Máquina virtual

Uma máquina virtual (VM) é uma emulação por software de um computador físico. Ela executa um sistema operacional e aplicações exatamente como faria um dispositivo físico – com sua própria alocação de processador, memória e armazenamento – exceto que tudo isso existe como código, e não como hardware. Um servidor físico pode hospedar várias máquinas virtuais, e uma máquina potente pode ser dividida em muitos ambientes virtuais menores, conforme a necessidade operacional.

Para as equipes de TI e infraestrutura, essa flexibilidade é justamente o objetivo. As máquinas virtuais tornam a proteção de dados, a entrega segura de software, os testes de código e a pesquisa de desempenho mais rápidos e econômicos ao otimizar o uso dos recursos computacionais. Mas as mesmas propriedades que tornam uma VM útil para a engenharia legítima também a tornam atraente para os fraudsters. Para uma equipe de risco, esse duplo uso é o problema – e transforma a detecção de máquinas virtuais em uma questão de gestão de risco, mais do que de TI.

Em um contexto de detecção de fraude, uma máquina virtual é um computador emulado por software que os fraudsters usam para ocultar seu dispositivo real, criar máquinas descartáveis em grande escala e evadir o fingerprinting em várias solicitações fraudulentas.

Por que as máquinas virtuais importam para a prevenção de fraude

Quando uma máquina virtual aparece em um fluxo de solicitação para crédito, pagamentos ou onboarding de contas, sua presença assume um significado diferente do que teria dentro de um data center corporativo. Tomadores e clientes legítimos geralmente não solicitam um empréstimo a partir de um dispositivo emulado. Os fraudsters, sim – porque um ambiente virtual permite mascarar o dispositivo real, gerar máquinas descartáveis em grande escala e evadir o fingerprinting que, de outro modo, vincularia várias solicitações fraudulentas a um mesmo ator. É isso que torna a fraude com máquinas virtuais um traço recorrente do multi-accounting e do abuso de promoções, em que um único ator precisa de muitos dispositivos aparentemente distintos.

É por isso que a device intelligence trata a virtualização como um sinal de risco significativo. Uma autenticação de dispositivo cuidadosa e precisa – que lê os parâmetros de um dispositivo, seu ambiente e a forma como ele é usado – permite sinalizar uma máquina virtual antes que uma transação seja aprovada, em vez de depois que uma inadimplência seja registrada.

A dimensão do risco é mensurável. Segundo a análise da JuicyScore nas regiões em que atua, o nível de risco médio das solicitações que apresentam indícios de uso de máquinas virtuais foi entre 1,3 e 1,5 vez maior do que o do conjunto de todos os registros. O custo de ignorar o sinal é ainda maior: as empresas que não filtram as máquinas virtuais de seu fluxo de solicitações apresentam taxas de inadimplência entre 2,5 e 3 vezes superiores à média. Os volumes de solicitações que envolvem virtualização também tendem a disparar antes dos períodos festivos, quando os ataques de fraude on-line aumentam junto com a demanda genuína por crédito e por compras.

Nem toda máquina virtual é igual

Uma detecção eficaz depende de distinguir entre duas categorias, porque tratá-las de forma idêntica gera ruído.

• A primeira abrange soluções de software que apresentam apenas sinais de virtualização – o modo privado de um navegador ou o modo de bloqueio (lockdown) de um dispositivo. Esses mecanismos costumam existir para proteger a privacidade do usuário e, via de regra, não representam risco significativo, embora ocasionalmente o risco de tais soluções possa ficar acima da média.
• A segunda é a máquina virtual propriamente dita: um sistema que emula hardware de computador, seja implementado por software ou por hardware. Essa categoria é a mais perigosa das duas, e separá-la com clareza das ferramentas voltadas à privacidade é o que mantém baixos os falsos positivos enquanto se detecta a evasão genuína.

Como detectar máquinas virtuais

A abordagem clássica analisa as características do sistema operacional, mas esse método não está disponível para uma aplicação web, de modo que as técnicas alternativas assumem a carga – cada uma com seus próprios erros de Tipo I e Tipo II. Três métodos fazem a maior parte do trabalho:

1. Detecção de anomalias. Muitas vezes o melhor ponto de partida, já que tende a produzir o menor erro de Tipo II. Ela busca anomalias de renderização, irregularidades nas propriedades de tela e gráficos, e comportamentos da memória RAM que não correspondem aos de um dispositivo físico.
2. Testes de desempenho. Medem o desempenho gráfico, como a taxa de quadros, junto com o comportamento da memória, do disco rígido e da placa de som, em comparação com o que um hardware real produziria.
3. Análise de integridade do software instalado. A direção mais promissora para as aplicações web. As máquinas virtuais diferem substancialmente dos dispositivos reais em conteúdo e funcionalidade, e essa lacuna é difícil de disfarçar. A mesma lógica se estende à detecção de emuladores no ambiente mobile, em que os ambientes emulados são o equivalente direto das VMs de desktop.

Nenhuma técnica é universal. Um antifraude e uma gestão de risco eficazes funcionam em tempo real, entregam dados de alto valor para fortalecer o sistema de decisão, e leem sinais comportamentais e correlações ocultas em vez de depender de um único teste isoladamente. Um percurso técnico mais aprofundado por esses métodos está disponível em nosso artigo complementar sobre detecção de máquinas virtuais.