De alguns anos para cá, o comércio “físico” deixou de ser hegemônico concomitantemente ao surgimento de plataformas da web, que atuam como mecanismos de compra. Com o advento de transações eletrônicas online, muitos consumidores puderam obter suas aquisições de forma dinâmica e prática - sem sair de casa. A adesão do consumidor a essa forma de comércio é expressiva: pesquisas da eCommerceOrg indicam que o faturamento total do e-commerce no Brasil em 2012 foi de R$ 22,5 bilhões, um aumento de 20% em relação ao ano de 2011. Contudo, essa popularidade da utilização de cartões de crédito via web como forma de pagamento pode ser negativa, visto que essas formas de transação impossibilitam algumas avaliações que ocorrem no mundo físico. Dessa forma, o e-commerce propicia um ambiente atrativo para ações fraudulentas por parte de alguns usuários que desejam obter vantagens financeiras de forma ilícita.

Objetivando tornar as compras via web mais seguras, empresas intermediadoras de transações online que realizam o processo de pagamento surgiram (PayPal e PagSeguro, por exemplo). Entretanto, para barrar ações fraudulentas, essas empresas necessitam de estratégias mais efetivas e baseadas em aplicações computacionais. Pensando nessa necessidade, Gabriel Preti desenvolveu sua dissertação de mestrado em 2014 no Instituto de Matemática e Estatística da USP (IME), orientado pelo professor Roberto Hirata Junior.

De acordo com o artigo Credit card fraud and detection techniques: a review  (Delamaire et al.), de 2009, metade de todas as fraudes com cartões de crédito ocorreram via web. Conhecendo o problema e trabalhando para sua solução, as transações fraudulentas podem ser prevenidas e evitadas.

 O problema das fraudes

Em transações comerciais realizadas com cartões de crédito, cinco partes são envolvidas no processo e interagem para a autorização e execução da compra: "O portador do cartão insere seus dados em um equipamento eletrônico disponível no estabelecimento comercial ou informados no site do vendedor na Web. O equipamento eletrônico ou o site Web comunica-se com o adquirente (Redercard e Cielo, por exemplo), que envia a transação para a bandeira (Visa ou MasterCard) e que por sua vez a envia para o emissor (instituições financeiras)”, conta Preti em sua dissertação. Se o emissor aprovar a transação, o processo de comunicação é invertido até o status da compra chegar ao portador.

Basicamente, uma fraude de cartão de crédito ocorre quando o cartão de determinado proprietário é utilizado sem o consentimento prévio dele. Essa atitude ilícita causa problemas ao titular do cartão, porque ele será cobrado por algo que não adquiriu; ao comerciante do estabelecimento, que desembolsará taxas de chargeback; e, finalmente, impactos às instituições financeiras, as quais arcam com custos administrativos indiretos que recaem sobre elas. Nesse sentido, os intermediadores de pagamento online assumem os riscos associados às transações comerciais, garantindo que a compra e venda sejam efetuadas com sucesso ou que ambos cliente e vendedor sejam reembolsados, caso necessário. Dessa maneira, estas empresas intermediadoras são extremamente dependentes de sistemas de detecção de fraudes.

O papel da computação na detecção de fraudes

Após o portador do cartão realizar o pedido, este será analisado por ferramentas de triagem automáticaque sinalizarão se a compra efetuada deve ser aprovada ou rejeitada. Há ainda a possibilidade destes serem encaminhados para a revisão manual, onde são analisados por especialistas. Todavia, a análise manual de cada transação não é viável economicamente e faz se necessário a utilização de mineração de dados (processo computacional de análise de grande quantidade de informações).

Para a detecção de fraudes eletrônicas, a consulta à sistemas externos (como o Serasa, por exemplo) é um ponto interessante, já que ela pode apresentar possíveis casos fraudulentos no histórico de clientes. A partir desta consulta,  regras de alta precedência poderiam ser aplicadas, reprovando ou aprovando diretamente uma transação dependendo desse histórico. Essas estratégias, todavia, são simples e ocorrem anteriormente à aplicação de técnicas computacionais mais complexas. “Detecção de fraudes é um problema complexo que exige a interação entre vários sistemas e a consulta a sistemas externos”, cita Preti.

Contudo, existem sérios problemas que dificultam o trabalho de detecção de fraudes no ponto de vista da mineração de dados. A grande quantidade de informações devido à grande quantidade de transações, o desbalanceamento que existe entre a pequena quantidade de fraudes quando comparada à transações legítimas, e o “ruído”, termo que designa transações que aparentam ser legítimas e são fraudulentas (ou o contrário) são exemplos desses problemas. Além disso, os fraudadores, que naturalmente aprendem como os sistemas de detecção de fraude funcionam e tentar burlar esses mecanismos e, por fim, o sigilo de dados reais para a manipulação, o que dificulta pesquisas e desenvolvimento em sistemas para barrar esse tipo de problema.

A pesquisa

A pesquisa de Preti deu foco à utilização de ferramentas computacionais para a detecção de transações fraudulentas. Ele desenvolveu um sub-processo a ser aplicado à etapa de triagem automatizada, citada anteriormente nessa matéria. “Propomos uma abordagem abrangente para gerar automaticamente alarmes de fraude nos sistemas de pagamento on-line”, comenta.

Preti estabeleceu uma função para se calcular o risco de uma compra: ela se baseia na comparação da transação analisada considerando antigas transações legítimas. Por questões de limitação do escopo do trabalho, Preti decidiu estudar dados de comprar  “Essa escolha [da seleção de dados de transações legítimas] foi feita pois os dados que eu tinha disponíveis eram mais adequados para tratar essa etapa do processo, eles não eram adequados para a análise de fraudes anteriores”.

As quatro entidades envolvidas em uma transação (vendedor, comprador, portador e cartão) participam de várias transações ao longo do tempo e cada uma delas possui um histórico de transações já realizadas anteriormente - independentes entre si. E, sabendo que cada entidade participa de várias transações ao mesmo tempo, supõe-se que cada uma delas tende a manter um padrão de comportamento aproximadamente constante para suas transações legítimas.

Sendo cada transação a interação das quatros entidades citadas, cada uma tem um conjunto de atributos. Essa função gera uma pontuação para cada cada uma das quatro entidades - ou seja, em uma transação, um atributo vai ter 4 pontuações, uma para cada parte envolvida. “Por exemplo, se a transação sendo analisada possui o CEP X, a função contabiliza quantas vezes o valor X apareceu para o atributo CEP no histórico de cada entidade. Ao final, teremos 4 scores para cada atributo da transação, e são esses scores utilizados para tentar classificá-la como fraudulenta ou não”, comenta.

Após o cálculo, a pontuação é aplicada a um vetor de características (um conjunto de características). Na fase experimental de sua pesquisa, foi utilizado o classificador SVM (Support Vector Machines)  para classificar as transações como fraudes ou legítimas. “O SVM é uma técnica computacional de classificação que vem recebendo bastante atenção da comunidade acadêmica por ter uma boa assertividade na classificação, mas também por ser muito custosa computacionalmente, ou seja, é um processo pesado, que exigem uma grande capacidade de processamento”, explica Preti.

Resultados

A partir do estudo e dos cálculos realizados na pesquisa, foi possível identificar algo próximo de 50% das fraudes cometidas, com uma taxa de falsos alarmes (transações que aparentam ser legítimas mas são descobertas como fraudulentas posteriormente) de cerca de 10%. O pesquisador diz que “as transações ilícitas utilizadas na pesquisa foram fraudes não descobertas previamente pelo processo de detecção existente na empresa que colaborou com a pesquisa”. Assim, pode-se dizer que este conjunto de fraudes é o mais difícil de ser detectado.

Contudo, Preti relata que não vê perspectivas de continuar nesse ramo de pesquisa. A causa disso é justamente a dificuldade da obtenção de dados para os estudos. “Tivemos uma empresa que colaborou conosco fornecendo os dados”, empresa esta que preferiu a não divulgação de seu nome como forma de manter sigilo. Sendo esses dados privados, o desenvolvimento nessa área de pesquisa é lento e problemático.