Como identificar um mesmo dispositivo por trás de várias solicitações de empréstimo

Credores identificam um mesmo dispositivo por trás de várias solicitações de empréstimo vinculando-as por meio de um identificador do dispositivo, e não pelos dados que o solicitante digita. Uma solução de inteligência de dispositivos atribui a cada dispositivo um ID probabilístico construído a partir de sinais de hardware, software e conexão e, em seguida, acompanha quantas solicitações, identidades e resultados de crédito ficam associados a esse ID em um determinado período. Celulares compartilhados pela família, picos de solicitações, emuladores e dispositivos restaurados exigem regras próprias.

Pontos-chave

• Os dados informados pelo solicitante podem deixar passar solicitações vinculadas, porque nome, telefone e número de documento mudam de uma tentativa para outra, enquanto o dispositivo muitas vezes continua o mesmo.

• Um dispositivo vinculado a várias solicitações é um sinal de risco, não um veredito: celulares compartilhados pela família, onboarding assistido e quiosques também geram dispositivos legítimos com várias solicitações.

• As métricas úteis são quantas identidades distintas aparecem em um dispositivo, em que janela de tempo e como se comportaram os empréstimos anteriores contratados a partir desse dispositivo.

• Restauração de fábrica, reinstalação de apps, emuladores e randomização do navegador são as formas mais comuns de quebrar o vínculo com o dispositivo; por isso, detectar essas manipulações faz parte da vinculação por dispositivo.

• A vinculação por dispositivo funciona em conjunto com os dados do bureau de crédito: o bureau mostra as obrigações informadas por diferentes credores, enquanto os dados do dispositivo mostram as conexões dentro do próprio fluxo de solicitações do credor.

Por que os credores vinculam solicitações pelo dispositivo, e não pelos dados do solicitante?

Os credores vinculam solicitações de empréstimo pelo dispositivo porque o solicitante fornece os dados da solicitação e pode alterá-los à vontade, enquanto o dispositivo usado para solicitar é mais difícil de mudar sem deixar rastros. No acúmulo de empréstimos (loan stacking), nas identidades sintéticas e nas novas tentativas após uma recusa, os dados declarados costumam variar de uma solicitação para outra.

Um padrão comum é uma sequência de solicitações com pequenas alterações nos dados: um novo número de telefone, dois dígitos trocados no número do documento, outro e-mail, um nome de empregador ligeiramente diferente. A correspondência aproximada (fuzzy matching) aplicada aos campos do solicitante detecta parte dessas sequências, mas não as que são montadas com identidades totalmente diferentes, como na fraude de identidade sintética.

O dispositivo fica fora dos dados declarados pelo solicitante. Um celular ou computador mantém a maior parte de suas características de hardware, sistema operacional, software e conexão entre uma solicitação e outra, a menos que alguém as altere de propósito. Por isso, o dispositivo é uma chave de vinculação que os dados do solicitante não conseguem oferecer, e um complemento às verificações de identidade no combate à fraude cadastral.

Como uma solução de inteligência de dispositivos reconhece o mesmo dispositivo em diferentes solicitações?

Uma solução de inteligência de dispositivos reconhece o mesmo dispositivo comparando muitos parâmetros do aparelho e do seu ambiente e estimando a probabilidade de que duas sessões venham do mesmo dispositivo. O resultado é um ID de dispositivo probabilístico, que tolera mudanças em parâmetros isolados sem deixar de reconhecer o dispositivo.

Sozinho, um identificador armazenado é uma chave de vinculação fraca. Cookies e armazenamento local desaparecem quando os dados do navegador são apagados ou quando se usa uma janela anônima. Identificadores no nível do app também têm condições de redefinição documentadas: a referência do Android para ANDROID_ID informa que, no Android 8.0 e versões posteriores, o valor é definido pela chave de assinatura do app e pelo usuário, e pode mudar após uma restauração de fábrica.

Um ID de dispositivo probabilístico combina características de hardware, detalhes do sistema operacional e da sua compilação (build), software instalado, configuração do navegador e características da conexão, de modo que um valor alterado não cria um novo dispositivo. O ponto crítico é o limiar de correspondência. Se for permissivo demais, dispositivos diferentes se fundem em um único ID; se for rigoroso demais, um mesmo dispositivo se divide em vários IDs e o vínculo se perde. O funcionamento é explicado na nossa introdução ao device fingerprinting.

A análise da JuicyScore sobre o futuro do Device ID descreve três gerações de ID de dispositivo:

1. IDs baseados em dados do usuário, como e-mail ou número de telefone, que o solicitante pode alterar à vontade.

2. IDs estatísticos, como hashes de navegador e cookies persistentes, que podem mudar quando alguns parâmetros ou o próprio navegador mudam.

3. IDs de dispositivo probabilísticos, que estimam o quanto dois dispositivos são parecidos com base em muitos parâmetros e em suas combinações.

O ID de dispositivo probabilístico da JuicyScore, o JuicyDeviceID, é um modelo probabilístico de identificação de dispositivos projetado para retornar um único identificador estável entre diferentes navegadores e modos de navegação anônima de um mesmo dispositivo físico. A taxa de unicidade do JuicyDeviceID chega a 99% ou mais. Os cálculos do ID de dispositivo são feitos no servidor, e não no dispositivo do usuário, o que reduz o impacto de possíveis manipulações e a carga sobre o aparelho.

Dispositivos ligados a casos de fraude anteriores são investigados para identificar novos indicadores de risco e aprimorar os métodos de detecção. O serviço trabalha com mais de 65.000 parâmetros coletados de cada dispositivo e mais de 250 parâmetros usados no scoring de dispositivos, sem depender de identificadores diretos como nome, telefone ou e-mail.

Como acontece com qualquer identificador de dispositivo, os resultados dependem do ambiente (sistema operacional e navegador) e dos sinais disponíveis. Nosso comparativo de soluções de inteligência de dispositivos mostra como outros fornecedores abordam a identificação de dispositivos.

Os credores podem verificar onde um ID de dispositivo se posiciona nesse equilíbrio entre unir dispositivos diferentes e dividir um mesmo dispositivo com o teste dos 8 navegadores. Em um mesmo dispositivo físico, abra quatro navegadores no modo normal e os mesmos quatro no modo anônimo, e registre o ID de dispositivo que cada sessão retorna. Uma boa solução atribui as oito sessões a um único ID na grande maioria dos testes, embora não em todos, porque novas versões dos navegadores podem alterar brevemente o conjunto de sinais.

Quais sinais mostram que um mesmo dispositivo está por trás de várias solicitações de alto risco?

Os sinais que mostram que um mesmo dispositivo está por trás de várias solicitações de alto risco são contagens e combinações associadas a um único ID de dispositivo: quantas identidades distintas fizeram solicitações a partir dele, com que rapidez e com quais resultados. Nenhuma contagem isolada é conclusiva. É a combinação de vários sinais que separa um dispositivo arriscado de um que é apenas muito ativo.

Sinais que os credores costumam monitorar por ID de dispositivo:

• Identidades distintas por dispositivo: nomes, números de documento ou telefones diferentes enviados a partir do mesmo ID de dispositivo.

• Velocidade de solicitações: o número de solicitações a partir do mesmo ID de dispositivo em uma hora, um dia ou uma semana.

• Histórico de resultados: solicitações anteriores do mesmo dispositivo que foram recusadas, marcadas como fraude ou que terminaram em inadimplência na primeira parcela.

• Contexto declarado versus observado: uma cidade declarada que não corresponde ao fuso horário, às configurações de idioma ou à localização da conexão do dispositivo.

• Marcadores de manipulação: emuladores, máquinas virtuais, ferramentas de acesso remoto, root ou parâmetros de navegador randomizados no dispositivo.

• Infraestrutura compartilhada: vários dispositivos enviando solicitações pelo mesmo proxy, faixa de IP ou rede de hospedagem em um curto período.

A infraestrutura compartilhada responde a uma pergunta diferente da dos outros cinco sinais. Quando várias solicitações partem de uma mesma infraestrutura, cada uma pode vir de um dispositivo diferente, e o vínculo só aparece no nível da rede ou do cluster de dispositivos.

Como diferenciar um celular compartilhado pela família de uma fraude organizada em solicitações?

Tanto um celular compartilhado pela família quanto uma fraude organizada colocam várias identidades em um mesmo dispositivo; o que costuma diferenciá-los é o contexto em torno dessas identidades. O compartilhamento legítimo tende a mostrar poucas identidades, um dispositivo estável, uma localização coerente e solicitações espaçadas no tempo. Padrões associados à fraude organizada tendem a mostrar muitas identidades, intervalos curtos, marcadores de manipulação e maus resultados em empréstimos anteriores.

Compartilhar dispositivos faz parte do dia a dia em muitos mercados onde o crédito digital está crescendo. Vários moradores de uma mesma casa podem usar o mesmo smartphone e, no onboarding assistido, um agente ou um quiosque envia solicitações em nome dos clientes. Recusar todo dispositivo com várias identidades deixaria de fora solicitantes legítimos com pouco histórico de crédito que não têm outra forma de pedir um empréstimo.

Na Nigéria, vários membros de uma família, ou até várias famílias, podem compartilhar um mesmo smartphone. Como descreve o case da CashExpress, isso dificulta a identificação do tomador e aumenta o risco de solicitações de empréstimo repetidas a partir do mesmo dispositivo. A CashExpress (CashX) combina os parâmetros técnicos únicos do dispositivo com o número de solicitações de crédito nos últimos 1, 7 e 30 dias e um marcador NPL 90 Plus, e filtra até 25 pontos percentuais do risco potencial de fraude dentro do segmento de alto risco.

Três perguntas, feitas em conjunto, costumam bastar para diferenciar os dois casos: quantas identidades, com que rapidez e se o dispositivo está limpo. Dois solicitantes da mesma casa, com semanas de diferença e em um celular sem modificações, não têm nada a ver com doze identidades em uma única tarde a partir de um emulador.

Canais de agentes e quiosques precisam de regras próprias. Espera-se que um dispositivo em um canal assistido tenha muitas identidades; por isso, nesse caso, o sinal mais útil é o desempenho, ao longo do tempo, dos empréstimos originados a partir desse dispositivo.

Como os fraudadores tentam quebrar o vínculo com o dispositivo e que rastros deixam?

Os fraudadores tentam quebrar o vínculo com o dispositivo alterando o que ele informa, por meio de restaurações de fábrica, reinstalações de apps, emuladores, navegadores antidetecção ou fazendas de dispositivos. Cada técnica pode deixar seus próprios rastros; por isso, detectar a manipulação faz parte da vinculação de solicitações, e não é uma tarefa à parte.

• Restaurações de fábrica e reinstalações apagam os identificadores armazenados, mas não alteram o hardware. Um modelo de aparelho que está há anos no mercado e aparece sem nenhum histórico merece mais atenção, embora um celular de segunda mão possa mostrar legitimamente o mesmo padrão.

• Emuladores e máquinas virtuais podem gerar muitos dispositivos aparentes a partir de um único computador. Os rastros que a virtualização deixa são explicados no nosso artigo sobre detecção de máquinas virtuais.

• Randomizadores e navegadores antidetecção mudam parâmetros de uma sessão para outra. Quando parâmetros que normalmente são coerentes entre si deixam de ser, pode se tratar de falsificação de dispositivo (device spoofing).

• Dispositivos com root ou jailbreak permitem que os apps alterem os valores que o dispositivo informa. Saiba mais em detecção de jailbreak e root.

• Fazendas de dispositivos distribuem as solicitações entre muitos celulares reais, de modo que nenhum dispositivo acumula uma contagem suspeita. A vinculação passa, então, para o nível da infraestrutura e dos clusters.

O que o credor deve fazer quando uma nova solicitação está vinculada a solicitações ou inadimplências anteriores?

Um vínculo com solicitações anteriores deve mudar a forma de tratar a nova solicitação, mas não decidi-la sozinho. Um dispositivo com histórico de recusas ou inadimplência que agora apresenta credenciais novas justifica uma revisão ou uma decisão mais rigorosa. Um dispositivo com um empréstimo anterior pago em dia provavelmente pertence a um cliente recorrente.

Os vínculos por dispositivo funcionam melhor como insumos de um processo de decisão já existente: como gatilhos para revisão manual, como variáveis em modelos de fraude ou de risco de crédito e como base de regras específicas para clientes recorrentes. É no crédito recorrente que o valor fica mais evidente, porque um cliente que volta com um dispositivo conhecido e limpo representa um risco diferente de um solicitante “novo” cujo dispositivo está ligado a uma inadimplência anterior.

Em um piloto focado em empréstimos recorrentes nas Filipinas, a UnaFinancial desenvolveu um conjunto de marcadores no nível do dispositivo para o seu modelo antifraude. Mikhail Koromyslov, Diretor de Riscos da UnaFinancial: “A julgar pelos primeiros resultados após o lançamento do piloto, conseguimos desenvolver um conjunto de marcadores e variáveis abrangentes que enriqueceram o modelo antifraude da nossa empresa nas Filipinas. Isso ajudou a reduzir o nível de risco da carteira inicial de empréstimos recorrentes em vários pontos percentuais.”

Quais são as diferenças entre as principais formas de vincular solicitações de empréstimo?

Cada forma de vincular solicitações de empréstimo cobre parte do que as outras não conseguem cobrir; por isso, a maioria dos credores combina várias delas.

Em quais casos a vinculação por dispositivo é menos eficaz?

A vinculação por dispositivo é menos eficaz quando os dispositivos são compartilhados por natureza, quando os volumes são baixos demais para que as contagens tenham significado e quando as solicitações repetidas acontecem em outros credores. Em cada uma dessas situações, os dados do dispositivo continuam contribuindo, mas pesam menos na decisão.

• Canais assistidos e agências. Dispositivos de agentes e de funcionários têm muitas identidades por natureza, então as contagens por dispositivo descrevem o agente, e não o solicitante.

• Volumes de solicitações muito baixos. As contagens por dispositivo raramente se acumulam, e é possível que uma revisão manual já detecte as mesmas coincidências.

• Acúmulo de empréstimos em diferentes credores. Os dados do dispositivo mostram o próprio fluxo de solicitações do credor, ampliado apenas quando o fornecedor observa dispositivos em toda a sua base de clientes. Solicitações em outros credores aparecem por meio das consultas e das obrigações informadas ao bureau, e é aí que os dados do dispositivo e os do bureau se complementam.

• Fazendas de dispositivos. Quando cada solicitação vem de um celular real diferente, as contagens por dispositivo continuam baixas e o vínculo precisa ser buscado no nível da infraestrutura.

• Requisitos de proteção de dados. Dados de dispositivo, IP e cookies podem ser considerados dados pessoais em vários regimes de privacidade, e as regras de consentimento e retenção variam de mercado para mercado. Verifique-as com as equipes jurídica e de compliance antes de colocar em produção regras baseadas no dispositivo. O artigo Privacy by Design na prevenção a fraudes explica como limitar a coleta de dados pessoais influencia o desenho dos sistemas antifraude.

Perguntas frequentes

Como detectar se um cliente supostamente novo é, na verdade, um inadimplente que voltou com credenciais novas?

Verifique se o ID de dispositivo da nova solicitação corresponde a um dispositivo vinculado a uma inadimplência anterior. Um inadimplente pode trocar nome, telefone e documentos e, mesmo assim, solicitar a partir do mesmo celular ou computador. Combine a correspondência de dispositivo com os marcadores de manipulação, porque um dispositivo restaurado ou emulado é uma forma comum de esconder esse vínculo.

Quais ferramentas ajudam a detectar picos de solicitações vindas de dispositivos nunca vistos antes?

O mais eficaz é combinar uma solução de inteligência de dispositivos com um motor de regras antifraude. A camada de dispositivo reconhece muitas solicitações vindas de dispositivos sem histórico, ou de um mesmo dispositivo com várias identidades. O motor de regras define as janelas de tempo e os limiares. Um pico de muitos dispositivos novos ao mesmo tempo pode indicar emuladores, fazendas de dispositivos ou infraestrutura compartilhada.

Qual é a melhor forma de detectar padrões de alto risco em muitas solicitações dentro de uma janela de tempo curta?

Agrupe as solicitações por ID de dispositivo, por rede e por configuração do dispositivo em janelas de tempo móveis, e compare as contagens com a sua linha de base habitual. Um aumento repentino de dispositivos novos, configurações repetidas ou proxies compartilhados em poucas horas é mais fácil de perceber no agregado do que solicitação por solicitação. Revise os clusters sinalizados em bloco.

Um dispositivo com várias solicitações de empréstimo é sempre fraude?

Não. Famílias compartilham celulares e, nos canais assistidos, agentes e quiosques enviam solicitações em nome dos clientes. Várias identidades em um mesmo dispositivo se tornam um sinal de risco mais forte quando chegam em pouco tempo, vêm acompanhadas de emuladores ou outros marcadores de manipulação ou coincidem com inadimplências anteriores. Trate o vínculo com o dispositivo como um insumo da decisão, e não como uma regra de recusa.

A vinculação por dispositivo consegue detectar o acúmulo de empréstimos em diferentes credores?

Em parte. Os dados de dispositivo gerados pelo próprio fluxo de solicitações do credor detectam tentativas repetidas nesse credor, e alguns fornecedores de inteligência de dispositivos também observam dispositivos em toda a sua base de clientes, o que amplia a visão. Solicitações em outros credores também aparecem nas consultas e nas obrigações informadas ao bureau de crédito; por isso, os dados do dispositivo e os do bureau se complementam.

A vinculação por dispositivo exige dados pessoais?

A vinculação por dispositivo pode funcionar sem depender de identificadores diretos como nome, telefone ou e-mail. Ainda assim, dados de dispositivo, IP e cookies podem ser considerados dados pessoais em vários regimes de proteção de dados; por isso, os credores devem verificar os requisitos de consentimento, retenção e tratamento em cada mercado antes de colocar em produção regras baseadas no dispositivo.