Categorias
Amex ApplePay Bancos Bandeira Carteira Digital Cartões de Pagamento Credenciadora Digital Emissor Fraude MasterCard Meios de Pagamento Mercado Payments PIX Segurança Serviços Financeiros Tecnologia Visa

Segurança sem Fricção: O Papel do 3D Secure nos Pagamentos Digitais

A evolução das transações online nunca foi tão crítica quanto nos dias de hoje. O 3D Secure, ou simplesmente 3DS, emerge como a solução que pode redefinir os padrões de segurança e eficiência no comércio eletrônico global. Desenvolvido pela EMVCo, o protocolo representa uma evolução necessária frente aos crescentes desafios de segurança digital e experiência do consumidor.

Sua origem remonta à necessidade de transações mais seguras, impulsionada pela crescente onda de fraudes online e regulamentações como a PSD2 na União Europeia, que tornou obrigatória a autenticação forte do cliente (SCA). Esse modelo de autenticação baseia-se em três pilares essenciais:

  • Conhecimento: Algo que só o usuário sabe, como uma senha ou PIN. É o fator mais comum, mas também o mais vulnerável, pois pode ser compartilhado ou descoberto por terceiros.
    Posse: Algo que só o usuário possui, como um celular ou token de segurança. Este fator adiciona uma camada física de proteção, garantindo que o usuário tenha um dispositivo em mãos.
  • Inerência: Algo que o usuário é, como impressão digital ou reconhecimento facial. Trata-se de um elemento biométrico único e difícil de replicar, consolidando a segurança da autenticação.
  • Combinando pelo menos dois desses elementos, o protocolo reduz drasticamente a possibilidade de acesso não autorizado, garantindo que cada transação seja validada com base em múltiplos níveis de segurança.

O 3DS vai além do modelo anterior, introduzindo uma autenticação dinâmica que elimina a dependência de senhas fixas, oferecendo alternativas como biometria ou códigos enviados ao dispositivo do usuário. Sua arquitetura flexível coleta dados contextuais da transação – como geolocalização e tipo de dispositivo – permitindo uma análise de risco precisa e fluida. Quando tudo parece estar em conformidade, o processo ocorre em segundo plano, sem interrupções para o consumidor.

Como funciona o 3DS na prática? Abaixo, apresento o fluxo de uma transação com o protocolo:

  1. O consumidor inicia uma compra online e insere os dados do cartão.
  2. O comerciante envia a solicitação de pagamento para o adquirente.
  3. O adquirente (motor 3DS) repassa a informação para as bandeiras (Visa, MasterCard etc.).
  4. A bandeira consulta o emissor do cartão, que verifica os dados coletados (dispositivo, localização, histórico de compras) para calcular o risco da transação.
  5. Se a transação for considerada de baixo risco, é aprovada automaticamente. Caso contrário, é iniciada a autenticação adicional:
    • O emissor cria o desafio e envia a URL para a loja;
    • A loja apresenta o desafio no checkout;
    • O comprador responde o desafio, completando a autenticação.
  6. O emissor envia o resultado da autenticação para a loja.
  7. A loja conclui o processo.

Esse fluxo não apenas reduz fraudes, mas também melhora a experiência do usuário, permitindo transações mais rápidas e seguras.

Embora o 3DS não seja universalmente obrigatório, seu uso é cada vez mais incentivado. Na União Europeia, tornou-se padrão. Já no Brasil, o protocolo ganha força em meio à expansão do comércio eletrônico e à pressão por maior segurança nas transações digitais. As bandeiras Visa e MasterCard estão na linha de frente, exigindo sua adoção por emissores, credenciadoras e varejistas, seja por diretrizes regulatórias ou para minimizar riscos de chargebacks. Ambas promovem incentivos comerciais e penalidades para estimular a adesão.

Os benefícios são claros para todos os elos da cadeia de pagamentos. Para o varejista, significa uma redução significativa nas taxas de fraude e chargebacks, além de menor abandono de carrinhos, já que o processo é otimizado para ser imperceptível. Emissores e credenciadoras ganham com a proteção aprimorada, reduzindo perdas financeiras e fortalecendo a confiança do mercado. Para as bandeiras, a uniformidade do padrão garante maior integridade em suas redes. Mas é o consumidor quem colhe os frutos mais tangíveis: compras online mais seguras, ágeis e com menos fricção.

Ainda assim, o 3DS não é uma “bala de prata”. Sua implementação exige investimentos significativos em tecnologia e educação, tanto para comerciantes quanto para consumidores. Além disso, desafios como a compatibilidade de dispositivos mais antigos e o ajuste fino dos algoritmos de risco podem gerar dores de cabeça iniciais. Mas o consenso é que os ganhos compensam amplamente os custos.

No Brasil, a evolução da adoção segue em ritmo acelerado. Bancos e fintechs já incorporaram o protocolo em suas plataformas, enquanto marketplaces e grandes varejistas avançam para mitigar fraudes e criar experiências de compra mais fluidas. Em um mercado onde cada segundo de fricção pode significar a perda de uma venda, o 3DS representa um divisor de águas.

A mensagem é clara: quem não adotar o 3DS pode se encontrar em desvantagem competitiva. A resistência ao avanço tecnológico, neste caso, não é apenas uma questão de custo – é uma questão de sobrevivência. E, para os consumidores, a promessa de transações mais seguras e confiáveis é um passo bem-vindo em direção ao futuro do comércio digital.

Categorias
Investimento

Desmistificando as soluções antifraudes

 

Quando falamos de gestão de lojas online, uma das grandes preocupações que surgem é o temido chargeback, causado principalmente por compras efetuadas com cartões fraudados. 

Para resolver esse problema, a vasta maioria dos ecommerces protegem-se utilizando os tão conhecidos antifraudes. 

O antifraude é basicamente uma ferramenta que, após a pré-autorização da compra com cartão de crédito, analisa uma série de dados coletados de uma compra online e calcula um score de risco para essa compra. Compras avaliadas como de alto risco são negadas.

Essa avaliação do antifraude é crítica e impacta diretamente o P&L da loja. Se o antifraude não conseguir detectar a fraude, a loja entregará um produto para o fraudador, e a loja nunca vai receber o dinheiro. Se o antifraude começar a negar transações lícitas, por considerá-las suspeitas, a loja perderá vendas. Assim, qualquer falso positivo ou falso negativo do antifraude representa um prejuízo no bolso do ecommerce.

 

Medindo a performance dos antifraudes

Uma das coisas que mais vejo de dúvida em relação aos antifraudes é como avaliar sua performance. Como saber se ele é bom? ou como comparar com um outro antifraude?

Quanto melhor for um antifraude, melhor ele vai ser nas três métricas de performance:

  • custo do antifraude por transação
  • percentual de vendas com chargeback
  • taxa de aprovação do antifraude

O interessante é que essas métricas trabalham em sentido contrário: se você melhora uma delas, as outras tendem a piorar. Se você melhorar duas delas, a terceira com certeza vai piorar. E daí vem a confusão. Eu já vi gestores de loja super felizes dizendo: “Estou pagando super barato em um antifraude que quase não me dá chargeback” aí eu pergunto: “E como está sua taxa de aprovação?” Aí ele olha e descobre que está sendo negado 25% das suas vendas!

Antifraudes com baixo custo e baixo chargeback tendem a ter baixa taxa de aprovação. 

Por outro lado, se você tiver um antifraude que tem baixo chargeback e alta taxa de aprovação, possivelmente o custo da solução será alto. Na prática, o antifraude estará investindo muitos recursos (que vamos entender mais a frente) para garantir a assertividade do score. Soluções assim são úteis para produtos de ticket muito alto, ou com alta incidência de fraude como notebooks e celulares.

Por fim, se algum antifraude oferecer um serviço de baixo custo e com uma baixa taxa de negação, preocupe-se imediatamente com o nível de chargeback.

A melhor forma de analisar a performance de um antifraude é analisar as três métricas de performance sempre juntas. Não existe um número mágico para cada uma delas, pois dependendo do seu negócio, da sua estratégia, e do momento do seu ecommerce essas métricas podem variar. 

Apesar de não ser tema deste artigo, essas métricas valem inclusive para todas as variantes de soluções antifraude, incluindo soluções de autenticação, como o 3DS, ou de verificação de biometria facial. Nesses casos o chargeback reduzirá muito, então olho no custo e principalmente na taxa de autorização.

Na prática, o que vai fazer um antifraude ser melhor que outro é a qualidade do seu modelo de avaliação de risco. Um melhor modelo vai, com um menor custo, impedir o chargeback sem comprometer a taxa de aprovação.

 

Por dentro do modelo de um antifraude

Mas como funciona esse tal modelo em uma solução de antifraude? Tipicamente o modelo de antifraude tem duas etapas: 

  1. Análise automática e 
  2. Análise manual (ou mesa de análise). 

A análise automática é realizado através da (i) coleta de informações associadas a compra, como por exemplo, dados do comprador, itens do carrinho, experiência de navegação, dados de pagamento e (ii) enriquecimento dessas informações com dados proprietários do antifraude e dados externos de bureaus de crédito para (iii) ser processado pelo modelo de scoring. 

Um antifraude pode utilizar três tipos de modelos para analisar automaticamente uma compra:

  • modelos de regra: São os primeiros modelos de antifraude que surgiram. É composto basicamente por um grande conjunto de regras programáveis que coletam uma série de informações da compra e atribuem pontos para determinadas condições, tendo como output o score da compra. Por exemplo: Atribui-se pontos de risco para quem compra pela primeira vez, ao valor da compra e pela região do cartão de crédito. Pode existir uma regra que se um comprador estiver comprando pela 1a vez, o valor da compra for acima de R$1.000 e estiver usando um cartão emitido na Rússia o score de risco fica tão alto que a compra é negada. Esse modelo, além de bem intuitivo, quando bem calibrado por especialistas e sempre atualizado, traz bons resultados.
  • modelos de machine learning: Neste caso, o modelo recebe uma série de dados da compra, semelhante ao caso anterior e alimenta um modelo que é treinado para identificar padrões de compras fraudulentas. A vantagem é que esses padrões nem sempre são intuitivos para nós humanos, e são únicos por loja, o que melhora demais a assertividade. A desvantagem é que esses modelos podem demorar algumas semanas para “aprender” e ser performáticos, necessitando no início da operação de alguns cuidados.
  • modelos híbridos: Combinam o melhor do modelo de regras com o de machine learning para calcular o score, podendo ou não abrir a configuração e criação das regras para o lojista. Hoje em dia, muitos modelos de antifraude do mercado são híbridos e têm ótimos resultados.

Após  passar no modelo automático, é gerado um score da compra em poucos minutos ou até segundos: 

  • Se o score for bom (por exemplo o mesmo cliente comprando pelo quinto mês seguido na mesma loja e com o mesmo cartão) a transação é aprovada na hora. 
  • Se o score for ruim (por exemplo, alguém comprando 5 celulares com um cartão já identificado como fraudulento e entregando em um endereço onde já ocorreu fraude) a compra é recusada na hora. 
  • Mas existe um meio termo onde o score fica em uma zona cinza e o modelo automático não consegue ser assertivo. É o momento em que muitos antifraudes utilizam a análise manual. É usado para “desempatar” o modelo automático e conta com profissionais experientes que avaliam cada transação, podendo em certos casos até contactar o comprador. 

 

O impacto da análise manual

Para um antifraude, uma transação que envolve uma análise manual custa em torno de 10 vezes o custo de uma transação que foi decidida automaticamente. Assim, o antifraude calibra o percentual das transações que vai usar análise manual para não impactar o custo final do serviço para seus clientes. Existem antifraudes, que para entregar alta assertividade, usam análise manual para 15% das transações, enquanto que existem outros, que com o objetivo de entregar um preço altamente competitivo praticamente não usam análise manual e para evitar o chargeback, tendem a aprovar menos transações. É o caso já discutido do baixo custo, baixo chargeback que penaliza a métrica de aprovação.

Pelo alto custo e pela lentidão que a análise manual traz ao processo de aprovação de compra, as empresas de antifraude estão evoluindo sua tecnologia de detecção para reduzir a necessidade da análise manual. Alguns novos players de antifraude já oferecem soluções que dispensam a análise manual. Para esses casos, fica a recomendação de se verificar as três métricas de performance. 

Assim, entender como um antifraude utiliza a análise manual pode dar uma boa ideia de como será sua taxa de aprovação. 

 

Garantia de chargeback vale a pena?

Alguns antifraudes oferecem soluções que reembolsam o chargeback, chamada de garantia de chargeback. Pensando novamente naquelas três métricas, isso significa que a alavanca do chargeback vai para 0%. Então, o que na prática acontece, é que ou o serviço fica bem mais caro ou a taxa de aprovação piora muito. Outro ponto a considerar é que a empresa de antifraude vai estimar de forma conservadora um custo de reembolso de chargeback e vai precificá-lo no serviço. E se o chargeback real for acima do estimado, em poucos meses haverá uma reprecificação. Por todos esses motivos, na minha opinião, vale mais a pena o ecommerce arcar com o chargeback e negociar um bom preço por transação. 

 

Portanto, agora que você já tem um conhecimento bastante amplo sobre o mundo dos antifraudes para compras online, quando for escolher o do seu ecommerce, lembre-se de sempre analisar as 3 métricas de performance de forma conjunta, perguntar como funciona o modelo de antifraude e como ele se diferencia em relação aos concorrentes e por fim entenda como o antifraude faz uso de análise manual.

Categorias
Payments

Data Breach

data-breach

Quatro notícias de roubo de dados na semana

Pode parecer nada de mais, até por que estamos acostumados a receber tantas notícias ruins, que já parece não ter o mesmo impacto.

Nos últimos anos tivemos invasões e roubos de dados em diversas empresas note-americanas, desde grandes grande varejistas até empresas que cuidam de pagamentos. Havia uma expectativa de que o mercado protegeria melhor os dados de seus clientes, e provavelmente assim o fizeram. Entretanto, sabemos que a indústria da fraude é bem lucrativa e mantém ativos aqueles interessados em ganhar dinheiro com pouco esforço. Quando é difícil, ou quase impossível, invadir um grande banco de dados, alguns médios e pequenos ainda produzem resultados desastrosos.

Nesta semana tivemos a notícia da invasão na T-Mobile, onde invasores tiveram acesso aos dados pessoais de clientes potenciais que solicitaram os serviços da T-Mobile USA entre setembro de 2013 e setembro de 2015. O mais interessante nesta história é que o sistema invadido pertence a Experian, uma empresa que zela pela segurança de dados de outras empresas.

No dia anterior, foi revelado outro data breach, desta vez de uma empresa de cambio online. A FXCM informou que foi vítima de hackers que tiveram acesso a dados sensíveis de um “pequeno número” de contas. Entretanto, trata-se de 180.000 contas ativas.

Até mesmo a ABA, American Bankers Association, o grupo de lobby que tem assumido um papel de liderança em criticar varejistas relaxados na segurança dos dados, admitiu que endereços de email e senhas usadas para fazer compras ou registar-se para os eventos, através do seu carrinho de compras on-line, teriam sido comprometidos.

A notícia que mais me chamou atenção, foi a invasão da rede de hotéis de luxo de Donald Trump. Em uma nota muito bem preparada a empresa informa que “aparentemente” um “malware não autorizado” pode ter tido acesso a dados como, número dos cartões, data de validade e código de segurança.

Então você se preocupa com a segurança e toma todas as medidas possível para não ter problema, certo? Até você ligar, por exemplo, para o seu agente de viagem e informar, pelo telefone, todos os dados do seu cartão de crédito. Talvez sua agência de viagem não seja grande o bastante para atrair a atenção de fraudadores, mas se alguém decidir invadir, poderá encontrar milhares de dados de cartões de crédito guardados em um PC ou notebook, talvez em uma planilha eletrônica, provavelmente sem proteção alguma. Que tal?

Categorias
Data Breach Segurança

Invasão do Adult FriendFinder expões milhões de pessoas!

Cyber-attack

O site de namoro on-line Adult FriendFinder admitiu que seu banco de dados foi violado – impactando um número estimado de 4 milhões de membros, de acordo com vários relatos da mídia.

As notícias sobre a invasão e roubo de dados nas lojas Home Depot e Target tiveram certa repercussão, mas o acesso a dados “sensíveis”, de pessoas relacionadas ao um site cujo tema gera controvérsia, deverá chamar a atenção da mídia.

Não há nenhuma evidência concreta de que as informações de pagamento foram roubadas, mas parece que isso não está preocupando muito. O site lascivo é conhecido por seus 63 milhões de usuários que procuram relacionamentos casuais que são mantidos em segredo – e muitas vezes no lado de relacionamentos não-tradicionais (“grupos swinger, trios, e uma variedade de outros parceiros alternativos). Veja mais em: Adult FriendFinder Data Breach

Categorias
Payments

Visa Europa lança a “toquenização” no mercado europeu!

Visa Europa deve lançar um serviço de tokenização personalizado para o mercado europeu em meados de abril, em um movimento que abriria o caminho para o lançamento da Apple Pay em todo o continente.

Visa também anunciou planos de criar um serviço de pagamento global de pessoa-a-pessoa (P2P), permitindo transferências de dinheiro rápido entre os titulares de cartão através da utilização de apenas um número de telefone celular ou número de cartão Visa.

Veja mais em: Visa brings tokenization to Europe.

Categorias
Serviços Financeiros

E o lançamento continua…agora em Santo André!

Print

No dia 3 de março de 2015, à partir das 18:30 horas, estaremos na sede da ACISA – Associação Comercial e Industrial de Santo André, na Av. Quinze de Novembro, 442 – centro, para uma palestra e noite de autógrafo do lançamento do livro ” Do Escambo à Inclusão Financeira – A evolução dos meios de pagamento”.

Uma realização da Linotipo Digital e ACISA, com o apoio da Prefeitura de Santo André.