Cinco dicas para combater fraudes em 2023

Angel Grant

Em um mundo cada vez mais digital, as tendências de fraude estão em constante mudança e evolução, e as ameaças a consumidores, fornecedores de comércio eletrônico e organizações de serviços financeiros aumentam não apenas em quantidade, mas também em sofisticação. Estima-se que o custo total das fraudes no comércio eletrônico ultrapasse US$ 48 bilhões em todo o mundo em 2023, ante pouco mais de US$ 41 bilhões em 2022. Há muitos motivos para esse aumento nos custos das fraudes, desde o crescimento dos pagamentos e das compras on-line devido à pandemia até a presença generalizada de malwares e bots que extraem informações de usuários da web, além de golpes de engenharia social que exploram vulnerabilidades humanas.

No mundo pré-digital, as fraudes exigiam planejamento cuidadoso e discrição, enquanto hoje as ferramentas necessárias para fraudar pessoas e empresas estão facilmente disponíveis online, reduzindo as barreiras de entrada. Com marketplaces virtuais, carteiras digitais e a automação contínua de tudo, os criminosos não só têm um alvo cada vez maior, como também contam com ferramentas e tecnologias sofisticadas para invadir empresas e atacar contas de pessoas físicas.

Confira nossas cinco dicas para combater fraudes em 2023 e fique por dentro das ameaças e técnicas mais recentes que os cibercriminosos usarão para atacar organizações de comércio eletrônico e serviços financeiros neste ano.

1. Alinhe e integre várias estratégias de segurança para combater fraudes com mais eficácia, sem prejudicar a experiência do cliente.
   
   Empresas de comércio eletrônico e organizações de serviços financeiros devem promover uma melhor colaboração entre suas equipes de segurança, gerenciamento de identidade e acesso do cliente (CIAM), detecção de fraudes e autenticação em toda a organização. Os criminosos podem explorar facilmente as vulnerabilidades introduzidas por equipes que trabalham de forma isolada e por estratégias de segurança que dependem excessivamente de técnicas de CAPTCHA e autenticação multifator (MFA). Esses mecanismos interrompem continuamente a experiência do usuário, muitas vezes sem considerar o nível de risco apresentado pela tentativa de login.
   
   Uma abordagem transparente e contínua de autenticação baseada em risco permite que empresas de comércio eletrônico e de serviços financeiros colaborem melhor entre várias equipes da organização e implementem uma estratégia de detecção de fraudes ágil, confiável e com baixo nível de ruído, sem afetar negativamente a experiência do usuário.
   
   
2. Expanda as estratégias tradicionais de prevenção a fraudes em todos os pontos de contato para incluir visibilidade e insights abrangentes ao longo de toda a jornada do cliente.
   
   Essa estratégia deve se concentrar em três áreas-chave frequentemente negligenciadas:
   
   
   • Comece pelo engajamento inicial no canal: Concentre-se nas atividades dos clientes desde o momento em que acessam um canal ou criam uma conta. Isso deve melhorar a visibilidade de ataques no lado do cliente como skimming digital ou formjacking, que são frequentemente usados para coletar credenciais e dados de cartões durante a abertura de novas contas, levando, em última instância, à invasão de contas e a fraudes.
     
     
   • Examine as integrações de APIs de terceiros: Além de aplicativos web e móveis, comerciantes e empresas de serviços financeiros também devem garantir que suas estratégias de segurança incluam a proteção de APIs. As APIs estão sujeitas aos mesmos ataques direcionados a aplicativos web, como explorações e abusos que resultam em violações de dados e fraudes, além de introduzirem riscos não intencionais decorrentes de integrações e ecossistemas de terceiros.
     
     
   • Analise o potencial de fraude em transações com cartão não presente (CNP): Os comerciantes que oferecem novos serviços, como pagamento por proximidade, compra on-line com retirada na loja (BOPIS) e compre agora, pague depois (BNPL), devem compreender os riscos envolvidos nessas transações e abordá-los em suas estratégias de prevenção a fraudes. Isso inclui obter insights sobre padrões de comportamento fraudulento e compartilhá-los em todos os canais.
     
3. Fique atento aos novos desafios de fraude amigável em um cenário de recessão.
   
   Um novo tipo importante de fraude amigável que os lojistas devem esperar que aumente durante uma recessão é a “falsa fraude amigável”, que ocorre quando criminosos criam identidades sintéticas para se passarem por clientes reais e, em seguida, realizam transações sem qualquer intenção de pagar pelos produtos adquiridos. Os autores desse tipo de fraude conseguem manipular e contornar as medidas de prevenção porque podem reutilizar facilmente informações de identidade roubadas e criar novas identidades sintéticas para abrir novas contas e evitar o bloqueio por uma lista de restrições. Essas práticas de fraude amigável podem incluir abuso de programas BNPL, golpes envolvendo pontos de fidelidade e reembolsos, além de fraude por estouro de limite.
   
   Proteja-se contra a abertura de novas contas com identidades sintéticas aproveitando insights de padrões biométricos comportamentais, aprimorados por aprendizado de máquina, para fornecer às equipes de segurança e prevenção a fraudes informações sobre contas comprometidas.
   
   
4. Prepare-se para a Diretiva de Serviços de Pagamento 3 (PSD3) da UE e suas novas regulamentações para pagamentos digitais.
   
   O cenário de ameaças, pagamentos e regulamentações para comerciantes e bancos mudou drasticamente desde a implementação inicial da Diretiva de Serviços de Pagamento, em 2018. Para se prepararem para as regulamentações mais rigorosas da PSD3, comerciantes e bancos devem fazer um levantamento dos novos serviços, canais e opções de pagamento que adotaram recentemente. Por exemplo, agora vocês aceitam carteiras digitais e pagamentos com criptomoedas? Quantas novas APIs, com diferentes formatos e fornecidas por terceiros, foram integradas aos seus sistemas e propriedades na web?
   
   Comerciantes e organizações de serviços financeiros precisam deixar de se concentrar apenas nos riscos de conformidade em suas atuais estratégias de API e autenticação. Eles devem, de forma proativa, antecipar e gerenciar todo o espectro de riscos de segurança e fraude que o ambiente moderno de APIs traz.
   
   
5. Prepare-se para ataques a APIs ocultas e à cadeia de suprimentos de JavaScript, bem como para a próxima versão do Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) 4.0
   
   À medida que as organizações ampliam seu ecossistema de terceiros e aumenta o número de scripts em seus sites, surgem novos possíveis pontos de vulnerabilidade que podem levar a ataques no lado do cliente, como skimming digital, formjacking e ataques Magecart. Um ataque de skimming digital ocorre quando um criminoso injeta um ou mais scripts maliciosos ou manipula um script existente em uma página ou aplicação legítima para realizar um ataque man-in-the-browser à cadeia de suprimentos de software. Esses ataques são difíceis de detectar, pois esses scripts são atualizados com frequência por terceiros, muitas vezes sem que haja um processo para que sua organização realize análises de segurança.
   
   Além disso, os novos requisitos do PCI DSS 4.0 se concentrarão na necessidade de monitorar e gerenciar bibliotecas JavaScript de terceiros executadas no navegador e incorporadas a sites de comércio eletrônico para viabilizar funcionalidades como iFrames de processamento de pagamentos, chatbots, publicidade, botões de compartilhamento em redes sociais e scripts de rastreamento. Embora a conformidade com os novos requisitos do PCI DSS 4.0 só seja obrigatória a partir de 2025, os ataques no lado do cliente já são cada vez mais comuns. Portanto, implemente as proteções reforçadas o quanto antes.
   
   As organizações não precisam apenas de visibilidade das bibliotecas JavaScript executadas em suas aplicações web; elas também precisam saber quais dados os scripts estão coletando para evitar violações de regulamentações de privacidade de dados, como o GDPR e a CCPA, e manter a conformidade com os novos requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.
   
   A maioria das organizações não tem controle e governança centralizados sobre o gerenciamento de scripts. Se um script de terceiros em seu site tiver uma vulnerabilidade e você não souber disso, não será possível corrigi-la. Os criminosos sabem que muitas organizações têm dificuldade para gerenciar, rastrear e proteger o volume, a abrangência e a escala dos scripts atualmente incorporados aos sites — e sabem como explorá-los em benefício próprio.

Conheça mais estratégias inovadoras para combater fraudes lendo o relatório da Aite Como prevenir fraudes on-line diante do crime cibernético organizado, e acesse nosso site para saber mais sobre as soluções da F5 para prevenção de fraudes on-line.

Sobre o autor

Angel Grant

Mais publicações de Angel Grant