Seu cliente acabou de enviar suas economias para um criminoso. Como detectar um pagamento fraudulento antes que o dinheiro saia do país?

Imagine um cliente que você conhece há quatro anos. Salário depositado no dia 25, aluguel e mensalidades escolares pagos, algumas pequenas transferências para as mesmas cinco pessoas. Nada nessa conta jamais precisou de uma segunda olhada.

Numa tarde de quinta-feira, ela entra no sistema pelo próprio celular, com suas próprias informações. PIN Ela adiciona um destinatário para o qual nunca pagou. Ela envia a maior parte do seu saldo. Vinte minutos depois, ela envia o restante, em mais duas transferências.

Todos os seus controles diziam sim. Era o rosto dela, o dispositivo dela e as instruções dela. O que você não podia ver era a pessoa do outro lado da linha, calma e prestativa, explicando que a conta dela havia sido comprometida e que o dinheiro precisava ser transferido para um local seguro.

Trata-se de um golpe de pagamento autorizado, geralmente abreviado para APP Golpe. O cliente é real. O pagamento é autorizado. O dinheiro já foi embora. A conta para onde ele vai geralmente é uma conta de laranja , assunto que abordamos em outro artigo. Este artigo trata da outra ponta: o cliente que envia o dinheiro e a decisão que você toma nos segundos que antecedem o pagamento.

Por que as verificações de identidade não conseguem impedir isso

A maioria dos controles antifraude faz uma pergunta: este é realmente o cliente? Em um APP A resposta honesta é sim, é golpe.

• As verificações de integração foram aprovadas. O cliente foi verificado corretamente, talvez há anos.

• As verificações de login foram aprovadas. A pessoa correta fez login, geralmente em seu dispositivo habitual.

• Uma estratégia mais agressiva também funciona. Peça uma selfie ou um código de uso único e o cliente fornecerá, pois acredita que o pagamento é urgente e legítimo. O golpista ao telefone chegará a orientá-lo durante o processo.

Portanto, a questão precisa mudar. Não é mais quem está fazendo esse pagamento, mas sim se esse pagamento faz sentido para esse cliente.

Quanto custa e quem paga?

Os números mais claros divulgados são os britânicos. A UK Finance reportou (abre num novo separador) uma perda de £450,7 milhões para... APP Em 2024, foram registradas quase 186.000 fraudes, com £267,1 milhões (cerca de 59%) reembolsados ​​às vítimas pelos bancos. O relatório também indicou que 70% dos casos APP Os casos começaram online e 16% através de redes de telecomunicações, e só os golpes de investimento representaram 144,4 milhões de libras. Não encontramos um dado com a mesma qualidade para os mercados africanos, portanto não o apresentaremos.

No Reino Unido, o custo não se limita mais à vítima. Ao abrigo das proteções de reembolso do Regulador de Sistemas de Pagamento (abre num novo separador) , que se aplicam a transferências bancárias no Reino Unido através do sistema Faster Payments ou CHAPS Para sinistros ocorridos a partir de 7 de outubro de 2024, as vítimas podem reivindicar até £85.000 e podem esperar ser reembolsadas em até cinco dias úteis. As empresas podem aplicar uma franquia opcional de £100, e o cliente que for cúmplice ou gravemente negligente não estará coberto. O órgão regulador afirma que as empresas remetentes e destinatárias dividem o custo em partes iguais (50:50) (abre num novo separador) .

Seu país pode não ter essa regra, ter uma diferente ou estar prestes a implementá-la. Mesmo onde nada o obriga a reembolsar, o cliente que perdeu suas economias por meio do seu aplicativo raramente permanece cliente e raramente fica em silêncio.

O que você pode ver no momento do pagamento.

Você não consegue ouvir a ligação telefônica. Você consegue ver o que isso leva o cliente a fazer. Nenhum desses elementos, isoladamente, comprova um golpe, e juntos, eles dificultam qualquer outra explicação.

• Primeiro pagamento a um novo destinatário. Especialmente um adicionado minutos antes.

• Um valor atípico. Muito acima do que este cliente costuma enviar, ou a maior parte do saldo de uma só vez.

• Uma enxurrada de transferências. Vários pagamentos em um curto período, às vezes divididos para não ultrapassar o limite.

• Um novo dispositivo ou localização. Menos comum do que a apropriação de contas, mas os golpistas convencem as vítimas a instalar um aplicativo ou usar outro telefone.

• Alterações feitas momentos antes da transferência do dinheiro. Um limite aumentado, um novo beneficiário, uma redefinição de senha.

• Um destinatário que você já viu antes. A mesma conta recebendo os primeiros pagamentos de vários de seus clientes é um forte indício.

Como reter ou questionar o pagamento

1. Avalie antes de liberar. Envie o pagamento para uma decisão enquanto ela ainda estiver pendente, não em lote na mesma noite. Uma decisão que chega após a liquidação é um relatório.

2. Dê um significado real às avaliações. Decida antecipadamente o que seu aplicativo fará com uma avaliação: pausar a transferência, exibir um aviso específico para esse tipo de situação ou encaminhá-la para uma pessoa.

3. Faça uma pergunta que o golpista não tenha ensaiado. "Alguém lhe pediu para transferir esse dinheiro?" funciona melhor do que "Tem certeza?". Um aviso genérico é exibido e o golpista clica para acessá-lo.

4. Verifique o que a lei permite reter. No Reino Unido, o Regulamento de Serviços de Pagamento (Alteração) de 2024 (abre num novo separador) permite que o provedor de pagamento de um pagador atrase um pagamento em libras esterlinas no Reino Unido, no máximo até o final do quarto dia útil após o recebimento, quando houver motivos razoáveis ​​para suspeitar de fraude ou desonestidade por parte de alguém que não seja o pagador. O provedor deve informar o cliente sobre o atraso e o motivo. Outros países estabelecem limites diferentes, e alguns não estabelecem nenhum.

5. Registre o ocorrido. Quando um cliente relatar posteriormente um golpe, marque esse pagamento como fraude. Essa é a única maneira de saber se suas regras teriam detectado o golpe.

O que Toden faz, e o que não faz

Toden A parte dele é a decisão.

• Você envia cada pagamento para as transações. API Com o cliente, o destinatário, o valor e, se disponíveis, o dispositivo e o endereço IP. A resposta contém a permissão, a revisão ou o bloqueio, com uma justificativa em linguagem clara, na mesma solicitação.

• As regras integradas abrangem um primeiro pagamento considerável a um destinatário que o cliente nunca pagou, um valor que se desvia acentuadamente da linha de base desse cliente, muitos pagamentos ou um valor muito alto em um período contínuo e suas próprias listas de destinatários de alto risco e bloqueados.

• Um registro de pagamentos e logins do dispositivo cria evidências para novos dispositivos. Logins, redefinições de senha, alterações de dispositivo e novos beneficiários podem ser enviados como atividades e pontuados pelo mesmo mecanismo.

• Uma revisão gera um alerta que lista as regras subjacentes, e sua equipe pode utilizá-lo para investigação. Nosso guia para ajustar regras de monitoramento aborda os limites, e você pode testar uma alteração de regra em relação à atividade recente antes de implementá-la.

• Quando uma fraude é confirmada, você pode registrar o resultado na transação para que o desempenho da regra seja medido em casos reais.

Agora, os limites, que são o que realmente importa.

• Toden Retorna uma decisão. Não retém, reverte ou recupera fundos. Pausar o pagamento é algo que seu sistema faz com a resposta.

• Não entra em contato com o cliente. O aviso, a ligação e a redação são de sua responsabilidade.

• Não há registro do que foi dito ao cliente. Nada no pagamento indica a ligação telefônica que o originou.

• Um cadastro de clientes anteriores confirma quem está pagando, não o motivo. Isso ajuda a evitar a apropriação indevida de contas e pouco contribui neste caso, pois o cliente legítimo é transferido.

• A verificação do destinatário compara o nome com as sanções. PEP e listas de mídia negativa. Raramente um laranja de golpista consta em alguma delas.

• Ele só vê seus clientes. Não pode informar que a conta do destinatário foi denunciada em outra instituição uma hora atrás.

• As regras precisam de dados. Cada destinatário precisa de uma referência estável entre os pagamentos, caso contrário, "nunca pago antes" não significa nada.

• A análise, por vezes, impedirá um pagamento legítimo. Definir esse limite é uma decisão sua e uma questão de equilíbrio.

O que você pode reter, por quanto tempo, o que você deve informar ao cliente e quem deve ressarcir uma perda, tudo isso varia de país para país. Citamos regras e valores do Reino Unido porque os divulgamos, não porque se apliquem ao seu caso específico. Este texto não constitui aconselhamento jurídico para a sua situação.

Quer ver como seus próprios pagamentos seriam avaliados? Abra uma conta. Toden espaço de trabalho (abre num novo separador) ou leia como funciona o monitoramento de transações .