21°C 37°C
Santana do Piauí, PI
A segurança é vital para os meios eletrônicos de pagamento. Ao fazer um pagamento com cartão, usuários não têm dúvidas de que a transação se concretizará: o lojista receberá o valor da venda e o consumidor arcará com a quantia devida. Essa confiança é um dos pilares que trouxeram a indústria de cartões ao patamar que tem hoje: responsável pela movimentação de pelo menos um terço do produto interno bruto brasileiro.
Para que essa convicção seja tão firme que o cidadão nem se dê mais conta dela, o setor trabalha ininterruptamente. Prevenção a fraude, Cibersegurança e Riscos são áreas de intensa atividade dentro das empresas que integram o ecossistema de pagamentos, dedicadas a iniciativas e tecnologias que garantem que, seja lá onde, quando e como um pagamento seja feito com cartão, ele seja seguro.
As ferramentas para tal são inúmeras – e estão em constante evolução, tanto para os pagamentos presenciais como para o ambiente online. E os profissionais da área são unânimes em afirmar: não existe uma bala de prata que assegure todas as transações; para proteger de qualquer risco essas movimentações financeiras, tecnologias e protocolos precisam se sobrepor. Eles funcionam juntos, como um arsenal de segurança.
Panorama Abecs conversou com alguns dos mais destacados profissionais de segurança e prevenção a fraude em meios eletrônicos de pagamento, para entender em quais tecnologia se baseia, atualmente, esse arsenal.
Nas compras que acontecem presencialmente, a principal ferramenta de segurança hoje é o chip que está dentro do cartão. Esse dispositivo armazena informações e as faz trafegar pelo ecossistema de processamento da transação, tanto nos pagamentos “tradicionais”, em que o cartão é inserido no terminal de pagamento, como por aproximação.
O armazenamento e o tráfego das informações acontecem de forma criptografada. “A criptografia é a base da proteção das informações que uma empresa ou indústria deseja manter em segredo. Ela encapsula informações, mantendo-as em segredo. Apenas as empresas envolvidas no processamento daquela transação têm a chave para acessá-las”, esclarece Adriana Umeda, head de Risco da Visa do Brasil.
Na evolução da segurança dos pagamentos com cartão, nem sempre os dados trafegaram de forma criptografada. Ulisses Okamoto, superintendente de Prevenção a Fraudes do Itaú, explica que o chip contém os mesmos dados anteriormente gravados na tarja magnética do cartão, mas “com um sistema de proteção muito mais sofisticado, porque utiliza criptografia como alicerce para impedir o acesso e a cópia das informações”.
E essa criptografia é dinâmica. “Os dados de uma transação nunca são exatamente iguais aos de outra transação. Informações como valor, estabelecimento, data e hora mudam, entregando dados precisos ao emissor, a entidade responsável por aprovar as transações”, explica Lori Grandin, head Latam de Risco e Prevenção a Fraudes da SumUp.
Nas transações realizadas por aproximação, a leitura do chip e o tráfego de dados criptografados também estão presentes, tal qual em uma transação em que o cartão é inserido no POS. A proteção assegurada pelo chip é, portanto, a mesma, seja em uma transação “tradicional” ou em um pagamento por aproximação.
“Ambas as modalidades são seguras, com uma troca criptografada de informações que é basicamente a mesma”, conta José Santana, head de Cibersegurança do C6 Bank.
Ainda assim, há quem tenha receio de que transações sejam realizadas por aproximação sem que o portador perceba, como em shows, transportes públicos ou outros locais de aglomeração. Glauco Sampaio, superintendente de Segurança e Privacidade da Cielo, reforça que violar o protocolo de processamento e aprovação de uma transação contactless não é trivial, já que, além das análises de risco, a aprovação da transação depende também de uma forma certa de aproximar o cartão e de um tempo mínimo para processamento. “As tecnologias são efetivas na identificação de tentativas de fraude, tanto é que o índice de golpes bem-sucedidos por aproximação é tão baixo quanto o de transações com inserção do cartão na máquina”, diz o especialista.
Este relato de Panorama Abecs poderia terminar aqui, explicando como o chip eliminou a clonagem de cartões e reduziu drasticamente as fraudes. Mas a história, claro, é bem mais complexa, uma vez que as transações virtuais, em que o cartão não está fisicamente presente, tornaram mais intricados os métodos de autenticação do portador. Afinal, no universo online todo consumidor é anônimo… até que o arsenal de segurança dos cartões o identifique!
Uma jornada de compra online requer mais informações do comprador, que, no checkout, preenche cadastros com dados pessoais e de cobrança. Como o ambiente digital nem sempre é protegido por criptografia, essas informações podem ficar vulneráveis.
Segundo Umeda, da Visa, como os ataques cibernéticos são uma ameaça global e não há forma de garantir que o consumidor escolherá apenas estabelecimentos seguros para fazer suas compras, o ecossistema de cartões protege a si, ao consumidor e aos estabelecimentos comerciais, com soluções que identificam e mitigam ameaças de vazamento dos dados do cartão ou qualquer interceptação do fluxo da transação.
A tokenização das credenciais de pagamento é uma das tecnologias nas quais a indústria de cartões mais investe atualmente, especialmente no que diz respeito a estratégias antifraude. Umeda explica o porquê: “ao substituirmos os dados reais por equivalentes, eles perdem o valor para fraudadores, que podem até interceptá-los, mas jamais utilizá-los – trafegando de forma tokenizada, os dados não servem para nenhuma outra transação”.
O fluxo de pagamento se torna mais seguro, as bases de dados ficam protegidas e o varejista, além de ter um ambiente com menor propensão a fraude, ainda tem outros benefícios ao investir em um provedor de tokenização:
E se hoje cerca de 23% das transações com meios eletrônicos de pagamento são feitas online, essa porcentagem só tende a crescer, acompanhando a digitalização do consumo e o novo perfil do usuário. Conforme avança o uso dos cartões por canais remotos, a tokenização avança junto, afirma Okamoto, do Itaú. “É uma tendência natural, intrinsecamente ligada aos hábitos do consumidor, que usa cada vez mais os cartões para comprar online e tem adotado massivamente o celular como dispositivo de pagamento, especialmente com as carteiras digitais.”
A tokenização dos dados sensíveis de um pagamento é uma solução tão eficiente que a indústria oferece ao portador uma ferramenta para que ele também substitua as informações de seu cartão por dados equivalentes em uma compra online: o cartão virtual.
Criado a partir do aplicativo do emissor, o cartão virtual fornece número, vencimento e código de verificação temporários, válidos para uma única transação, para um curto período de tempo ou para ser usado em um único estabelecimento. Utilizando-o, o consumidor evita compartilhar sua credencial de pagamento “verdadeira” no ambiente digital.
Nem sempre o consumidor conhece essa ferramenta de segurança, ou se lembra de usá-la. Por isso, a indústria tem intensificado a comunicação sobre a solução conforme cresce a preferência pelo consumo online. Emissores que contam com base de clientes mais jovens – ou de maior fluência digital – já adotam alternativas como a emissão de plásticos sem número impresso, para que o usuário precise gerar um cartão virtual a cada transação online.
“Conforme a adoção dos canais digitais aumenta e o público se familiariza com o cartão virtual, o fluxo de geração e uso dessa ferramenta de segurança vai ficando mais objetiva e mais usual”, afirma Okamoto.
Santana complementa: “Não é só o consumidor que ganha ao preferir o cartão virtual em compras online. O instrumento também deixa o varejista menos exposto a transações fraudulentas realizadas a partir de dados vazados, que o levariam a assumir os gastos em um processo de contestação”.
A inteligência artificial tem papel central na prevenção a fraudes em pagamentos eletrônicos. Afinal, na fração de segundo que uma transação leva para ser concluída, só a máquina é capaz de analisar todas as variáveis envolvidas e, com assertividade, aprovar ou negar um pagamento.
Os modelos paramétricos de regras, que por décadas determinaram quando aprovar ou negar uma transação, evoluíram pautados em modelos neurais e machine learning. “Hoje, é a inteligência artificial que ranqueia quão arriscada é uma transação, com base em informações como o perfil de consumo, o histórico transacional do cliente e do estabelecimento, e uma infinidade de outros dados disponíveis”, explica Umeda.
E conforme os algoritmos tornam a análise mais precisa e veloz, o processo de compra se torna ainda mais fluido para o consumidor. Por isso, Sampaio reitera a importância da inteligência artificial não somente para a segurança das transações como para a redução da fricção na jornada de compra. “O objetivo da indústria de pagamentos é, sempre, aferir uma transação com o mínimo de interrupções para o cliente. Quanto mais silenciosa a tecnologia de segurança, melhor.”
A leitura biométrica sublinha uma evolução importante na segurança dos pagamentos: nesse processo, a autenticação do consumidor já foi baseada em algo que ele sabe (sua senha), em algo que ele tem (um token, por exemplo) e, com a biometria, em algo que ele é, sua impressão digital, face, voz ou íris.
Mas o uso da biometria como elemento de segurança nos pagamentos vai além das características físicas: a tecnologia foca também o comportamento do consumidor como insumo para analisar a validade de uma transação.
“A inclinação com a qual a pessoa segura seu smartphone, se digita usando uma ou as duas mãos, a velocidade em que mexe no teclado e no mouse do computador, a localização do dispositivo no momento da compra… Todos esses dados permitem identificar um consumidor de forma quase inequívoca”, conta Daniel Vilela, diretor de Novos Negócios da Mastercard. A identificação de quem está no comando da transação é, dessa forma, mais precisa. “A biometria comportamental é um elemento fundamental para combater o mau uso da tecnologia digital”, diz o executivo.
“Comportamentos fora do padrão registrado para o usuário emitem alertas de risco, evitando que criminosos em posse dos dados da vítima consigam efetivar a fraude. O comportamento que confere com o padrão, por sua vez, sugere que a transação seja legítima e, assim, ela pode ser aprovada sem que a jornada de compra seja interrompida”, complementa Gustavo Justi, gerente executivo de Prevenção a Fraudes da Elo.
Como a autenticação do portador é o grande desafio de uma transação online, quanto mais dados o emissor tiver para fazer essa validação com segurança, melhor. E é isso que o 3D Secure faz: o protocolo de segurança permite uma troca de informações minuciosa entre o estabelecimento comercial e o emissor do cartão. Com a tecnologia, o e-commerce coleta dados da transação, do cartão e do dispositivo usado para a compra e os envia ao emissor, que, então, tem elementos suficientes para analisar com precisão a autenticidade do portador – de forma silenciosa ou mediante um desafio.
Caso a análise feita pelo emissor resulte em uma pontuação baixíssima para a probabilidade de fraude, a entidade pode autenticar o comprador somente com os dados recebidos via protocolo de segurança. É a chamada autenticação sem fricção, baseada em risco. Se, ao contrário, a probabilidade de fraude for maior, o emissor pode enviar um código temporário ao portador, como um token no app ou um SMS, que o consumidor necessitará para concluir a compra.
Por autenticar um consumidor online com muita assertividade, muitas vezes de forma silenciosa, o 3DS é um protocolo no qual o setor aposta fortemente. Afinal, ele vai ao encontro do intuito do mercado de aprovar transações de forma cada vez mais fluida, sem interrupções ou atritos na jornada. “O protocolo 3DS traz para o mundo virtual a mesma segurança de compra que temos hoje no mundo físico, principalmente quando aliado à tokenização dos pagamentos”, afirma Vilela, da Mastercard.
Como características físicas únicas determinam, com assertividade, se o autor da transação é realmente o portador do cartão, a leitura biométrica hoje faz parte da jornada de uso de alguns cartões, especialmente em carteiras digitais. E como a biometria é validada já no processo de cadastro (no aplicativo do emissor do cartão, por exemplo), o pagamento pode ser concluído somente com a leitura biométrica, sem o manuseio de nenhum outro instrumento, deixando o fluxo de pagamento ainda mais ágil.
