Regles de risc en el checkout: velocitat, geolocalització i autenticació intel·ligent

En el comerç electrònic, el checkout és el punt crític on convergeixen l'experiència del client i la prevenció del delicte financer. Un filtre massa permissiu incrementa el volum d'operacions no autoritzades i desemboca en costoses taxes de devolucions i contracàrrecs. Per contra, unes barreres excessives augmenten la fricció, expulsen compradors legítims i arruïnen la taxa de conversió.

Per trobar l'equilibri, els sistemes moderns de pagament executen motors de regles de risc en temps real abans d'enviar la transacció a autorització bancària. Aquestes avaluacions examinen senyals tècnics, hàbits de navegació i discrepàncies geogràfiques per qualificar cada intent amb un nivell de risc i decidir si l'operació s'autoritza de manera transparent, se sotmet a un desafiament d'autenticació o es bloqueja per complet.

El control de velocitat: detectar atacs automatitzats i card testing

Les regles de velocitat mesuren la freqüència amb què es repeteixen certs paràmetres en finestres de temps curtes (minuts o hores). Són la línia de defensa principal contra el card testing, una pràctica fraudulenta en què xarxes automatitzades proven llistes de targetes robades mitjançant micropagaments per verificar quines continuen actives.

Un motor de risc ben calibrat monitora diversos vectors de repetició simultanis:

• Per adreça IP: limitar el nombre d'intents de pagament fallits procedents d'una mateixa IP en períodes de cinc o quinze minuts. Si se superen deu intents amb targetes diferents, es tracta amb gairebé total seguretat d'un script automatitzat.
• Per número de targeta (PAN o empremta del token): si un mateix número falla repetidament en introduir la data de caducitat o el CVV, convé bloquejar nous intents durant un interval prudencial per aturar atacs de força bruta.
• Per compte d'usuari o correu electrònic: múltiples compres successives amb targetes bancàries diferents associades a un mateix perfil registrat solen indicar un compte compromès o creat específicament per monetitzar dades il·lícites.
• Per empremta del dispositiu (device fingerprint): identificar el navegador, la resolució de pantalla i les fonts instal·lades permet detectar atacs que roten adreces IP mitjançant servidors intermediaris (proxies) però operen des de la mateixa màquina.

Anàlisi de l'adreça IP: reputació, proxies i centres de dades

No totes les connexions a internet tenen la mateixa naturalesa. Una adreça IP residencial assignada per un proveïdor local de telecomunicacions presenta un perfil de risc molt diferent del d'un servidor allotjat en un centre de dades al núvol.

L'anàlisi de la IP en el checkout avalua diversos factors:

• Tipus de xarxa: les connexions originades en centres de dades comercials (on corren servidors virtuals i eines d'extracció de dades) rarament corresponen a un comprador final legítim. Tret de casos molt específics de programari B2B, bloquejar o sotmetre a revisió estricta el trànsit de centres de dades redueix dràsticament el frau automatitzat.
• Ús de xarxes d'anonimització (Tor, VPN comercials i proxies oberts): encara que molts usuaris legítims empren VPN per privacitat, els nodes de sortida de Tor o certs proxies anònims concentren un percentatge desproporcionat de compres fraudulentes. El sistema pot assignar punts de risc addicionals si detecta aquestes eines.
• Reputació històrica: bases de dades de reputació d'IP identifiquen rangs vinculats recentment a xarxes zombi (botnets), atacs de denegació de servei o abusos reiterats en passarel·les de pagament.

Discrepància geogràfica: país emissor enfront de país de navegació

Cada targeta de crèdit o dèbit compta amb un Bank Identification Number (BIN), que correspon als primers sis o vuit dígits del plàstic. El BIN revela amb exactitud quina entitat financera va emetre la targeta i en quin país està radicada.

Creuar el país del BIN amb altres dades de l'operació aporta informació determinant:

• País de la IP enfront de país emissor: si una targeta emesa a Espanya s'intenta utilitzar des d'una IP situada al sud-est asiàtic per comprar un producte digital de consum immediat, la probabilitat de frau és elevada. No obstant això, no sempre justifica un bloqueig directe: podria tractar-se d'un client de viatge.
• País de facturació i país de lliurament: en productes físics, una adreça de facturació a Madrid combinada amb una targeta emesa a França i un enviament urgent a un tercer país a l'Europa de l'Est constitueix un senyal clàssic d'alerta que exigeix comprovació addicional.

El context del negoci és determinant. Un comerç amb clientela purament nacional pot aplicar polítiques restrictives davant de targetes estrangeres, mentre que una plataforma internacional de reserves hoteleres ha de ser més flexible i recolzar-se en factors de seguretat complementaris.

Quan sol·licitar autenticació i quan aplicar exempcions

Sota el marc regulador europeu, l'autenticació reforçada de clients (SCA) exigeix verificar la identitat del titular mitjançant dos de tres factors possibles: alguna cosa que se sap (contrasenya), alguna cosa que es té (telèfon mòbil o targeta física) o alguna cosa que s'és (biometria). Això no obstant, la mateixa normativa preveu mecanismes per evitar que tots els pagaments requereixin aquesta fricció.

El motor de risc ha de classificar cada transacció en una de tres rutes operatives:

• Pas transparent sense fricció (frictionless): si l'import és reduït, la recurrència està establerta o l'anàlisi de risc de la transacció (TRA) de l'adquirent confirma un risc baix, se sol·licita al banc emissor l'exempció d'SCA. El client completa el pagament sense sortir del flux de compra.
• Desafiament d'autenticació (challenge 3D Secure): si el motor detecta discrepàncies d'IP, velocitat anòmala o imports elevats que superen els llindars d'exempció, es deriva l'operació a un flux 3DS obligatori. El banc emissor sol·licita la validació a l'aplicació bancària. Si el client la supera, l'operació es liquida i el comerç queda protegit enfront de contracàrrecs per frau mitjançant el traspàs de responsabilitat (liability shift).
• Rebuig preventiu: quan concorren factors extrems (com ara IP en llistes negres d'abús al costat de múltiples targetes fallides en segons), la passarel·la denega l'operació abans d'enviar-la a la xarxa de targetes, estalviant comissions de processament innecessàries.

Conclusió i bones pràctiques

Les regles de risc no són estàtiques ni s'han de configurar sota la premissa de bloquejar qualsevol anomalia aïllada. Una estratègia eficaç combina la monitorització de velocitat per neutralitzar bots, l'anàlisi contextual de la IP i del BIN emissor, i l'ús intel·ligent de 3D Secure per exigir autenticació únicament on hi ha incertesa real. Revisar periòdicament les taxes de falsos positius i l'evolució dels contracàrrecs permet ajustar els llindars a l'estacionalitat del negoci, protegint els ingressos sense deteriorar la conversió del checkout.