Como se manter à frente dos cibercriminosos ao alinhar segurança e fraude

Às vezes, a fraude pode parecer um jogo de gato e rato: Os criminosos geralmente são agressivos e estão na ofensiva, enquanto as empresas lutam para se proteger e estão na defensiva. Para as empresas, o jogo está se tornando mais difícil. As ferramentas das organizações criminosas estão se tornando mais sofisticadas e seus ataques mais complexos. Empresas de serviços financeiros e comerciantes acham difícil adaptar constantemente suas defesas de segurança e fraudes para acompanhar os ataques em rápida evolução. E se você não estiver acompanhando, estará ficando para trás. Os perigos são perdas maiores, transações abandonadas e insatisfação do cliente. Perder dinheiro e clientes não é uma boa combinação.

É hora de repensar sua abordagem à prevenção de fraudes. Mas agora consigo ouvir. “Estou com falta de pessoal e de financiamento. Como você espera que eu acompanhe organizações criminosas mais ágeis e bem financiadas?” Neste ambiente desafiador, é hora de trabalhar de forma mais inteligente, não mais difícil. Os comerciantes e as empresas de serviços financeiros que resolveram esse problema o fizeram olhando tanto para dentro quanto para fora.

Olhando para dentro

Olhando para dentro, empresas bem-sucedidas admitiram suas ineficiências em segurança e mitigação de fraudes. É comum ter um departamento de segurança cibernética protegendo redes de computação e aplicativos externos contra infiltrações, explorações e ataques de negação de serviço, e um departamento de fraude focado em transações online/digitais, correlação de eventos e respostas a incidentes. Isso cria uma segregação de responsabilidades e dois departamentos com diferentes ferramentas, conjuntos de dados, indicadores de desempenho, equipe e orçamentos. Vamos ver como isso prejudica uma empresa.

Violações de dados e vazamentos de credenciais expuseram bilhões de registros de informações de identificação pessoal, incluindo pares de nome de usuário/senha. Em um ataque típico, um invasor executará o credential stuffing usando botnets altamente distribuídas para testar esses pares em escala e identificar quais pares de nome de usuário/senha ainda são válidos. Com um par válido, um invasor facilmente se torna um criminoso cibernético ao assumir o controle da conta online de um cliente, extraindo dinheiro, lavando pontos de fidelidade ou fazendo compras não autorizadas. Dependendo das contramedidas de segurança encontradas, o cibercriminoso pode modificar o ataque usando ferramentas que variam de scripts de rede e botnets até aquelas que emulam o comportamento humano ou estruturas que podem fazer chamadas de API para fazendas de cliques humanos para resolver CAPTCHA.

Esse tipo de ataque abrange as responsabilidades da equipe de segurança e de fraude. Se as equipes de segurança e fraude ou suas ferramentas não estiverem se comunicando, a inteligência e o contexto da ameaça serão perdidos, e será difícil (talvez impossível) visualizar todo o ataque. Como resultado, os fraudadores passam despercebidos, e as empresas e seus clientes sofrem perdas financeiras.

É hora de quebrar os silos organizacionais. A colaboração entre equipes e tecnologia pode ser o veículo para a convergência, aumento de receita e, finalmente, o sucesso da empresa. Além disso, reunir recursos e dados melhora a visibilidade, tornando possível manter organizações criminosas afastadas e, ao mesmo tempo, deixar bons clientes passarem sem atrito. Em um estudo recente do Aite-Novarica Group com 110 empresas de tecnologia financeira, aquelas que têm um sistema integrado de fraude têm duas vezes mais probabilidade de dizer que é um pouco ou muito fácil gerenciar fraudes, em comparação com empresas com sistemas de fraude separados e distintos.

Uma plataforma integrada tem o benefício de ver mais do cenário de fraudes por meio do agrupamento e da análise contínua de dados. Com um conjunto de dados maior e, portanto, mais sinais de fraude, é possível criar modelos de aprendizado de máquina mais preditivos e precisos. Isso pode não apenas levar a uma inteligência mais proativa e acionável, mas também a uma melhor experiência do usuário, já que a maior precisão pode acelerar a autenticação, fornecendo uma maneira perfeita para os clientes realizarem transações sem aumentar a fraude.

Olhando para fora

Olhar para fora também é importante para criar um ecossistema de fraude eficaz. É uma prática comum que empresas de serviços financeiros e comerciantes adquiram ferramentas e gerenciem fraudes internamente, com a equipe configurando as ferramentas para evitar fraudes. À medida que os ataques de fraude mudam ao longo do tempo, a empresa precisa adaptar suas estratégias de fraude para combatê-los, ajustar as regras de autenticação e investigar falsos positivos. Em outras palavras, a empresa precisa passar por um novo ataque de fraude (e uma perda financeira) antes de poder evitar futuros. Essa estratégia reativa deixa a empresa exposta enquanto os departamentos internos investigam e corrigem a lacuna de segurança.

Por que não ser proativo? Fornecedores que oferecem soluções comerciais aproveitam sua ampla experiência e visibilidade para proteger seus clientes melhor do que um cliente individual pode se proteger. Como? Bem, um fornecedor com uma grande base de clientes em diversas regiões e setores tem uma visão muito ampla da fraude, especialmente quando a inteligência de ameaças é compartilhada em sua rede de defesa coletiva. Se surgir um novo vetor de ataque de fraude, o fornecedor pode modificar rapidamente suas defesas contra fraudes para proteger todos os clientes.

A solução ganha-ganha-ganha

É difícil ficar à frente da sofisticação crescente das organizações criminosas e seus ataques, especialmente com escassez de pessoal e recursos. É hora de olhar para dentro e para fora. Reunir a segurança cibernética e o gerenciamento de fraudes em uma equipe integrada e aproveitar a experiência externa proporciona três benefícios principais. O gerenciamento de segurança cibernética/fraude é simplificado, as perdas são reduzidas e os clientes têm uma melhor experiência online. Uma solução ganha-ganha-ganha.

Por David Mattei, Consultor Estratégico, Aite-Novarica Group

_____

Para uma perspectiva adicional, leia o Relatório Aite para aprender novas estratégias para minimizar perdas por fraude.