: uma nova data de nascimento, morada, número de telefone, e-mail e ligação a cada tentativa.

• As verificações existentes do credor aprovaram-nos, incluindo as verificações de velocidade.

• Quatro sinais expuseram a rede: um nome associado a várias identidades, dados de identificação colados em vez de digitados, o mesmo proxy a ocultar uma origem internacional e SSNs que falharam na validação. Isolados, a maioria destes sinais é fraca. Juntos, são precisos.

• Ao procurar este padrão nos seis meses anteriores de tráfego, encontrámos mais 68 pedidos que não constavam da lista de fraudes do credor.

• A lição: associe dados de identidade, comportamento, rede e verificação em vez de avaliar cada pedido de forma isolada.

O que aconteceu

O credor sinalizou 128 pedidos com suspeita de atividade coordenada. Desses, 26 deram entrada com um único nome comum ao longo de 51 dias. Vinte e dois deles foram mais tarde confirmados como fraude.

Cada um tinha a sua própria data de nascimento, morada, número de telefone, endereço de e-mail e ligação, espalhados por 15 estados. Nada se repetia além do nome. Todos vinham de um Mac com o Chrome, mas essa é uma das configurações mais comuns que existem, pelo que não aponta para um dispositivo partilhado.

O processo existente do credor não os travou. Em quase 100 verificações automáticas de fraude, o grupo não teve qualquer rejeição ou recusa. Dois empréstimos chegaram mesmo a ser financiados.

Porque é que as verificações de velocidade falham redes de fraude?

As verificações de velocidade contam repetições: a mesma ligação, dispositivo ou e-mail a surgir num curto intervalo de tempo. Esta rede não repetiu nada exceto o nome, logo, não havia nada para contar.

Alargar os intervalos de tempo não ajudou. Quando testámos alargar o intervalo de 30 minutos para 7 dias, foram sinalizados milhares de pedidos e quase não se apanhou fraude. Apertar ainda mais a velocidade apenas sobrecarrega a equipa de análise com mais alertas.

Quando nada se repete, é preciso analisar como os detalhes se relacionam entre si.

O que denunciou esta rede de fraude?

Analisámos os casos confirmados campo a campo: o que foi inserido, como foi inserido, de onde veio e se era fidedigno. Quatro sinais continuavam a aparecer juntos.

Identidade

Começámos pelo nome. Aparecia sempre associado a uma data de nascimento diferente. Uma pessoa real só tem uma data de nascimento. Um nome comum terá naturalmente algumas, porque muitas pessoas o partilham, pelo que a fasquia tem de estar bem acima disso. Isoladamente, este sinal gera ruído: nomes comuns em tráfego intenso acumulam datas de nascimento e acabam por sinalizar muitas pessoas reais.

Comportamento

Depois, analisámos como os formulários foram preenchidos. O nome, a data de nascimento e o SSN nunca foram digitados. Foram colados. As pessoas costumam digitar a própria data de nascimento, não colá-la. Contudo, isoladamente, a colagem é um critério demasiado amplo. Muitos candidatos reais colam dados a partir de notas, documentos ou gestores de palavras-passe.

Rede

A seguir, as ligações. Passavam pelo mesmo conjunto de proxies configurados para parecerem nacionais. A ligação parecia local, mas o dispositivo dizia o contrário. A inteligência de rede e de dispositivos da Oscilar identificou a verdadeira origem por trás do proxy: o estrangeiro, principalmente a Europa de Leste e o Médio Oriente. Isoladamente, este sinal também é demasiado amplo. VPNs, ferramentas de privacidade e redes empresariais são comuns entre clientes legítimos.

Verificação

Por fim, os SSNs. Falharam as verificações de autenticidade. Os burlões também reutilizam SSNs, pelo que os números de casos confirmados anteriores são mantidos numa lista de vigilância, onde qualquer reutilização surge de imediato. Este é o mais forte dos quatro sinais isoladamente, mas é restrito e atua tarde, apenas quando um SSN já falhou a verificação ou foi associado a fraudes. Um SSN novo passa despercebido.

Todos os 22 casos confirmados de fraude apresentaram este mesmo padrão nos quatro sinais.

Porque é que quatro sinais fracos são mais fortes juntos?

Cada sinal individualmente é demasiado ruidoso ou demasiado restrito. Quando analisados em conjunto, cobrem as lacunas uns dos outros:

• Várias datas de nascimento por nome detetam a reutilização de um único nome em várias identidades, que era o formato desta rede. Isoladamente, os nomes comuns tornam o sinal ruidoso.

• Dados de identidade colados indicam que o requerente não conhecia os dados que estava a inserir. Isoladamente, demasiadas pessoas reais colam dados.

• Uma origem oculta mostra alguém a disfarçar a sua localização real. Neste caso, vinha do estrangeiro. Isoladamente, as VPNs e as redes corporativas são muito frequentes.

• Um SSN inválido ou sob vigilância liga o pedido a SSNs problemáticos ou reutilizados. Isoladamente, não consegue identificar um SSN novo.

Como os clientes legítimos raramente acionam os quatro em simultâneo, avaliar estes sinais em conjunto permite identificar a rede com precisão e afetar muito poucos candidatos reais.

A validação que desenvolvemos para este credor não trata nenhum deles como uma regra isolada. Exige a sua combinação: várias datas de nascimento para o mesmo nome num período recente, colagem nos campos de identidade, uma ligação por proxy e um teste de SSN falhado ou sob vigilância.

No tráfego deste credor, a validação combinada atinge menos de 1% dos pedidos aprovados, um valor inferior ao do sinal de datas de nascimento por si só. Esse é o número deles, não uma referência universal. O seu será diferente, por isso meça-o com os seus próprios dados.

É o mesmo ponto que referi em Why Fraud Rules Stop Working (and How to Tell When Yours Have). Aborde um ataque a partir de vários ângulos, para que uma única alteração não deite abaixo toda a sua defesa.

Como saber se a sua lista de fraudes está completa?

Quando um cliente nos entrega uma lista de fraudes, vemo-la como uma pista, não como a resposta final. Assim que encontramos um padrão, aplicamo-lo retroativamente a meses de tráfego e analisamos tudo o que ele sinalizaria.

Neste caso, pesquisámos o nome ao longo de seis meses de tráfego do credor:

• Surgiram 94 pedidos, e 68 deles não constavam da lista do credor. Apresentavam o mesmo padrão dos quatro sinais.

• Dois desses 68 tinham chegado à fase final de verificação de fraude.

A análise retroativa do padrão revelou outros dois aspetos relevantes:

• Um segundo nome comum com um perfil quase idêntico: cerca de 97 pedidos ao longo de 112 dias, 82 datas de nascimento, 25 estados e apenas cerca de 2% travados. Não constava de nenhuma lista. Corresponde ao padrão, mas não está confirmado como fraude.

• Um formato totalmente diferente: cerca de 56 nomes e aproximadamente 730 pedidos em que uma pessoa, com o mesmo nome, data de nascimento e morada, voltou a candidatar-se repetidamente com um novo e-mail a cada tentativa. Este formato precisa de uma validação própria, que conte os e-mails por pessoa.

Uma lista de fraudes só contém aquilo em que alguém já reparou. O resto da rede costuma estar logo ao lado, e essa é a parte que continua a dar prejuízo.

Apresentámos estes pontos ao credor para análise, que concordou com o risco associado e confirmou que já está a intervir. 

Uma nova verificação de fraude deve bloquear logo ou apenas observar primeiro?

Observar primeiro. As novas verificações começam em modo sombra, a acompanhar o tráfego em tempo real sem afetar decisões, e analisamos os resultados com o cliente antes de bloquear qualquer pedido.

Essa análise é também onde surgem dúvidas de negócio. O padrão de reutilização de e-mails levantou uma questão para este credor: os clientes voltam a candidatar-se legitimamente com um novo e-mail após uma recusa? Se o fazem, isso faz parte do comportamento normal dos seus clientes e a validação deve ter isso em conta. Cabe ao credor decidir se é um problema.

Uma verificação que parece correta com dados históricos ainda precisa de tempo no tráfego em tempo real antes de bloquear alguém.

Como saber se isto lhe está a acontecer

Estas verificações vêm diretamente deste caso:

• Conte quantas identidades cada nome, SSN, e-mail e número de telefone acumula.

• Verifique se os campos de identificação são colados ou digitados.

• Analise além do proxy para descobrir a verdadeira origem da ligação.

• Mantenha uma lista de vigilância com SSNs de casos de fraude confirmados.

• Vá além da sua lista de fraudes. Procure o que os casos confirmados têm em comum ao longo de vários meses de tráfego.

As redes de fraude escondem-se entre os pedidos, não dentro deles.

Nenhum sinal expôs esta rede por si só. Foi preciso analisar os dados de identidade, comportamento, rede e verificação em conjunto. É por isso que a Oscilar analisa todos eles.

Quer ver como funciona na prática? Agende uma demonstração hoje.

Perguntas Frequentes

Porque é que as verificações de velocidade falham redes de fraude?

As verificações de velocidade procuram repetições, como a mesma ligação, dispositivo ou e-mail num curto período de tempo. Uma rede que apresente uma nova data de nascimento, morada, número de telefone, e-mail e ligação a cada pedido não deixa nada para contar. Alargar o intervalo de tempo não resolve: sinaliza milhares de pedidos adicionais e continua a deixar escapar quase toda a fraude.

Como detetar uma rede de fraude quando todos os pedidos parecem diferentes?

Deixe de avaliar os pedidos individualmente e analise como se relacionam. Sinais fracos isoladamente — como várias datas de nascimento para o mesmo nome, dados de identificação colados, ligações por proxy e um SSN que falha — tornam-se precisos quando exigidos em conjunto.

O que é a fraude de identidade sintética?

A fraude de identidade sintética ocorre quando alguém cria uma identidade com dados falsos, por vezes misturados com dados reais, e a utiliza para pedir crédito. Como a identidade não pertence a uma pessoa real específica, muitas vezes não há ninguém que se aperceba e a denuncie.