Práticas recomendadas para evitar fraudes

A criação de uma estratégia eficaz de prevenção de contestações e fraudes mais adequada à empresa pode ajudar a prevenir a ocorrência de fraudes. Use algumas dessas práticas recomendadas em sua estratégia para evitar excesso de estornos e reduzir incômodos e perdas para os clientes.

Ferramentas para todos

Ferramentas para reduzir incidentes de fraudes e contestações que qualquer usuário da Stripe pode usar, mesmo que não sejam desenvolvedores nem adotem ferramentas especializadas da Stripe, como o Radar.

Interaja com os clientes com clareza e transparência

Contatos claros e frequentes com os clientes podem ajudar a evitar vários motivos de contestação. Com a rapidez na resolução de problemas e no processamento de reembolsos ou pedidos de substituição, os clientes ficam muito menos propensos a contestar um pagamento. Coloque os dados de contato do atendimento ao cliente em local visível, mantenha os clientes atualizados durante o processamento do pedido e informe o andamento das entregas.

• Exija a concordância com os termos de serviço

  De modo geral, coloque os termos de serviço e as políticas em um local fácil de encontrar no site e exija a concordância dos clientes. Em vez de se limitar a exibir os links durante o checkout, mostre uma versão completa dos textos na página de checkout ou como um pop-up. Exija a concordância do cliente antes do envio do pedido.

• Mostre a política completa

  Os emissores de cartão podem ser bem específicos sobre a forma de apresentação das políticas. Quando a página de checkout mostra somente um link com uma caixa de seleção que o cliente deve marcar, o emissor pode rejeitá-la como comprovação insuficiente de que o cliente estava ciente das políticas. É necessário comprovar que você apresentou ao cliente uma cópia completa das políticas antes da compra.

• Rastreie o envio

  Quando enviar mercadorias físicas para os clientes, use sempre que possível transportadoras e serviços que oferecem rastreamento online e confirmação de entrega. Informe esses dados aos clientes assim que estiverem disponíveis (se você precisar enviar informações de rastreamento como comprovação em uma contestação, observe que os emissores de cartão não aceitam links, o que significa que você deve enviar capturas de tela).

• Use descrições no extrato claras

  Defina um nome reconhecível para a descrição no extrato nas configurações da conta. Recomendamos que você use o domínio do site ou o nome da empresa para garantir que os clientes identifiquem facilmente a compra ao examinar o extrato.

  As descrições no extrato devem ter de 5 a 22 caracteres, conter pelo menos 5 letras e não podem usar os caracteres especiais <, >, \, ' ou ".

• Separe as contas de empresas

  Evite usar a mesma conta Stripe para empresas separadas. Cada conta Stripe deve representar uma única empresa, o que permite ter descrições no extrato e dados de contato separados. Se precisar processar pagamentos de diversas empresas, crie outras contas para cada uma delas.

Considere o reembolso proativo de pagamentos suspeitos

Reembolse imediatamente qualquer pagamento que você tenha certeza de que é fraudulento (exceto quando tiver proteção de alguma forma de transferência de responsabilidade, como o 3D Secure). Se você sabe que receberá uma contestação por fraude, reembolse integralmente o pagamento fraudulento para evitar tarifas de contestação, aumento da sua taxa de contestações e a possível perda de produtos.

No entanto, pode acontecer de você suspeitar de fraude em um pagamento e não ter certeza. Algumas vezes, faz sentido ter uma estratégia de reembolsos agressiva para todas as cobranças desse tipo. Em outras situações, talvez essa não seja a melhor opção.

Você pode adotar uma estratégia de reembolsos agressiva quando ocorrer uma destas situações:

• Pedido ainda não atendido. Um reembolso pode evitar a perda do produto. Em outras palavras, se ainda não comprometeu seu produto ou serviço de forma irreversível mediante uma suspeita de fraude, você pode adotar uma estratégia mais agressiva na emissão de reembolsos. Por outro lado, se não for mais possível recuperar o produto ou serviço (por exemplo, o produto já foi enviado ou o serviço já foi prestado), pode fazer mais sentido não reembolsar e aguardar para ver se há fraude no pagamento.
• Excesso de contestações. Você teve recentemente uma atividade de contestações excessiva segundo as definições das bandeiras de cartão e há risco de inadimplência da sua conta Stripe ou de inclusão em um programa de monitoramento de estornos.
• Programa de monitoramento de estornos. Você já está em um programa de monitoramento de estornos e precisa sair do programa.
• Empresas novas ou de pequeno porte. Sua empresa tem um volume de pagamentos pequeno (por exemplo, menos de 100 pagamentos por mês). Nesse caso, uma ou duas contestações por fraude podem ter um efeito desproporcional na sua taxa de contestações, mesmo que sua atividade de contestações seja baixa.

Se não ocorrer nenhuma das condições acima, você pode adotar uma estratégia mais conservadora para reembolsos proativos de pagamentos com suspeita de fraude.

Postergar a remessa de pedidos

Se você envia mercadorias físicas, considere postergar o envio por 24 a 48 horas. Esse período permite que o titular do cartão detecte e denuncie a fraude na sua conta. Nesse cenário, você recebe a contestação por fraude, mas pelo menos não perde o produto. No entanto, nem todos os titulares de cartão verificam extratos diariamente e talvez o emissor do cartão não os notifique sobre a transação.

Os clientes que solicitam entrega urgente ou para o dia seguinte devem ser considerados de maior risco, pois o custo adicional desses serviços não é importante para os fraudadores. Uma tática que pode ser usada para identificar esse tipo de pagamentos é oferecer entrega urgente ou para o dia seguinte com um custo muito alto, várias vezes maior que qualquer outra opção de entrega oferecida.

É muito menos provável que qualquer cliente legítimo pague esse alto custo, mas um fraudador pode querer que as mercadorias sejam entregues o mais rápido possível, sem se importar com o custo adicional. Você pode verificar manualmente todos os clientes que optam pela opção de entrega de custo anormalmente alto e analisar o pedido para determinar se parece ser legítimo. Usar um processo separado de autenticação e captura junto com as análises do Radar é uma boa maneira de fazer iso.

Entregar em um endereço verificado

A opção mais segura é entregar em um endereço de cobrança verificado, que passou por confirmações de código postal e endereço. Se o pagamento for contestado, a entrega em um endereço não verificado não permite comprovar que o pedido foi enviado ao titular do cartão legítimo.

Você não precisa deixar de entregar em endereços diferentes, mas deve se esforçar para reduzir os riscos. Por exemplo: entregue pedidos em endereços diferentes só para clientes recorrentes, que você reconhece como legítimos, ou para clientes que informam um endereço de cobrança totalmente verificável. Além disso, as situações abaixo podem indicar pagamentos suspeitos:

• O pedido é muito maior que o habitual ou só contém seus produtos mais caros
• O cliente alterou o endereço de entrega após fazer o pedido
• O cliente solicitou entrega urgente
• Os produtos comprados têm alto valor de revenda
• O destino de entrega é diferente do endereço de cobrança ou do país de origem do cartão (por exemplo, o endereço de cobrança fica na Espanha, e o endereço de entrega, na França)

A análise dos dados do pedido e do endereço de entrega pode ajudar a identificar pedidos com risco inaceitável.

Avaliar sua taxa de contestações

A taxa de contestações da sua conta é uma métrica importante que usamos para analisar a eficácia dos seus métodos de prevenção de contestações e fraudes. Você pode verificar regularmente essas métricas no Stripe Dashboard para avaliar o impacto das suas estratégias de prevenção de contestações.

Ferramentas para usuários do Radar for Fraud Teams

O Radar é um conjunto de recursos e ferramentas de combate a fraudes incorporado à Stripe que não exige integração.

Revisar manualmente os pagamentos

O Radar for Fraud Teams inclui um recurso de análise que permite enviar pagamentos específicos para análise (lembre-se de que esses pagamentos são processados e o cartão de crédito é cobrado normalmente), exceto se você estiver usando um processo separado de autenticação e captura. Os pagamentos são enviados à fila de análises para revisão. Se você suspeitar de fraude em um pagamento, pode reembolsá-lo.

Confira os pagamentos da fila de análises o mais cedo possível. Pagamentos com alto risco de fraude são marcados automaticamente para análise. Também é possível criar regras e personalizar os tipos de pagamento que devem ser enviados para análise.

Algumas considerações sobre análise de pagamentos:

• O endereço de cobrança é igual ao endereço de entrega?
• O endereço de cobrança foi verificado pelo AVS? O país desse endereço é o país de origem do cartão?
• O e-mail do cliente corresponde ao nome do titular do cartão?
• O cliente solicitou que o pedido seja processado com urgência?
• O mesmo endereço IP gerou vários pedidos com cartões de crédito diferentes?
• Esse cliente já fez pedidos que foram recusados?

Se você tiver alguma dúvida sobre o pagamento durante a análise, deve falar com o cliente por telefone ou e-mail. Se os endereços de cobrança e entrega do pagamento forem diferentes, confira o endereço de entrega usando Google Maps e Street View para obter mais informações. Uma tática comum usada pelos fraudadores é enviar os pedidos a um serviço de armazenamento ou de encaminhamento de frete ou correspondência que envia as mercadorias para o destino real.

Use regras do Radar para automatizar o bloqueio de pagamentos ou seu envio para análise

O Radar for Fraud Teams é incorporado diretamente ao fluxo de pagamentos e combina um mecanismo de regras personalizáveis com algoritmos avançados de machine learning. Ele pode detectar e avaliar o risco de pagamentos de todas as empresas que processam pagamentos com a Stripe.

O uso de regras permite avaliar automaticamente os pagamentos de acordo com seus critérios de detecção específicos e tomar as medidas adequadas em cada caso. Também é possível criar regras que usam vários critérios para permitir ou bloquear pagamentos que cumprem várias condições. Cada empresa tem riscos diferentes.

Limitar país e tipo de cartão

Se notar um aumento de fraudes em determinados países, você pode configurar regras usando os atributos :ip_country: e :card_country: para bloquear pagamentos de qualquer país indesejado. Por exemplo, para bloquear todos os pagamentos e cartões do Canadá, você pode criar a regra Block if :ip_country: = ca and :card_country: = 'ca'. Da mesma forma, se a empresa só aceita pagamentos no país em que opera, você pode criar uma regra que bloqueia todos os pagamentos de todos os outros países. Por exemplo, para bloquear pagamentos não originados na Austrália, a regra é Block if :ip_country: != au and :card_country: != 'au'.

É possível limitar o tipo de cartões aceitos por bandeira (Mastercard e outras) ou por tipo de fundos (pré-pago e outros). Isso pode ser muito útil quando ocorre um número excessivo de fraudes com tipos específicos de cartão. Por exemplo, a regra Block if :card_brand: = visa and :card_funding: = 'debit' bloqueia os pagamentos de todos os cartões de débito emitidos pela Visa.

Ferramentas para desenvolvedores

Essas ferramentas exigem trabalho de desenvolvimento para implementação. Se sua integração de pagamentos é fornecida por um parceiro da Stripe, talvez você não consiga implementá-la diretamente por conta própria.

Processe suas transações na Stripe

As regras do Visa Compelling Evidence 3.0 usam o histórico de transações para mostrar transações anteriores sem fraudes do mesmo titular do cartão dentro de um período especificado. Quando você recebe da Visa uma contestação por fraude, a Stripe pode identificar transações qualificadas em seu histórico em nossa plataforma e preencher a resposta à contestação com a maioria dos comprovantes necessários. Você pode usar esses comprovantes para aumentar consideravelmente a probabilidade de reversão da contestação a seu favor.

A Stripe não consegue determinar a qualificação ou enviar comprovantes de transações processadas externamente. Portanto, recomendamos:

• Usar a Stripe sempre que possível
• Incluir o endereço IP, e-mail, endereço de entrega e descrições dos produtos nas suas transações realizadas na Stripe

Colete o maior número possível de dados de pagamento

Algumas contestações são perdidas porque só o mínimo de dados foi coletado durante o checkout. Isso dificulta ou até mesmo impede que a Stripe ou o emissor de cartão verifiquem se o cliente é legítimo. Por exemplo, embora o código postal nem sempre seja necessário para processar um pagamento com cartão, a inclusão desse dado permite que o pagamento seja verificado pelo emissor do cartão. Uma falha nessa verificação pode indicar uma fraude. Nesse caso, pode ser melhor recusar o pagamento.

Use o Checkout ou a detecção antecipada de fraudes para que a integração possa fornecer dados de pagamento relevantes, como:

• Nome do cliente
• E-mail do cliente
• Número do CVC
• Código postal e endereço completo de cobrança
• Endereço de entrega (se diferente do endereço de cobrança)
• Dados de rastreamento

Implemente um método de autenticação de titular do cartão, como 3D Secure

O 3D Secure é uma forma de incluir uma etapa de verificação entre o cliente e o emissor do cartão no fluxo de checkout. Pagamentos autenticados com o 3D Secure podem ser protegidos contra a maioria das contestações fraudulentas por meio de uma regra conhecida como transferência de responsabilidade. No entanto, você ainda receberá Avisos antecipados de fraude que podem contar contra programas de monitoramento de marca de cartão.

Saiba mais em Autenticação de cartões e 3D Secure.

Faça a verificação de identidade do cliente automaticamente

A verificação da identidade do cliente pode ajudar em alguns casos. Considere o uso do Stripe Identity para verificar um documento de identificação oficial e associá-lo a uma selfie do titular do documento. Você também tem a opção de solicitar que os clientes conectem suas contas do Facebook ou LinkedIn como comprovação de identidade adicional. Essa é uma etapa extra que pode desestimular um fraudador. Obviamente, alguns clientes podem recusar esse processo adicional, o que pode afetar sua taxa de conversão.

Usar autorização e captura na criação de pagamentos

As tentativas de cobrança de cartões de crédito são processadas em duas etapas. Primeiro, a cobrança é autorizada mediante uma solicitação de autorização do valor cobrado enviada ao emissor do cartão. Depois da aprovação da cobrança, o processo padrão é capturá-la imediatamente e debitar o valor do cartão.

O fluxo de pagamento com captura posterior (também conhecido como autorização e captura) executa essas duas etapas em momentos diferentes. A autorização pode ser feita antes para reservar o valor no cartão e é exibida no extrato do cliente como transação pendente, mas não remove fundos da conta. A cobrança pode ser capturada até sete dias após a autorização. A captura da cobrança finaliza o pagamento, e os fundos são deduzidos do cartão do cliente. Quando a cobrança não é capturada dentro desse prazo, a autorização é liberada automaticamente.

Assim como na remessa postergada, esse método pode oferecer tempo suficiente para detectar possíveis fraudes e permitir uma análise cuidadosa (e, possivelmente, o reembolso) da transação. Os titulares de cartão não podem contestar autorizações não capturadas, apenas pagamentos totalmente capturados. Com o Radar for Fraud Teams, é possível capturar esses pagamentos manualmente no processo de revisão.

Definir uma descrição no extrato personalizada para cada pagamento

A descrição no extrato é o texto exibido nos extratos de cartão do cliente e contém informações sobre a empresa associada a um pagamento. Uma forma de usar essa descrição no extrato é inserir um código aleatório curto que deve ser verificado pelo cliente. Quando você suspeita de fraude em uma transação, pode falar com o cliente e solicitar que informe o código mostrado no extrato online. Se o código não for informado, reembolse o pagamento.

Você pode editar sua descrição no extrato padrão no Dashboard ou definir uma descrição no extrato dinâmica sempre que cria um pagamento usando a API.

Esse método não protege contra um fraudador que tenha acesso ao emissor ou conta de crédito do cartão online do titular do cartão, mas isso é extremamente raro. O uso da descrição no extrato dessa forma confere um nível maior de credibilidade do cliente. Assim como outros métodos de prevenção, essa abordagem gera inconvenientes adicionais para o cliente que podem levar ao reembolso de alguns pagamentos legítimos.