Identificadores de dispositivo, ou simplesmente Device IDs, desempenham um papel vital na identificação de usuários de uma plataforma, sejam eles usuários conhecidos, melhorando sua experiência de uso, seja para detectar ações de novo usuários mal-intencionados que se utilizam de ataques sistemáticos para cometer fraudes. De prevenir invasões de conta e abuso de cupons a lidar com identidade sintéticas, as aplicações para os Device IDs são diversas e críticas.
Criar um identificador de dispositivo confiável não é tarefa simples. A aparente simplicidade das ferramentas de identificação oferecidas pelos Sistemas Operacionais (SOs) pode levar desenvolvedores a assumir que, a partir destas informações, fornecem uma solução única e eficaz para a identificação de dispositivos aplicada à prevenção de fraudes. Embora essas ferramentas possam parecer fáceis de integrar, os desenvolvedores devem ter cautela devido às potenciais limitações e riscos de depender exclusivamente de Device IDs fornecida pelos sistemas operacionais. Inicialmente projetadas para fins como publicidade, gerenciamento e análise de base de usuários, essas ferramentas podem não atender às nuances e desafios das demandas de prevenção à fraude.
Um ID de dispositivo eficaz envolve a leitura e análise de diversas propriedades de hardware, configuração e conectividade para garantir uma identificação única, que pode ser combinada com os dados do Sistema Operacional. Enquanto a reidentificação de usuários legítimos requer menos esforços, os fraudadores constantemente adotam táticas sofisticadas para se manterem ocultos, o que está sendo facilitado pelos novos e mais rígidos controles de privacidade criados por sistemas operacionais e navegadores, tornando o histórico dos rastros digitais ineficazes.
Determinar a eficácia de um ID de dispositivo envolve uma avaliação cuidadosa, já que uma base de informações completa e perfeita para a tomada de decisão geralmente não existe. Isso significa ter que avaliar múltiplas sessões agrupadas pelo ID de dispositivo para avaliar sua lógica e se os dados dessas sessões são coerentes. A consistência dos modelos de dispositivos, padrões de acesso à conta e proximidade de localização são todos fatores essenciais dessa avaliação.
Soluções de ID de dispositivo fornecidas por sistemas operacionais: usos sugeridos e diferenças fundamentais
À medida que os desenvolvedores buscam aprimorar a prevenção contra fraudes, frequentemente recorrem a ferramentas de impressão digital de dispositivos prontamente disponíveis fornecidas pelos Sistemas Operacionais (SOs). Essas ferramentas podem, aparentemente, parecer simples de utilizar e eficazes para identificar atividades fraudulentas. No entanto, é importante saber que esses identificadores fornecidos pelo SO foram projetados para finalidades específicas: publicidade, gerenciamento e análise de base de usuários e não exclusivamente para prevenção de fraudes.
O Advertising ID, disponível no Android e iOS, é projetado especificamente para fins de publicidade e criação de perfil de usuário. Ele permite que desenvolvedores de aplicativos e anunciantes rastreiem interesses e comportamentos dos usuários para fornecer anúncios direcionados. O Advertising ID pode ser redefinido pelo usuário, o que significa que os usuários podem redefinir ou alterar esse identificador, dando-lhes maior controle sobre o rastreamento de anúncios e tornando-o pouco confiável para prevenção de fraudes. Essa característica visa proteger a privacidade do usuário e oferecer a eles a capacidade de gerenciar suas preferências de anúncios e ofertas.
Existem também o Identificador para Vendedor (IDFV) do iOS e o Android ID, que identificam exclusivamente um dispositivo para um vendedor ou desenvolvedor de aplicativos específico no iOS e Android, respectivamente. Eles são usados principalmente para gerenciamento e análise de base de usuários dentro de um aplicativo específico e não se configuram como um identificar único entre aplicativos não relacionados. Se um usuário desinstala e reinstala um aplicativo, o IDFV pode mudar, de modo que não será totalmente confiável neste cenário. O mesmo se aplica ao Android ID, no qual os usuários podem redefinir seu Android ID, dificultando os esforços para criar um perfil abrangente do usuário em vários aplicativos. A criação de um perfil que se correlacione entre aplicativos distintos é um elemento crítico de um identificador de dispositivo forte e persistente para prevenção de fraudes. Ou seja, mesmo que estas informações disponibilizadas pelos sistemas operacionais sejam relevantes e simples de utilizar, os desenvolvedores precisam estar cientes das armadilhas e limitações potenciais associadas à dependência exclusiva deste tipo de dado fornecido pelos SOs.
Os controles de privacidade implementados pelos sistemas operacionais estão, na verdade, tornando mais difícil a identificação de dispositivos, facilitando, inclusive, a ocultação desse rastro digital. e ocultar. Identificadores padrão fornecidos pelo SO, como o Android ID ou o iOS Vendor ID, agora funcionam mais como um identificador de instalação do que um identificador de dispositivo, que pode reconhecer efetivamente dispositivos.
Estratégias para combater a redefinição de identificação de dispositivos e fraudes
No cenário de prevenção de fraudes, identificadores de dispositivos são ferramentas de valor inestimável para identificar usuários, garantir experiências sem fricção e impedir ataques sistemáticos. No entanto, as ferramentas de identificação de dispositivos fornecidas pelos sistemas operacionais podem criar uma sensação enganosa de uniformidade e confiabilidade neste processo. É crucial compreender as nuances das diferentes soluções de identificação de dispositivos oferecidas pelos sistemas operacionais e como elas podem ser insuficientes no que diz respeito à prevenção robusta de fraudes e à facilidade de realizar as chamadas reinstalações de fábrica ou redefinições dos IDs.
Ferramentas como emuladores, acesso root, jailbreak, FRIDA, clonadores de aplicativos, VPN e falsificação de GPS são usadas para redefinir dispositivos e são uma realidade. Um estudo recente revelou que 1% da base de usuários de aplicativos de delivery da Incognia, emprega técnicas de adulteração de aplicativos para contornar estratégias de prevenção de fraudes. Essas ferramentas possibilitam a manipulação dos dados coletados pelos sistemas operacionais para formar esse fingerprint. Com dados diferentes, os IDs também serão diferentes. Por exemplo, emuladores podem criar múltiplos dispositivos para cada modelo de várias marcas. Para lidar com isso, a solução de Location Fingerprint da Incognia inclui estratégias abrangentes de fallback para detectar o uso dessas ferramentas e sinalizar dispositivos comprometidos, impedindo que seu rastro digital seja apagado através de uma reinstalação de fábrica.
Sistemas avançados de prevenção de fraudes aproveitam vários pontos de dados e padrões comportamentais para detectar e prevenir fraudes.
Adotando soluções existentes para maior eficiência
Com tantos critérios a considerar, optar por integrar uma solução existente de prevenção de fraudes com capacidade de identificar dispositivos de forma persistente e robusta pode proporcionar ganhos substanciais de eficiência. As soluções consolidadas passaram por anos de aprimoramento, oferecendo eficiência e desempenho testados em cenários diversos. Por outro lado, soluções provenientes dos SOs podem carecer dos benefícios colaborativos das já existentes. Por exemplo, a adoção de soluções comprovadas frequentemente concede acesso a uma base de usuários mais extensa, permitindo a detecção de vários comportamentos de usuários, tanto legítimos quanto fraudulentos, e insights baseados em dados para aprimorar as capacidades de detecção de fraudes. A inteligência coletiva pode melhorar significativamente a confiabilidade e a precisão da solução.
Por exemplo, utilizar a localização como um proxy para a identidade e uma camada crucial na detecção de comportamentos sistemáticos pode ser uma alternativa poderosa. Uma identificação de dispositivos baseada em localização altamente precisa e resistente a falsificações da Incognia permite a detecção eficiente de riscos potenciais com mínimos falsos positivos.
Por outro lado, construir uma solução personalizada de prevenção de fraudes internamente oferece a possibilidade de desenvolver funcionalidades personalizadas e integrá-las da melhor forma possível com os sistemas existentes. Empresas podem ajustar a tecnologia para atender a requisitos específicos e manter controle total sobre seu desenvolvimento. No entanto, esse caminho exige investimento significativo em tempo, habilidades especializadas, recursos, manutenção contínua e interação por meio da aprendizagem. Além disso, pode desviar o foco dos objetivos principais do negócio e atrasar o tempo de lançamento no mercado. Afinal, de que adianta a personalização se a solução não for eficaz em sua essência?
Uma abordagem híbrida para o equilíbrio entre desenvolver internamente e encontrar um provedor
Em última análise, a abordagem ideal muitas vezes reside em uma combinação entre construir e comprar. Empresas podem aproveitar soluções existentes como uma base robusta, ao mesmo tempo em que desenvolvem ferramentas e regras internas para atender a requisitos específicos de fraude do seu negócio. Essa estratégia híbrida oferece as vantagens de eficiência e experiência combinadas com a flexibilidade da personalização.
Seja construindo internamente, implementando soluções estabelecidas e reconhecidas no mercado ou adotando uma abordagem híbrida, o caminho para fortalecer a prevenção de fraudes começa com tomadas de decisão embasadas por múltiplas fontes de informações. As organizações podem fazer escolhas conscientes, adaptadas às suas necessidades, compreendendo as limitações de aplicação dos identificadores de dispositivos padrão dos sistemas operacionais e ponderando os benefícios do desenvolvimento interno em relação à eficiência e expertise oferecidas pelas soluções existentes.
Nem todos os identificadores de dispositivos são igualmente criados. No cenário de fraudes, onde a evolução é constante, encontrar o equilíbrio certo entre conveniência para os usuários legítimos e eficácia para identificar usuários fraudulentos, é fundamental para estratégias bem-sucedidas de detecção e prevenção de fraudes e gestão de riscos.