Protegendo programas de pontos de fidelidade contra fraudes: 5 dicas essenciais

Angel Grant

Muitos de nós finalmente estamos começando a planejar as tão esperadas viagens e férias — talvez a primeira oportunidade de viajar de verdade desde o início da pandemia. Talvez você esteja pensando em resgatar aquelas milhas aéreas ou pontos de hotel há muito tempo sem uso, que ficaram acumulando poeira em seus programas de fidelidade. Imagine a surpresa ao descobrir que seus pontos de fidelidade foram desviados por cibercriminosos que fraudaram ou comprometeram suas contas nesses programas.

Os programas de pontos de fidelidade já existem há algum tempo e são uma ótima ferramenta para atrair e reter clientes, mas atualmente estamos observando um aumento no número de criminosos que visam esses programas para comprometer contas. O motivo? Há MUITOS pontos de fidelidade não utilizados por aí: de acordo com a Loyalty Security Association, somente nos EUA, 45% das contas são consideradas inativas, o que significa que há cerca de US$ 48 trilhões em pontos não utilizados nas contas dos membros, em sua maioria sem monitoramento e talvez esquecidos. Isso é um prato cheio para os cibercriminosos, que consideram esses pontos negligenciados fáceis de comprometer e monetizar em benefício próprio.

Por que os criminosos têm como alvo os programas de fidelidade

Para os cibercriminosos, comprometer contas de pontos de fidelidade é um alvo fácil. Embora essas contas possam acumular milhares de dólares em valor, a maioria dos consumidores não as monitora tão atentamente quanto suas contas bancárias ou de outras instituições financeiras. Muitas contas são protegidas apenas por uma combinação simples de nome de usuário e senha e, como muitos consumidores reutilizam senhas, criminosos que possuem credenciais roubadas conseguem realizar ataques automatizados de bots para testar essas credenciais em contas de fidelidade com relativa facilidade. Depois de assumir o controle dos pontos, eles podem convertê-los em dinheiro, trocá-los por itens não rastreáveis, como cartões-presente, ou vendê-los na dark web, tudo isso com baixo risco. Além disso, os criminosos sabem que comprometer contas de fidelidade pode proporcionar não apenas ganhos financeiros de curto prazo, mas também acesso a dados e informações úteis para outras atividades fraudulentas, incluindo roubo de identidade por meio de informações de identificação pessoal, dados de viagens e hospedagens, padrões de compras e muito mais.

Na verdade, não são apenas os cibercriminosos que merecem atenção. Veja três tipos de fraude em programas de fidelidade aos quais você deve ficar atento:

• O resgate em duplicidade: Isso ocorre quando membros legítimos fraudam o programa ao fazer um “resgate em duplicidade”, ou seja, ao resgatar pontos simultaneamente por telefone e pela internet. Outra possibilidade é vincular o número da conta de fidelidade a uma compra que não fizeram para acumular pontos de forma fraudulenta. Os membros também podem fazer compras para gerar grandes quantidades de pontos de recompensa e, em seguida, cancelar a transação — mas não antes de resgatar os pontos por prêmios em dinheiro. Além disso, consumidores e membros legítimos de programas de fidelidade podem abusar das políticas ou regras de negócio, explorando brechas nos programas. Alguns exemplos são compartilhar cupons ou códigos promocionais, violar as políticas do estabelecimento ou solicitar vários cartões de crédito vinculados ao mesmo programa de recompensas para obter benefícios indevidamente.
• O golpe interno: Isso ocorre quando a fraude envolve pessoas de dentro ou funcionários da sua organização. Eles podem manipular o programa de fidelidade, por exemplo, atribuindo pontos não utilizados ou não resgatados à conta de outro membro ou transferindo pontos de forma fraudulenta entre contas.
• O cibercriminoso: De longe, a maior fonte de fraudes em programas de fidelidade é o cibercrime, e o golpe mais comum envolve a tomada de controle de contas (ATO) por meio de ferramentas automatizadas, usando técnicas como preenchimento de credenciais, formjacking ou simples phishing para obter acesso aos pontos acumulados e às informações de cartões de crédito armazenadas. O preenchimento de credenciais consiste em um agente mal-intencionado testar um grande número de credenciais comprometidas (como nomes de usuário e senhas vazados de outro site) no login de um site diferente. Como as pessoas reutilizam senhas em várias contas, essas táticas podem ser extremamente eficazes para acessar contas de fidelidade, permitindo que os invasores assumam o controle delas ao alterar nomes de usuário e senhas. O formjacking oferece aos hackers outras formas de assumir o controle de contas e consiste em sequestrar formulários on-line de programas de fidelidade para coletar e transmitir dados à medida que os consumidores preenchem suas informações pessoais. Isso entrega ao invasor as chaves da conta, permitindo que ele saqueie os pontos quando quiser ou use a conta para outros fins maliciosos.

Defesa e proteção de programas de pontos de fidelidade

Proteger seus clientes e seu programa de fidelidade contra atividades fraudulentas é fundamental, pois, se elas não forem tratadas adequadamente, podem prejudicar seriamente a confiança dos consumidores e a reputação da marca.

No entanto, as defesas cibernéticas tradicionais já não são robustas o suficiente para impedir ataques sofisticados a programas de fidelidade. Proteções obsoletas e políticas desnecessariamente restritivas, como tempos limite de sessão curtos, bloqueio geográfico, autenticação multifator e a exigência de que os membros resolvam CAPTCHAs, podem frustrar os usuários e são facilmente contornadas.

Gastando apenas alguns dólares, os invasores podem recorrer a serviços de baixo custo para resolver CAPTCHAs e contornar defesas básicas contra bots, além de adquirir listas mais precisas de credenciais para alvos em regiões geográficas específicas. Organizações criminosas podem mudar rapidamente de tática e metodologia quando os responsáveis pela defesa tentam impedir suas atividades, e manter-se à frente dos invasores torna-se um desafio quase intransponível sem ferramentas especializadas e equipes de segurança dedicadas.​

5 práticas recomendadas para proteger seu programa de fidelidade contra fraudes

Os programas de fidelidade recompensam os clientes mais valiosos da sua empresa e ajudam a fortalecer o relacionamento com eles. Diante do aumento dos ataques, proteger esses programas e as recompensas dos clientes que eles mantêm é mais importante do que nunca. As cinco práticas recomendadas a seguir podem ajudar você a se concentrar nos cenários de ataque mais comuns, sem dificultar desnecessariamente o acompanhamento ou o resgate de pontos pelos membros legítimos.

1. Evite fraudes na criação de novas contas. A fraude na criação de novas contas ocorre quando um fraudador cria contas em programas de fidelidade, muitas vezes em grande escala, usando identidades roubadas, sintéticas ou falsas de alguma outra forma. Com essas contas fraudulentas, os criminosos podem acumular e revender pontos, além de explorar indevidamente os programas de resgate. Certifique-se de que sua solução de defesa cibernética consiga detectar tentativas de criação de várias contas falsas por invasores usando ferramentas automatizadas ou técnicas manuais sofisticadas.
2. Reduza as tentativas de invasão de contas. Garanta que suas defesas possam detectar tentativas de invasão de contas por criminosos que pretendem roubar pontos ou explorar dados pessoais de clientes armazenados. Suas defesas devem ser capazes de se adaptar às mudanças nos padrões de ataque e se reconfigurar em tempo real. Monitore o tráfego do programa de fidelidade para compreender os padrões de entrada, usando sinais de telemetria para detectar comportamentos anômalos e determinar se o tráfego é proveniente de bots mal-intencionados ou de seres humanos.
3. Proteja as transações de resgate de recompensas. Garanta que os resgates de recompensas do programa de fidelidade e os pagamentos feitos com cartões de crédito vinculados à conta sejam legítimos, determinando com precisão a confiabilidade de cada transação e a identidade do cliente associada a ela. Proteja seu programa com ferramentas que usam inteligência artificial e aprendizado de máquina para monitorar o comportamento das transações e adote a autenticação adaptativa, que seleciona o processo de autenticação adequado com base no risco apresentado pela tentativa de login. Por exemplo, verificações de segurança adicionais podem ser necessárias para atividades de alto risco, como alterar senhas ou resgatar grandes quantidades de pontos. ​
4. Monitore abusos de políticas. Certifique-se de implementar medidas preventivas para limitar perdas financeiras decorrentes da exploração ou manipulação de cupons e promoções, descontos ou bônus por indicação, avaliando a confiabilidade em cada ponto de interação.
5. Entenda as ameaças internas. Os programas de fidelidade também estão sujeitos a ameaças internas. Monitore e avalie as atividades da equipe do site para identificar anomalias e limite o acesso dos funcionários aos dados do programa de fidelidade.

Ajude seus clientes a evitar fraudes com pontos de fidelidade

Além de proteger seu programa de fidelidade e seus ativos, ajude os participantes do programa a proteger seus pontos e recompensas contra fraudes compartilhando as dicas a seguir:

• Os membros devem monitorar seus programas de fidelidade da mesma forma que monitoram outras contas financeiras. Os programas de fidelidade podem acumular milhares de dólares em valor. Por isso, seus clientes devem verificar as contas regularmente para garantir que elas não tenham sido adulteradas.
• Aproveite as opções avançadas de segurança. Se disponíveis, incentive os membros a usar recursos adicionais de segurança, como a autenticação multifator. Cada camada adicional de segurança dificulta ainda mais que fraudadores comprometam uma conta.
• Tenha cuidado com e-mails e publicações em redes sociais que promovem viagens. Oriente seus clientes sobre como e onde você divulga promoções. Certifique-se de que eles entendam que ofertas de viagem que parecem boas demais para ser verdade provavelmente são falsas. Ofertas não solicitadas por e-mail e promoções que aparecem no feed provavelmente são tentativas de phishing criadas para roubar dados pessoais, incluindo credenciais de acesso e números de cartão de crédito. Antes de responder e fornecer qualquer informação, os membros devem confirmar se o endereço de e-mail do remetente é legítimo ou entrar em contato diretamente com o programa de fidelidade (e não pelo e-mail ou pela publicação em rede social que receberam) para verificar se a oferta ou solicitação é autêntica.

A F5 tem orgulho de ajudar as organizações a se protegerem contra fraudes em programas de fidelidade

Saiba como a F5 continua protegendo diversas organizações contra ataques automatizados e atividades fraudulentas que podem prejudicar as marcas ao visar contas de membros para roubar pontos de recompensa e milhas valiosos. Leia esta história de cliente para saber como o Distributed Cloud Bot Defense ajudou uma grande companhia aérea global a impedir ataques automatizados ao site que haviam comprometido as contas de seus passageiros frequentes.

Conheça as maneiras pelas quais podemos ajudar você a garantir que pontos de fidelidade, saldos de cartões-presente e outros valores armazenados permaneçam nas mãos de seus clientes — e não nas de criminosos — acessando: https://www.f5.com/solutions/ecommerce

Sobre o autor

Angel Grant

Mais publicações de Angel Grant