Cómo nudata de la compañía mastercard valida las transacciones en línea

Con el flujo constante de clientes que ingresan a las tiendas y salen de los sitios web de comerciantes, ¿cómo saben los comerciantes que un cliente es legítimo o fraudulento? En el mundo del comercio electrónico, los emisores de tarjetas de crédito están tomando medidas en nombre de los comerciantes para validar las credenciales de pago de los compradores en medio de amenazas de fraude y robo de identidad.

Un paso en los últimos años fue la introducción de tarjetas con chip para hacer más seguro el procesamiento de tarjetas de crédito. Pero incluso eso no es suficiente, según un estudio llamado "Estado de los pagos minoristas", realizado por la Federación Nacional de Minoristas y Forrester Research. Esto se debe a que a medida que los pagos en la tienda se volvieron más seguros con los pagos con tarjeta chip, los ladrones de identidad se han trasladado al espacio de pago en línea para aprovechar las vulnerabilidades. No sorprende que del 55 por ciento de los minoristas encuestados por NRF y Forrester, el fraude fuera su principal desafío relacionado con los pagos.

NuData Security, una compañía de Mastercard, ayuda a los comerciantes a determinar si el usuario detrás de una transacción en línea es real o fraudulento. La actividad sospechosa puede incluir un usuario no autorizado que se hace cargo de una cuenta, crea un inicio de sesión falso o intenta comprar un producto en línea de manera fraudulenta. La persona fraudulenta puede haber robado una biblioteca de ID de usuario y contraseñas, como una colección de cuentas de un minorista.

"Los minoristas, comerciantes y emisores, todos tienen el desafío de cómo identificar si un usuario real está iniciando sesión o si alguien se hace pasar por ese usuario que intenta cometer fraude", dijo Don Duncan, director de desarrollo comercial de NuData.

A través del proceso de validación, NuData puede determinar si el dispositivo es un dispositivo iOS o Android y desde dónde se conecta el usuario. Después de recopilar telemetría de un dispositivo como una PC o un teléfono móvil, NuData lo sintetiza e informa a los comerciantes. Aunque los comerciantes no reciben información de identificación personal, obtienen inteligencia comercial sobre el nivel de riesgo que conlleva un comprador.

"Lo que hacemos es proporcionar a los minoristas y los comerciantes esa visibilidad en forma de puntaje de riesgo, no solo en el inicio de sesión y la creación de la cuenta, sino también en los pagos", dijo Duncan.

Estos puntos de datos incluyen información sobre el dispositivo, la dirección IP y la conexión del cliente. Si los emisores creen que necesitan más información sobre el usuario para decidir si la identidad del cliente es legítima, pueden solicitar un "aumento", dijo Duncan. "Ese comerciante o minorista puede determinar en la web o en la aplicación móvil cómo deberían interactuar con ese usuario en el futuro", dijo Duncan.

Cómo funciona EMV 3DS

Cuando los clientes hacen una compra, los emisores de tarjetas de crédito pueden usar una especificación llamada EMV 3-D Secure (3DS) para validar la transacción. EMV 3DS proporciona un protocolo de mensajería para que los consumidores se autentiquen al realizar una compra en línea sin una tarjeta física, llamada "tarjeta no presente". Este proceso implica la autenticación de los compradores en tiempo real antes de que se realice una transacción en el punto de venta. En 2016, EMVCo introdujo EMV 3-D Secure 2.0 (3DS 2.0), que los comerciantes y emisores deben habilitar en Europa a partir de abril de 2019. El protocolo 3DS 2.0 permite a los emisores recopilar hasta 150 puntos de datos para evaluar una transacción en comparación con los 15 puntos de datos EMV 3DS utilizado.

Un beneficio del uso de EMV 3DS es evitar falsas caídas cuando los compradores rechazan las compras por error, según un informe, llamado "3-D Secure 2.0: Consideraciones clave para los comerciantes" de NuData y la firma de investigación Aite Group. Y las falsas caídas llevan a los compradores a otros lugares. De los compradores entrevistados para una encuesta realizada por Riskified, un proveedor de gestión de fraude de comercio electrónico, el 42 por ciento dijo que abandonaría su carrito de compras por completo o compraría un producto de otra compañía después de un pago rechazado.

El proceso de validación implica telemetría utilizando una aplicación como NuDetect de NuData. "Cuando estás usando una aplicación móvil, hay telemetría desde la aplicación que puede usarse como un medio para validar quién eres", explicó Duncan. "Cuando entras en una tienda, es posible que no sepa tu nombre, pero reconozco la forma en que caminas, la forma en que hablas y la forma en que interactúas".

Duncan continuó: "Observamos esa interacción del usuario con el dispositivo, y esa interacción nos da la capacidad de determinar si realmente es ese usuario o si podría ser alguien que se hace pasar por ese usuario en forma de automatización".

El protocolo EMV 3DS ayuda a los emisores a obtener transparencia sobre posibles fraudes de pagos. Crédito: NuData Security

Biometría y análisis de comportamiento

Los emisores como NuData proporcionan inteligencia de comportamiento al minorista o comerciante casi en tiempo real. En el back-end, un emisor de tarjetas de pago usa EMV 3DS para validar a los usuarios y decidir si es necesaria una validación adicional, explicó Duncan. Si un banco nota que algo parece diferente cuando los compradores vuelven a comprar algo, el comerciante solicitará una huella digital biométrica o algún otro tipo de validación.

Los expertos en seguridad también pueden realizar un seguimiento de la cadencia de cómo un usuario escribe para ver si un sistema automatizado está tratando de hacerse pasar por un usuario. Esto se llama biometría pasiva. Los emisores también estudian análisis de comportamiento utilizando indicadores como la velocidad de navegación y cuánto tiempo pasa un usuario en una página web.

"Devolvemos esa inteligencia a los comerciantes o minoristas, y luego tienen la capacidad de usar eso como un medio para determinar, especialmente cuando se trata de pagos, si existe la posibilidad de que alguien esté tratando de cometer fraude o no", dijo Duncan.

Duncan dio un ejemplo de cómo puede estudiar cómo un conductor maneja un automóvil para saber si realmente es esa persona la que conduce. Funciona de la misma manera con las transacciones de compras. Como parte de este proceso de validación, una vez que una empresa ha validado a un usuario, puede hacer que el proceso de compra implique menos pasos para que el consumidor compre. "Cuanto más te entiendo, sé lo que te gusta, sé lo que no te gusta, y eventualmente comenzarás a hacer que el proceso de compra sea muy eficiente", dijo Duncan. "Y eso es lo que estamos tratando de hacer en línea".

Al realizar una comprobación previa de los compradores antes de realizar compras, la experiencia de compra real puede ser más fluida para los consumidores y es posible que no se les solicite que ingresen un código cuando realicen el pago. según Duncan. A medida que los clientes se validan a través de su ID de dispositivo, navegador y dirección IP, tendrán que autenticarse menos la próxima vez que regresen a un sitio de compras y no tendrán que correr y obtener su tarjeta de crédito para validar la transacción.

En el futuro, el desafío clave para los comerciantes es mantener la experiencia de compra sin interrupciones para los compradores legítimos y al mismo tiempo "hacerla frustrante para los estafadores".

"Porque en este momento para muchos comerciantes y minoristas", dijo Duncan, "no pueden diferenciar entre un buen usuario y un mal usuario".