A fraude oculta nas inscrições de e-mail

Os comerciantes de comércio eletrônico conhecem os custos de tempo, receita e estoque de estornos ilícitos.

Para muitos vendedores, entretanto, o dano começa com novas contas. Os fraudadores organizados podem se inscrever centenas de vezes, utilizando endereços de e-mail válidos, mas falsos.

“Essas contas falsas estão sendo criadas para fins como testes de cartão com transações de pequeno valor para ver se o número é válido antes de tentar uma transação maior”, disse Diarmuid Thoma, chefe de fraude e estratégia de dados da AtData, um serviço de verificação e validação de e-mail.

Estornos

O principal risco para lojas de comércio eletrônico vem de estornos.

Quando o titular do cartão contesta uma transação fraudulenta, a loja perde a venda, o produto, os custos de envio e muitas vezes incorre em taxas adicionais dos processadores.

Disputas repetidas podem até comprometer o relacionamento da empresa com seu processador de pagamentos.

Um vendedor pode se sentir desamparado, pois o processador autorizado a transação em primeiro lugar, mas responsabiliza as lojas pela aceitação de números de cartões roubados.

Thoma e outros especialistas em fraude por e-mail acreditam que endereços de e-mail falsos costumam ser onde o problema começa.

Abuso de cupom

Uma segunda forma de fraude baseada em e-mail geralmente aparece em dados de marketing de comércio eletrônico.

Os fraudadores usam endereços de e-mail falsos, mas válidos, para criar contas em grande escala e extrair valor promocional.

Scripts automatizados enviam milhares de inscrições, coletam descontos de boas-vindas e abandonam as contas assim que o incentivo é resgatado.

“Um cupom tem valor monetário e, quando feito em grande escala, torna-se um negócio altamente lucrativo para usar e revender”, disse Thoma.

As perdas decorrentes do abuso de cupons são enormes, chegando a US$ 89 bilhões por ano, dependendo da fonte, e provavelmente impactando a maioria das empresas de comércio eletrônico que oferecem descontos promocionais.

Contas Falsas

Assim, endereços de e-mail falsos facilitam testes de cartões de pagamento roubados e coleta de promoções.

Este tipo de comportamento pode ser relativamente difícil de detectar, porque “cerca de 98% (dos endereços de e-mail utilizados), mesmo os fraudulentos, serão válidos”, disse Thoma, “porque o fraudador precisa que eles sejam válidos” para receber um cupom e concluir uma compra.

Por outras palavras, a fase inicial deste tipo de fraude no comércio eletrónico muitas vezes parece idêntica à dos compradores bem-intencionados. No momento em que aparece o primeiro estorno, o dano já existe há semanas.

Por outro lado, oferece às empresas uma defesa relativamente simples: validação de e-mail.

Padrões de conta

A criação de contas falsas em grande escala começa com endereços de e-mail que seguem padrões reconhecíveis, permitindo que os fraudadores gerem milhares de variações enquanto contornam as verificações básicas de validação.

Por exemplo, aqui estão três padrões comuns.

Caindo, onde um fraudador reescreve um único endereço subjacente muitas vezes.

• exemplo@exemplo.com
• ex.ample@example.com
• exemplo@exemplo.com
• ex.ample+new@example.com

Pequenas alterações, como caracteres adicionados ou diferenças de formatação, permitem que cada inscrição pareça única, ao mesmo tempo que encaminha mensagens para a mesma caixa de entrada.

O Tumbling é particularmente eficaz para evitar controles de contas duplicadas porque cada endereço passa pela validação padrão.

Algaraviada e-mails são endereços gerados por máquina que parecem aleatórios, mas seguem estruturas automatizadas e consistentes.

Os malfeitores criam essas contas em grandes lotes com intervalos de segundos ou minutos entre si. Thoma descreveu ter visto muitos e-mails sem sentido chegando simultaneamente, no mesmo dia e horário.

Enumeração depende da geração de um grande número de endereços semelhantes, muitas vezes baseados em uma raiz compartilhada. “Eles são como usuário1, usuário2, usuário3, nem sempre em sequência”, disse Thoma. “Poderia pular para 10, 15, tanto faz.”

Esses endereços são fáceis de criar automaticamente e difíceis de sinalizar individualmente, especialmente quando espalhados por tempo, domínios ou comerciantes.

Identificação

Cada uma dessas técnicas produz resultados válidos e entregável endereços de e-mail, e é por isso que a validação básica muitas vezes falha em impedi-los.

Até mesmo o monitoramento desses padrões pode produzir falsos positivos. O comportamento dos consumidores legítimos pode parecer automatizado durante eventos de vendas, lançamentos de produtos ou integração em massa.

Portanto, a detecção de padrões funciona melhor quando combinada com sinais adicionais, como idade da conta, consistência do nome, alinhamento geográfico, comportamento do dispositivo e histórico de transações.

O objetivo não é bloquear contas com base num único indicador, mas isolar a fraude organizada antes que as perdas se transformem em estornos.

Prevenção

A fraude costuma ser uma questão de escala, o que é bom para operações de comércio eletrônico muito pequenas. Os criminosos não estão cientes ou veem pouco potencial no roubo.

Grandes varejistas online, entretanto, podem querer investir em validação avançada de e-mail no momento do envio. A validação nesta fase normalmente custa alguns centavos e, quando combinada com regras de negócios razoáveis, deve reduzir a fraude.