Divergência de IP em fraude de cartão: sinal fraco
Uma divergência de IP em fraude de cartão de crédito é a situação em que o país ou a cidade para o qual um endereço IP é mapeado não corresponde ao endereço de cobrança de um cartão, e por si só é um sinal fraco, pois muitos clientes legítimos a provocam todos os dias. Trate-a como uma entrada de uma decisão de risco, não como um veredito.
A tentação de bloquear de imediato diante de uma divergência é compreensível: é barata de calcular, parece intuitiva e é fácil de explicar a uma parte interessada. O problema aparece na taxa de falsos positivos. Qualquer loja com clientes internacionais, compradores móveis ou compradores atentos à privacidade recusará pedidos reais se a regra for rígida demais, e os fraudadores que ela pretende pegar simplesmente a contornam.
Por que o endereço de cobrança e a localização do IP divergem
A geolocalização de IP descreve a rede à qual um endereço pertence, não a pessoa que o usa, e é por isso que os dois divergem com tanta frequência para compradores honestos. As causas inocentes mais comuns são:
- Redes móveis. Um celular em conexão de dados móveis frequentemente recebe um endereço cuja localização registrada é um gateway da operadora em outra cidade ou região. A consulta de operadora mostra a operadora por trás desse endereço, mas é uma resposta em nível de rede e não diz nada sobre o assinante individual.
- VPNs e ferramentas de privacidade. VPNs corporativas, VPNs de consumo e serviços de relay colocam o usuário atrás de um endereço de saída em outro país. Usar uma é legal e comum.
- Viagens e expatriados. Alguém de férias ou trabalhando no exterior ainda tem um endereço de cobrança em seu país de origem.
- Presentes e contas compartilhadas. Um comprador em um país pagando com um cartão emitido em outro é rotina no comércio internacional.
Independentemente do usuário, o próprio banco de dados tem limites. A precisão em nível de cidade é muito menor que em nível de país, como explicamos em por que a precisão da geolocalização de IP por cidade é limitada, então uma divergência na granularidade de cidade costuma ser apenas ruído.
Onde uma divergência carrega informação
O sinal melhora quando você deixa de perguntar "esses dois lugares são diferentes?" e passa a perguntar "que tipo de rede é esta?". Uma divergência somada a um endereço de datacenter, uma saída Tor ou uma origem abusiva conhecida é muito mais interessante que uma divergência vinda de uma rede residencial ou móvel normal. A consulta de IP do ipto retorna is_vpn, is_tor, is_abuser e is_datacenter junto com país, cidade, ASN e org, então uma única requisição dá tanto a localização quanto o contexto da rede. Você pode inspecionar um endereço manualmente com o verificador de VPN, Tor e proxy.
A magnitude também importa. Um cartão da Alemanha usado na Áustria é uma história diferente de um cartão da Alemanha usado de um endereço em um país para o qual o cliente nunca enviou nada, com uma conta recém-criada e um e-mail descartável. A divergência é o mesmo booleano; o risco não é.
Sinais que vale combinar com ela
Boas decisões antifraude vêm de vários sinais independentes apontando na mesma direção. Ao lado do IP, considere:
- Qualidade do e-mail. Domínios descartáveis e domínios sem registros MX funcionais são comuns em contas descartáveis. O verificador de e-mail informa os resultados de sintaxe, MX e domínio descartável separadamente.
- Plausibilidade do telefone. Um número malformado, ou um telefone fixo fornecido onde se precisa de um celular para verificação por SMS, merece nota.
- Detalhes do cliente. Um User-Agent que se identifica como bot ou ferramenta de automação, ou que contradiz o restante da sessão, é uma verificação extra barata.
- Seus próprios dados. Histórico de pedidos, velocidade de tentativas por cartão, mudanças de endereço de entrega e registros de chargeback costumam ser mais fortes do que qualquer coisa que uma consulta externa possa oferecer, e o ipto não os fornece.
O verificador de pontuação de fraude combina os sinais de IP, e-mail, telefone e User-Agent em uma única nota de 0 a 100, com detalhamento por sinal, o que é uma forma conveniente de ver como uma divergência se parece ao lado de todo o resto. Qualquer entrada pode ser omitida; sinais ausentes são deixados de fora em vez de contados como limpos.
Lidando com uma divergência na prática
Use respostas graduais em vez de um bloqueio binário. Uma divergência sem outros sinalizadores pode passar sem interferência ou ser registrada para análise posterior. Uma divergência somada a um ou dois sinais adicionais é boa candidata a atrito, como 3-D Secure, um código de uso único ou um breve atraso para revisão manual. Reserve recusas definitivas para combinações raras entre clientes reais, como uma saída Tor, um e-mail descartável e um User-Agent de bot no mesmo pedido.
Também ajuda medir. Registre os sinalizadores de IP em cada pedido e depois compare as taxas de chargeback e de fraude confirmada entre pedidos com divergência e sem divergência no seu próprio tráfego. Muitos comerciantes descobrem que a divergência isolada mal altera a taxa, enquanto o tipo de rede a altera de forma considerável, e esses dados permitem definir limiares que se ajustam aos seus clientes em vez de copiar uma regra genérica. Como a geolocalização e os dados de ameaças mudam, revise os limiares periodicamente; o ipto atualiza seus feeds de ameaças a cada 6 horas e seus conjuntos de dados de IP e ASN diariamente.
Por fim, seja claro com os clientes quando acrescentar atrito. Uma mensagem que explica uma etapa de verificação converte muito melhor do que uma recusa silenciosa, e evita que bons clientes que por acaso estavam em uma rede de hotel desistam.