O nosso combate à fraude automatizada
Se vende produtos digitais na Shopify, é bastante provável que já conheça esta sensação: surge uma notificação de encomenda e, em vez da habitual satisfação, sente um aperto no estômago. Será um cliente verdadeiro ou mais uma encomenda fraudulenta?
Essa foi a nossa realidade na CraftedCharts durante grande parte de março e abril deste ano. No pior momento, registámos cerca de 380 encomendas fraudulentas num único mês, 13 das quais resultaram em estornos integrais. Queremos explicar-lhe exatamente o que aconteceu, o que tentámos, o que não funcionou e o que finalmente resultou, caso esteja a passar pelo mesmo neste momento.
Como começaram as encomendas fraudulentas
Começámos a notar um padrão de encomendas claramente fraudulentas a entrar na nossa loja. Dados do cartão que não correspondiam à morada de faturação. Encomendas feitas sucessivamente com poucos minutos de intervalo. Clientes que nunca abriram um único e-mail depois de "comprarem". A situação agravou-se ao ponto de recebermos várias encomendas fraudulentas por dia.
Fizemos tudo o que o apoio da Shopify sugeriu. Filtros de fraude, todas as definições recomendadas, tudo. Nada fez uma diferença significativa. O apoio reconheceu o problema, disse que iria envolver uma equipa interna e depois... silêncio. Passaram-se dias sem qualquer acompanhamento.
As soluções alternativas que não funcionaram realmente
Sem ajuda da própria Shopify, tentámos as soluções óbvias:
-
Revisão manual das encomendas. Ativámos esta opção para que nada fosse enviado (ou, no nosso caso, nada fosse entregue) sem ser pessoalmente verificado por nós. Estancou o problema, mas significava verificar e aprovar encomendas todos os dias, indefinidamente.
-
Bloqueio de encomendas internacionais. Esta é uma recomendação comum da Shopify, mas é essencialmente inútil para uma loja de produtos digitais. Apenas afeta os envios, e os produtos digitais não são enviados.
-
Marcar todos os produtos como "requer envio". Este truque aparece constantemente nos fóruns da comunidade Shopify como solução alternativa para fazer com que o bloqueio internacional também se aplique aos produtos digitais. Considerámos essa opção e rejeitámo-la. Com centenas de produtos no nosso catálogo, voltar a classificar tudo apenas para remendar um problema de fraude que a própria Shopify deveria resolver não fazia sentido, nem deveria ser essa a resposta.
Também procurámos ajuda fora da Shopify. Contactámos vários freelancers no Upwork para tentar encontrar alguém com experiência em prevenção de fraude ou segurança da Shopify que pudesse configurar uma solução adequada para nós. Nenhum conseguiu realmente resolver o que precisávamos: as respostas ou não compreendiam o problema específico da fraude em produtos digitais e do tráfego de bots através de Tor/VPN, ou propunham as mesmas definições genéricas que já tínhamos tentado. Esse caminho também acabou por ser um beco sem saída.
O que mais nos frustrou, honestamente, foi ver a Shopify aceitar encomendas em que a morada de faturação obviamente não correspondia ao cartão: código postal incorreto, campos incompletos, informações claramente inconsistentes. Se essa discrepância básica não é um sinal de alerta para o próprio sistema da Shopify, isso é um problema sério — e não é algo que o proprietário de uma loja individual deva ter de compensar por sua conta.
Decidir pagar por uma aplicação de prevenção de fraude
Não queríamos mesmo acrescentar mais uma despesa mensal apenas para corrigir algo que parecia dever ser responsabilidade da Shopify. Mas a revisão manual das encomendas não era sustentável e a fraude não estava a abrandar. Por isso, decidimos avançar e começámos a testar aplicações dedicadas à prevenção de fraude. (Se tiver curiosidade em saber quanto nos custa todo o conjunto de aplicações da Shopify, e não apenas a prevenção de fraude, detalhámos tudo no nosso artigo Vantagens e desvantagens da Shopify.)
Primeira tentativa: Blockify
Instalámos a Blockify e utilizámos a sua funcionalidade de bloqueio por país, bloqueando inicialmente todos os países exceto os EUA. Parecia promissor: os dados analíticos mostravam alguns visitantes bloqueados logo na primeira hora.
Depois, acabou por entrar uma encomenda. Ao investigarmos, descobrimos que o visitante tinha utilizado o Tor para ocultar e alternar o endereço IP, o que significava que o simples bloqueio por país/IP não seria suficiente. A resposta da Blockify foi fazer-nos um upsell para o seu nível empresarial (cerca de 125 $/ano), que incluía deteção de Tor.
Iniciámos um teste do nível superior, mas o momento não podia ter sido pior: o apoio estava indisponível durante o fim de semana precisamente quando precisávamos de ajuda e, pior ainda, percebemos que os dados analíticos dos visitantes durante o período de teste não mostravam dados reais, por estarmos num nível de teste. Não conseguíamos confirmar se a ferramenta estava a funcionar antes de nos pedirem um compromisso de um ano inteiro. Cancelámos, em vez de arriscar pagar por algo cuja eficácia não conseguíamos confirmar.
Segunda tentativa: outra aplicação
Passámos para outra aplicação de bloqueio de fraude, com um teste gratuito de 7 dias e um preço inferior ao do plano empresarial da Blockify. Esta mostrava dados analíticos reais e fiáveis desde o primeiro dia: países efetivamente bloqueados, deteções reais de VPN/proxy e registos de visitantes reais que podíamos consultar. Configurámo-la para bloquear todo o tráfego que não viesse dos EUA e, depois, permitimos especificamente o acesso do Canadá, pois queríamos que os clientes canadianos pudessem comprar.
Esta aplicação também detetou algo que o painel da Blockify nunca nos mostrou claramente: visitantes legítimos dos EUA a utilizar uma VPN, em oposição a tráfego fraudulento. Aceitámos que um pequeno número de clientes reais dos EUA que utilizassem VPN pudesse ser bloqueado e decidimos que essa era uma troca aceitável.
A única alteração que realmente resolveu o problema
Eis a parte que consideramos mais importante para qualquer pessoa que esteja a lidar com isto: a maior melhoria não resultou do bloqueio por país nem da deteção de VPN. Resultou de uma sugestão que nem o apoio da Shopify nem a Blockify tinham mencionado: exigir uma conta de cliente para concluir a finalização da compra.
Para uma loja de produtos digitais, isto faz sentido de qualquer forma: uma conta de cliente permite aos compradores voltar a descarregar os seus ficheiros mais tarde a partir do histórico de encomendas. É pela mesma razão que os clientes que compram algo como o nosso Plano de negócios imobiliário podem sempre voltar e obter novamente o ficheiro sem terem de procurar em e-mails antigos. Mas descobrimos que esta definição era também o meio de dissuasão de fraude mais eficaz que implementámos. Qualquer que fosse o processo automatizado responsável por criar as encomendas fraudulentas, aparentemente não estava preparado para lidar com uma etapa de criação de conta. Depois de ativarmos esta definição, as encomendas fraudulentas diminuíram quase por completo.
Combinando isto com o bloqueio de bots e a deteção de VPN/proxy da nova aplicação, passámos de várias encomendas fraudulentas por dia para apenas algumas ao longo de uma semana inteira e, por fim, para vários dias consecutivos sem nenhuma.
O que diríamos a outros proprietários de lojas Shopify
Se vende produtos digitais e está a lidar com o mesmo problema, eis o que faríamos primeiro, com base na nossa própria experiência:
-
Exija uma conta de cliente para finalizar a compra. Só isto poderá filtrar uma grande parte da fraude automatizada e é gratuito.
-
Adicione uma aplicação dedicada de bloqueio de fraude/bots com dados analíticos reais e verificáveis — não apenas bloqueio por país, mas especificamente deteção de VPN, proxy e bots, uma vez que o tráfego fraudulento sofisticado contorna os simples bloqueios por IP ou país.
-
Não dependa de "marcar os produtos digitais como requerendo envio" como solução principal. É uma solução alternativa para uma lacuna que a Shopify deveria colmatar, não uma solução real a longo prazo, sobretudo quando existe um catálogo grande.
-
Insista junto do apoio da Shopify, mas não fique à espera. Continuamos a acreditar que a aceitação, pela Shopify, de encomendas com moradas de faturação e cartões claramente incompatíveis representa uma lacuna real do lado deles. Reportámos o problema. Não estamos confiantes de que seja resolvido tão cedo, por isso não ficámos à espera.
Onde estamos agora
Continuamos atentos, porque o tráfego fraudulento tem tendência a voltar a encontrá-lo assim que baixa a guarda. Mas a combinação da exigência de uma conta com uma aplicação de bloqueio de bots/VPN a funcionar corretamente deu-nos algo que não tínhamos em março e abril: a possibilidade de gerir a nossa loja sem a verificar várias vezes por dia.
Continuaremos a atualizar este artigo se alguma coisa mudar, mas, por enquanto, esta é a configuração que realmente funcionou para nós.
