JuicyScore: extensão do scoring antifraude e da autenticação de dispositivos com uma abordagem generalizada de cluster-grafo

Ataques distribuídos e fazendas de fraude ampliaram os requisitos dos sistemas antifraude modernos: já não basta avaliar um dispositivo individual ou a infraestrutura em que ele opera. É igualmente importante entender como sessões, dispositivos e outras entidades estão conectados – e qual é a probabilidade dessas conexões.

Os sistemas maduros enfrentam esse desafio ampliando sua funcionalidade. A análise começa pelo dispositivo, pelo comportamento do usuário e pelo ambiente técnico. Esses sinais são então usados para identificar relações prováveis entre sessões, dispositivos e outras entidades e para construir contexto em nível de cluster. No nível seguinte, esse contexto é aplicado a investigações, alertas, reforço do scoring e outros cenários operacionais de antifraude.

Nenhuma camada substitui a anterior: cada uma acrescenta contexto e fortalece a proteção. Neste artigo, explicamos como essa abordagem é implementada na JuicyScore e qual é o papel da análise de cluster-grafo dentro dela.

O antifraude já não é apenas uma função técnica – hoje é uma vantagem competitiva importante para os negócios on-line

Há muito tempo o antifraude deixou de ser um simples conjunto de regras e se tornou um fator mensurável da resiliência dos negócios on-line. Para entender a dimensão do desafio, basta olhar para as pesquisas do setor. Segundo a ACFE, as organizações perdem cerca de 5% de sua receita para fraudes. A PwC aponta que 46% das empresas em todo o mundo foram vítimas de crime econômico entre 2020 e 2022. Só no Reino Unido, o custo da fraude para a sociedade foi estimado em 14,4 bilhões de libras em 2023–2024. A escala da automação também é significativa: de acordo com a Akamai, aproximadamente 42% do tráfego web corresponde a sessões automatizadas, e 65% desses bots são classificados como maliciosos.

Nesse contexto, aplica-se um princípio simples: quanto mais camadas de proteção economicamente justificadas um sistema tiver, mais resiliente ele será. Essa também deve continuar sendo a direção em que o setor de antifraude evolui, ao lado da adesão contínua a requisitos de compliance, normas e certificações.

Como a JuicyScore constrói um modelo de proteção em várias camadas

A JuicyScore constrói seu modelo antifraude em torno de múltiplos parâmetros e preditores combinados em várias camadas de análise. A camada central é o scoring antifraude, que retorna um score de risco que reflete o nível de risco esperado.

A camada seguinte é a autenticação probabilística de dispositivos, patenteada. Ela estima a probabilidade de que sessões diferentes pertençam ao mesmo dispositivo e oferece um nível controlável de confiança de que as sessões pertencem ao mesmo contexto de dispositivo quando a probabilidade de associação é alta.

Essa lógica é implementada por meio do parâmetro JuicyDevID, que fornece autenticação de dispositivos com unicidade de 99,5–99,9%+ em tráfego limpo e ajuda a reduzir erros de autenticação. Ao mesmo tempo, o sistema é resistente a uma ampla gama de ruído de base: trocas de navegador, modos de navegação privada, spoofing e modificação de APIs do navegador, redefinição das configurações do dispositivo, mudanças de geolocalização, além da manipulação de características de desempenho, armazenamento, topologia de rede e artefatos gráficos.

A abordagem, patenteada internacionalmente, considera uma ampla gama de sinais e fatores de ruído e emprega diversos métodos matemáticos, do gradiente descendente à associação baseada em clusters e às redes neurais de autoaprendizagem. Vale destacar que combinar um alto nível de unicidade com a capacidade de considerar uma gama muito ampla de possíveis fatores de ruído permite minimizar tanto os erros do tipo I quanto os do tipo II. A alta resistência ao ruído e a alta unicidade aumentam significativamente o poder informativo das conclusões estatísticas e das métricas calculadas com base no JuicyDevID.

Além disso, a JuicyScore e o JuicyID já incluem há bastante tempo outra camada, com unicidade de 70–80%+: o browser hash.

Nossos produtos continuam evoluindo, o que torna útil introduzir camadas adicionais de proteção e filtragem. No nosso caso, trata-se do JuicyClusterID, que oferece associação ou unicidade de sessões no nível de 90–95%+. A abordagem combina o método e o mecanismo patenteados usados no JuicyDevID probabilístico com técnicas matemáticas de conhecimento público, ao mesmo tempo que reduz o limiar de unicidade e precisão e amplia o contexto disponível. Como especificado na patente, as relações entre sessões podem ser identificadas não apenas pelo contexto do dispositivo, mas também por padrões comportamentais ou perfis de risco. O cálculo segue um modelo de sessão para um conjunto de sessões (session-to-array of sessions).

O método e o mecanismo patenteados não se limitam à análise de um único dispositivo. Eles avaliam a probabilidade de relações entre descritores de dados originados de diferentes sessões on-line, contextos e conjuntos de fatores de ruído. Quando a probabilidade de associação é alta, essas sessões podem ser atribuídas ao mesmo dispositivo ou a dispositivos muito semelhantes; em níveis de associação mais moderados, podem ser atribuídas a um grupo ou cluster de dispositivos ou sessões.

Vale observar que essas duas áreas – device intelligence e gestão de risco digital – são desenvolvidas ativamente na JuicyScore desde 2015, e o número de tecnologias de associação deve crescer de forma significativa em um futuro próximo. Também estamos preparando outras soluções nessa área para lançamento em versões futuras das APIs da JuicyScore e do JuicyID. Sua implantação no ambiente de produção dependerá da evolução dos riscos digitais e do surgimento de cenários de mitigação relevantes.

A evolução da abordagem de cluster-grafo

Para entender o papel da camada de clusters, é útil observar como os sistemas antifraude chegaram historicamente a esse ponto. As primeiras abordagens antifraude eram construídas em torno de sinais individuais: endereço IP, número de telefone, parâmetros do formulário, dispositivo e comportamento na página.

Isso funcionava bem enquanto a fraude permanecia relativamente simples e se apoiava em indicadores recorrentes. As primeiras referências a abordagens baseadas em grafos e clusters na análise antifraude apareceram aproximadamente entre 1999 e 2004, em pesquisas sobre fraude em crédito, relações entre participantes de uma transação e detecção de estruturas recorrentes na atividade fraudulenta. Um contexto mais consolidado de grafos e quadrilhas de fraude surgiu entre 2005 e 2010, quando o foco passou da transação individual para redes de transações, participantes, dispositivos e canais relacionados.

Os métodos baseados em grafos e clusters ganharam mais protagonismo na fraude on-line e no antifraude em fintechs entre 2013 e 2018, impulsionados pela adoção generalizada de sinais em nível de dispositivo, pela automação, pelos ataques entre produtos e pela fraude baseada em infraestrutura. A partir de 2018, a análise de grafos e clusters se tornou cada vez mais uma camada padrão nos sistemas antifraude maduros, ampliando o foco do scoring pontual para a análise da infraestrutura conectada, das ondas de atividade e das relações entre dispositivos.

Funcionalidades da JuicyScore

A abordagem é implementada como um framework de várias camadas. Na primeira etapa, são coletados sinais técnicos e comportamentais de cada sessão, incluindo parâmetros do dispositivo e do navegador, características de rede, idioma, cliques, anomalias do ambiente e outro contexto de sessão. O nível de ruído é avaliado separadamente por meio de marcadores de automação, acesso remoto, atividade de botnet, dispositivos rooteados, redefinições de fábrica, scripts suspeitos e outros sinais.

Em seguida, os sinais probabilísticos são usados para estabelecer uma autenticação persistente de um dispositivo ou de um grupo de dispositivos relacionados – não como uma determinação absoluta, mas como um nível controlável de confiança de que as sessões provavelmente pertencem ao mesmo contexto de dispositivo.

As três camadas de associação da JuicyScore permitem analisar a atividade em diferentes níveis de precisão e refinar progressivamente as anomalias identificadas.

Por exemplo, se os dispositivos repetidos já identificados pelo JuicyDevID com unicidade de 99,5–99,9%+ forem retirados do fluxo de tráfego, o tráfego restante pode ser analisado com mais profundidade em busca de picos e segmentos suspeitos usando browser_hash e JuicyClusterID, que opera em formato de sessão para um conjunto de sessões.

O time da JuicyScore usa esses segmentos para continuar refinando os modelos de associação: clusters significativos do JuicyClusterID ajudam a refinar o JuicyDevID, enquanto segmentos com valor alto de browser_hash ou com scores de risco elevados ajudam a refinar o JuicyClusterID. Dispositivos repetidos e clusters já identificados são progressivamente excluídos da análise para identificar novas áreas de atividade conectada.

Atualmente, as variáveis baseadas na abordagem generalizada de cluster-grafo estão disponíveis na seção de produção Advanced Parameters da API16, lançada em 2024, e da API17, lançada em 2025. Elas também serão incluídas em todas as versões seguintes da API da JuicyScore.

Segundo nossas estimativas, seis variáveis associadas à análise generalizada de cluster-grafo respondem por 7–25% do poder informativo total da API. Ao mesmo tempo, um nível comparável de poder informativo pode ser alcançado por meio do scoring antifraude e dos dez índices IDX1–IDX10, que também são uma forma de scoring. Deixamos os clientes livres para escolher o formato mais adequado de uso dessas ferramentas.

Marcadores de ruído: os sinais de automação e randomização que importam

Para avaliar automação, randomização e ruído artificial, a JuicyScore usa uma ampla gama de marcadores técnicos, entre eles:

• Indicadores de randomização e mascaramento de ambiente – Randomizer issue, Canvas blocker, TLS randomizer, Limited Noise Randomizer, Is Private mode;
• Anomalias de fontes e de User-Agent – Suspicious Fonts, Number of fonts anomalies, UserAgent Structure Issue;
• Indicadores de automação e atividade de bots – Botnet, Number of bot behaviour anomalies;
• Indicadores de ambientes incomuns ou modificados – Remote access, Factory reset, Rooted device, LockDown mode, Virtual Machine;
• Indicadores de interferência ou modificação artificial do ambiente – Pixel stuffing, Number of injections, Honeypot detected.

Esses são apenas parte do conjunto de sinais usado para avaliar o contexto técnico e o nível de ruído de uma sessão.

Hierarquia do valor dos sinais

Ao mesmo tempo, é importante manter a hierarquia correta dos sinais: a camada de clusters complementa, e não substitui, o JuicyDevID resistente ao ruído nem a camada central de scoring antifraude:

• O scoring antifraude e os índices IDX1–IDX10 das principais anomalias antifraude continuam sendo a camada preditiva primária;
• A autenticação probabilística de dispositivos resistente ao ruído permanece uma das camadas técnicas mais sólidas;
• Os marcadores de cluster oferecem contexto operacional adicional.

Isso não diminui o valor da camada de clusters. Pelo contrário, esclarece seu papel: os marcadores de cluster não têm a finalidade de substituir o scoring antifraude central, mas de oferecer contexto operacional adicional para a cauda de risco mais “pesada” do tráfego.

Onde os clusters entregam mais valor

Na prática, a camada de clusters é especialmente útil em alguns cenários específicos:

1. Investigações. Um cluster transforma uma solicitação individual em um episódio mais amplo e ajuda a identificar novos padrões para a autenticação probabilística de dispositivos;
2. Modo de ataque. Durante um ataque prolongado, a filtragem pode ser temporariamente intensificada para clusters suspeitos;
3. Reforço do scoring. Se o marcador de dispositivo repetido não é acionado, mas o cluster apresenta um valor extremo, isso pode ser tratado como uma classe de risco separada;
4. Bloqueio de fazendas de fraude. Redes de dispositivos exigem mais do que regras pontuais: a análise de cluster-grafo pode ajudar a mitigar esse tipo de risco;
5. Alerta antecipado. O risco pode ficar visível não em uma única solicitação, mas em toda uma onda de atividade.

Boas práticas

A camada de clusters deve ser usada com cuidado, como contexto de risco e não como mecanismo de rejeição automática. Os limiares devem ser diferentes para instituições de microfinanças, bancos, seguradoras, serviços de apostas, companhias aéreas e outros negócios on-line.

A dinâmica é um sinal-chave: o crescimento da atividade ao longo de um número definido de dias, a expansão para novos verticais de negócio e as solicitações sincronizadas em várias empresas. Isso fortalece o scoring, a autenticação de dispositivos e a tomada de decisão operacional.

O setor de antifraude segue uma trajetória clara: da avaliação de sinais individuais e de infraestrutura para a avaliação das relações entre sinais e sessões. O scoring responde à pergunta de quão arriscada é uma solicitação ou sessão. A autenticação probabilística de dispositivos indica se estamos lidando com o mesmo dispositivo. A análise de cluster-grafo fortalece ainda mais essas duas primeiras camadas.

Nenhuma dessas camadas substitui a outra. Um sistema antifraude maduro as combina em uma única arquitetura, na qual cada camada trata da sua própria classe de riscos ao mesmo tempo que reforça as demais. O resultado é uma arquitetura antifraude madura, capaz de operar com eficácia tanto em condições normais quanto durante ataques distribuídos complexos.