Fraud Ring

O que é um fraud ring?

Um fraud ring é um grupo coordenado de fraudadores que aplica o mesmo esquema em muitas contas, propostas ou transações e que, em geral, compartilha dispositivos, infraestrutura de rede, dados de identidade e métodos. No mercado de crédito, um fraud ring costuma aparecer como um conjunto de propostas vinculadas por atributos técnicos e comportamentais em comum, e cada uma delas pode parecer aceitável isoladamente.

O termo abrange níveis de organização muito diferentes: desde algumas pessoas que compartilham um dispositivo e uma lista de identidades comprometidas até operações estruturadas, com divisão clara de tarefas. Visto de fora, é difícil saber quem faz parte do grupo. O que o credor enxerga é a coordenação nos dados, e por trás dela podem estar organizadores, proponentes recrutados e pessoas cujas identidades foram usadas sem o seu conhecimento.

Um fraud ring também é chamado de rede de fraude ou quadrilha de fraude. O termo relacionado collusion ring (rede de conluio) costuma designar um caso mais restrito, em que os integrantes do grupo fazem transações entre si.

Como um fraud ring opera?

Quem faz o quê dentro de um fraud ring?

Os fraud rings maiores dividem o trabalho. Alguns integrantes obtêm dados de identidade ou compram ferramentas por meio de canais de fraude como serviço, outros preparam contas envelhecidas com antecedência por meio de account farming, outros enviam as propostas, e os laranjas (money mules) movimentam e sacam os recursos. A especialização permite que um fraud ring repita o mesmo esquema rapidamente contra muitos alvos.

Que infraestrutura os fraud rings compartilham?

Os fraud rings reaproveitam dispositivos, endereços IP e identidades porque obter um conjunto novo a cada tentativa custa tempo e dinheiro. O reaproveitamento de infraestrutura por um fraud ring pode se manifestar como o mesmo dispositivo físico por trás de propostas em nomes diferentes, grupos de máquinas virtuais ou emuladores com configurações semelhantes e tráfego roteado pelas mesmas redes de proxies ou faixas de IP de provedores de hospedagem. Navegadores antidetecção e ferramentas que randomizam o fingerprint do dispositivo são usados para quebrar esses vínculos, embora essa randomização possa deixar rastros próprios.

Como um fraud ring testa um credor antes de operar em grande escala?

Os fraud rings costumam sondar um credor com um número pequeno de propostas para descobrir quais campos, valores e canais passam pelos filtros e, depois, enviam propostas em massa quando encontram um caminho que funciona. O mesmo grupo pode atacar em paralelo vários credores, ou várias marcas dentro de um mesmo grupo financeiro.

Que riscos os fraud rings criam para os credores?

Avaliadas uma a uma, as propostas de um fraud ring podem estar todas dentro da política de crédito, porque a evidência da coordenação está no que elas compartilham. Um modelo que avalia cada proposta de forma independente tem visibilidade limitada dessas conexões, e esse é um dos motivos pelos quais as perdas de um fraud ring podem se acumular antes que alguém as relacione.

As perdas de um fraud ring também tendem a se concentrar. Um fraud ring que consegue uma aprovação pode crescer rapidamente, de modo que a inadimplência pode aparecer agrupada em uma mesma safra, muitas vezes como inadimplência na primeira parcela ou empréstimos sem nenhuma parcela paga. Padrões como esses são especialmente relevantes para a análise de fraude, embora cada instituição decida de forma diferente se registra esses casos como perdas por fraude ou como perdas de crédito.

Registrar a inadimplência de um fraud ring como perda de crédito tem um efeito de segunda ordem. Essa inadimplência pode entrar nos dados de treinamento dos modelos de risco de crédito e levá-los a penalizar perfis parecidos com as identidades usadas pelo fraud ring – inclusive tomadores legítimos com pouco histórico de crédito.

Como os fraud rings são detectados e interrompidos?

Combater fraud rings envolve todo o ciclo de vida do crédito, e em cada etapa a detecção desloca a unidade de análise da proposta individual para as relações entre propostas, dispositivos, contas e sessões. O trabalho se divide em quatro etapas:

1. Filtrar as propostas à medida que chegam

2. Agrupar as propostas em clusters

3. Investigar um possível fraud ring

4. Responder após a confirmação do fraud ring

O que pode ser verificado quando as propostas de um fraud ring chegam?

A triagem na entrada da proposta é o primeiro ponto em que um fraud ring pode ser barrado antes do desembolso. Sinais no nível do dispositivo podem vincular propostas sem depender de identificadores diretos como nome, telefone ou e-mail. Entre os sinais que vinculam as propostas de um fraud ring estão:

• o mesmo dispositivo ou a mesma configuração de dispositivo sob identidades diferentes

• indícios de virtualização ou emulação

• uso de proxy e VPN

• divergências do fuso horário e das configurações de idioma do dispositivo em relação à localização informada na proposta

Mais sobre esses sinais em device fingerprinting.

Os vínculos no nível do dispositivo pesam mais quando um fraud ring alterna endereços IP por meio de proxies residenciais ou móveis. O endereço IP pode mudar a cada proposta enquanto a configuração do dispositivo permanece estável o suficiente para vincular essas propostas – é o padrão por trás das fazendas de dispositivos que continuam gerando propostas mesmo quando os endereços IP variam muito.

A camada de identidade funciona em paralelo aos sinais do dispositivo:

• checagens documentais e de KYC

• dados de bureau de crédito

• verificação reforçada (step-up) para propostas que já apresentam risco de dispositivo ou de rede

Os sinais de dispositivo e de rede complementam essas checagens ao mostrar se uma proposta está conectada a outras.

Dispositivos compartilhados também têm explicações legítimas: um celular compartilhado pela família, um agente que preenche propostas em nome de clientes, uma rede de escritório compartilhada. Um vínculo de dispositivo aumenta a probabilidade de coordenação por um fraud ring, mas ainda precisa ser ponderado junto com outros sinais.

Que padrões de velocidade e de comportamento indicam um fraud ring?

Os fraud rings tendem a agir em ondas. Entre os padrões que regras de velocidade e análise comportamental podem revelar estão:

• várias propostas vindas de dispositivos ou sub-redes relacionados em um intervalo curto

• preenchimento de formulário quase idêntico, como dados colados em vez de digitados

• envios repetidos que alteram um campo de cada vez

O monitoramento no nível da carteira pode detectar um fraud ring na fase de sondagem, antes que ele opere em grande escala. Entre os sinais iniciais estão:

• um aumento de propostas recusadas que diferem entre si em um único campo

• um conjunto de propostas no valor mínimo vindas de dispositivos relacionados

Os dois sinais aparecem nos volumes diários e nos motivos de recusa, mesmo quando cada proposta, isoladamente, parece normal.

Como detectar fraud rings com análise de grafos?

A análise de vínculos – também chamada de entity linking ou análise de redes – trata propostas, dispositivos, endereços IP, contas e meios de pagamento como nós, e os atributos compartilhados como as arestas entre eles. Clusters que crescem de forma anormalmente rápida, ou que associam muitas identidades a um pequeno conjunto de dispositivos, passam a ser candidatos à revisão. A análise de grafos amplia a análise de vínculos ao avaliar uma nova proposta pelo cluster ao qual ela se liga, além dos seus próprios atributos – abordagem detalhada em análise de grafos de clusters para autenticação de dispositivos.

Como os analistas investigam um possível fraud ring?

A investigação de um fraud ring costuma seguir a mesma sequência:

1. Partir de um caso inicial: um caso de fraude confirmado ou um cluster suspeito.

2. Expandir por dispositivos, redes e contas compartilhados, um ou dois vínculos de cada vez.

3. Revisar as propostas vinculadas em conjunto, e não uma a uma.

4. Verificar se os elementos compartilhados têm explicações legítimas.

5. Definir onde fica o limite do fraud ring antes de agir.

Ampliar demais a investigação de um fraud ring acaba incluindo clientes sem relação com ele, que apenas compartilham uma rede ou um modelo de dispositivo popular. Por isso, costuma-se ponderar a força de cada vínculo e o quão recente ele é, em vez de dar o mesmo peso a todos os atributos compartilhados.

O que as equipes de risco fazem depois que um fraud ring é confirmado?

Depois que um fraud ring é confirmado, a resposta costuma incluir as seguintes medidas:

• Desmantelamento coordenado – bloquear ao mesmo tempo os elementos compartilhados do fraud ring (identificadores e configurações de dispositivo, contas de desembolso, números de telefone), para que ele não consiga migrar a atividade para contas que ainda não foram bloqueadas.

• Retenção de propostas em andamento – reter ou recusar as propostas vinculadas que ainda estão no funil e, antes do desembolso, cruzar as propostas já aprovadas com o cluster confirmado.

• Revisão de contratos existentes – revisar os empréstimos e as linhas de crédito que o cluster já abriu: congelar limites não utilizados, bloquear novos saques e aumentos de limite e acompanhar a utilização de todo o limite em pouco tempo, um sinal que antecede a inadimplência.

• Rastreamento e recuperação de recursos – cobrança ou recuperação dos empréstimos já desembolsados e verificação das contas que receberam os recursos em busca de atividade de laranjas.

• Revisão de canais – verificar se as propostas vinculadas compartilham um canal de originação, como um correspondente bancário, um agente de vendas ou um parceiro, que pode ser um participante consciente ou um intermediário involuntário.

• Separação de vítimas – distinguir os participantes do fraud ring das pessoas cujas identidades foram usadas sem o seu conhecimento, para que os empréstimos em nome de uma vítima sejam tratados como fraude de identidade, e não cobrados como dívida comum.

• Retroalimentação da decisão – rotular os casos confirmados no grafo e no conjunto de regras, para que novas propostas vinculadas ao cluster herdem o seu risco, e levar esses rótulos ao treinamento dos modelos.

• Decisão discreta – manter genéricos os motivos de recusa, para que o fraud ring saiba o mínimo possível sobre quais vínculos o expuseram.

FAQ

Quais ferramentas ajudam a identificar quais fraud rings ou clusters estão gerando nossas perdas?

Nenhuma ferramenta, sozinha, identifica quais fraud rings geram as perdas. Os credores costumam combinar análise de vínculos, device intelligence, análise comportamental, dados de consórcio e machine learning sobre os mesmos dados vinculados e, depois, atribuem as perdas por fraude confirmadas aos clusters de onde vieram, para ver quais fraud rings respondem pela maior parte. As categorias de ferramentas envolvidas:

• Resolução de entidades e análise de grafos – unificar registros que se referem à mesma pessoa, dispositivo ou conta e agrupar as propostas por atributos compartilhados, com algoritmos de detecção de comunidades como Louvain ou Leiden e redes neurais de grafos que avaliam uma proposta pela sua vizinhança.

• Vinculação por dispositivo, rede e comportamento – device intelligence, inteligência de IP e análise comportamental, que fornecem os vínculos a partir dos quais os clusters são construídos.

• Análise forense de documentos – peculiaridades de modelo ou rastros de edição em comum entre holerites, extratos bancários e documentos de identidade enviados.

• Detecção de anomalias não supervisionada – modelos de agrupamento e de outliers que sinalizam novos padrões de fraud rings antes que exista fraude rotulada.

• Análise de atribuição de perdas – relatórios por safra e de inadimplência na primeira parcela vinculados a identificadores de cluster, para classificar as perdas pelo fraud ring que as gerou.

• Gestão de casos – ferramentas de investigação que registram os fraud rings confirmados e devolvem os rótulos às regras e aos modelos.

Quais plataformas ajudam a identificar quando o mesmo dispositivo ou infraestrutura está por trás de várias propostas de alto risco?

Várias categorias de ferramentas identificam um dispositivo ou uma infraestrutura compartilhados por trás de várias propostas de alto risco, e os credores costumam combiná-las em camadas. Elas diferem no que consideram “o mesmo”: um fingerprint de hardware ou de navegador, um identificador armazenado no dispositivo, um rastro de rede compartilhado, um kit de automação em comum ou um dispositivo já sinalizado em outras instituições. As principais categorias:

• Device fingerprinting e soluções de device intelligence – geram um identificador a partir de atributos de hardware, sistema operacional, navegador e rede e sinalizam o mesmo dispositivo, ou configurações de dispositivo e emulador quase idênticas, sob várias identidades, inclusive configurações de fuso horário e idioma que não correspondem à localização informada.

• Identificadores de SDK móvel – nos canais de app, identificadores disponíveis para o aplicativo dentro do que o sistema operacional permite, que vinculam reinstalações e propostas repetidas a um mesmo aparelho.

• Inteligência de rede e de IP – redes de proxies compartilhadas, saídas de proxies residenciais ou móveis, faixas de IP de data centers e de hospedagem e correspondência de sub-redes, que vinculam propostas com infraestrutura em comum, mas dizem pouco sozinhas quando os proxies se alternam.

• Detecção de bots e automação – navegadores headless, frameworks de automação e envio de formulários por scripts, que apontam para um mesmo conjunto de ferramentas.

• Análise comportamental e biometria comportamental – sequências idênticas de preenchimento de formulário e de copiar e colar, além de padrões de digitação, toque e movimento que podem vincular propostas a um mesmo operador mesmo depois que os identificadores do dispositivo são redefinidos.

• Plataformas de decisão e orquestração antifraude – regras de velocidade sobre propostas por dispositivo, sub-rede ou janela de tempo e picos de envios sincronizados, combinando sinais de vários fornecedores em uma única decisão.

• Ferramentas de análise de vínculos e de grafos – tratam o dispositivo ou a infraestrutura como um nó, de modo que as propostas vinculadas a ele aparecem como um único cluster, que pode ser revisado como uma só operação.

• Consórcios e redes compartilhadas de dados de fraude – dispositivos e infraestrutura já associados a fraude confirmada ou a propostas simultâneas em outros credores.

• Regras do sistema de originação – checagens de cookies, endereços IP ou IDs de dispositivo armazenados nos próprios sistemas do credor; uma primeira camada comum, contornada com a limpeza do armazenamento ou a troca de IP.

Qual é a diferença entre fraud ring e multi-accounting?

O multi-accounting descreve, em geral, uma pessoa ou grupo que controla várias contas no mesmo serviço. Um fraud ring se define pela coordenação entre vários agentes que executam um esquema em escala, e o multi-accounting costuma ser uma de suas ferramentas. Os dois deixam sinais que se sobrepõem, sobretudo dispositivos e infraestrutura de rede compartilhados.

Quais ferramentas detectam quando o mesmo grupo de fraude ataca várias das nossas marcas?

Detectar o mesmo grupo de fraude em várias marcas exige uma visão compartilhada: dados de propostas de todas as marcas reunidos em um só lugar, para que um dispositivo, um elemento de identidade, uma conta bancária ou um padrão de comportamento visto em uma marca seja reconhecido em outra. Os credores costumam montar essa visão com várias categorias de ferramentas:

• Device intelligence compartilhada – um único espaço de identificadores de dispositivo para todas as marcas, para que o mesmo dispositivo ou configuração seja reconhecido em qualquer marca em que apareça.

• Resolução de entidades e grafo no nível do grupo – um único grafo para todas as marcas, vinculando propostas por telefones, e-mails, endereços, contas de desembolso e dispositivos compartilhados.

• Decisão ou orquestração antifraude centralizada – um único conjunto de regras e contadores de velocidade valendo para todas as marcas, como propostas por dispositivo em todo o grupo por dia.

• Listas negativas compartilhadas – dispositivos, contas e elementos de identidade de um caso confirmado propagados para todas as marcas assim que uma delas confirma o caso.

• Relatórios de perdas no nível do grupo – perdas por fraude e inadimplência precoce reportadas entre marcas e vinculadas a identificadores de cluster, para que um ataque diluído entre várias marcas apareça como um só.

Reunir dados de propostas de diferentes marcas ou pessoas jurídicas depende dos acordos de compartilhamento de dados e da base legal aplicáveis a cada uma.

Um fraud ring é fraude de primeira parte ou de terceiros?

Os dois casos acontecem, e cada instituição define esse limite de forma diferente. Um fraud ring pode usar identidades roubadas, identidades sintéticas ou proponentes recrutados que apresentam propostas em nome próprio, e muitos combinam essas opções. Para a detecção, descrever os sinais compartilhados e o esquema costuma ser mais útil do que definir o rótulo. Mais informações em fraude de primeira parte e fraude de terceiros.