A nossa batalha contra a fraude automatizada
Se vende produtos digitais na Shopify, é bem provável que já conheça esta sensação: recebe uma notificação de encomenda e, em vez da habitual satisfação, sente um aperto no estômago. Será um cliente a sério ou mais uma encomenda fraudulenta?
Essa foi a nossa realidade na CraftedCharts durante a maior parte de março e abril deste ano. No pior momento, contabilizámos quase 380 encomendas fraudulentas num único mês, 13 das quais deram origem a pedidos de estorno integrais. Queremos contar-lhe exatamente o que aconteceu, o que tentámos, o que não resultou e o que acabou por funcionar, caso esteja a passar pelo mesmo neste momento.
Como começaram as encomendas fraudulentas
Começámos a detetar um padrão de encomendas claramente fraudulentas na nossa loja. Os dados do cartão não correspondiam à morada de faturação. Eram feitas encomendas sucessivas com poucos minutos de intervalo. Os clientes nunca abriam um único e-mail depois de «comprar». A situação agravou-se até começarmos a receber várias encomendas fraudulentas por dia.
Fizemos tudo o que o apoio da Shopify sugeriu. Filtros antifraude, todas as definições recomendadas, tudo. Nada fez uma diferença real. O apoio reconheceu o problema, disse que ia envolver uma equipa interna e depois... silêncio. Passaram-se dias sem qualquer resposta.
As soluções alternativas que não resultaram
Sem ajuda da própria Shopify, tentámos as soluções mais óbvias:
-
Análise manual das encomendas. Ativámos esta opção para que nada fosse enviado (ou, no nosso caso, entregue) sem verificarmos pessoalmente primeiro. Travou o problema, mas obrigava-nos a verificar e aprovar encomendas todos os dias, sem prazo para terminar.
-
Bloquear encomendas internacionais. Esta é uma recomendação comum da Shopify, mas é praticamente inútil para uma loja de produtos digitais. Só afeta os envios, e os produtos digitais não são enviados.
-
Marcar todos os produtos como «requer envio». Este truque aparece constantemente nos fóruns da comunidade Shopify como solução alternativa para fazer com que o bloqueio internacional também se aplique aos produtos digitais. Ponderámos fazê-lo, mas desistimos. Com centenas de produtos no nosso catálogo, alterar tudo apenas para remediar um problema de fraude que a própria Shopify devia resolver não fazia sentido, e não devia ser essa a solução.
Também procurámos ajuda fora da Shopify. Contactámos vários profissionais independentes no Upwork para ver se alguém com experiência em prevenção de fraude ou segurança da Shopify podia configurar uma solução adequada. Nenhum conseguiu resolver realmente o que precisávamos: ou não compreendiam o problema específico da fraude com produtos digitais e do tráfego de bots através de Tor/VPN, ou propunham as mesmas definições genéricas que já tínhamos experimentado. Também não chegámos a lado nenhum por essa via.
O que mais nos frustrou, sinceramente, foi ver a Shopify aceitar encomendas em que a morada de faturação obviamente não correspondia ao cartão: código postal errado, campos incompletos, informações claramente incompatíveis. Se esta discrepância básica não é um sinal de alerta para o próprio sistema da Shopify, isso é um problema sério, e não devia caber a cada lojista resolver a situação por conta própria.
Decidir pagar por uma aplicação de prevenção de fraude
Não queríamos mesmo acrescentar mais uma despesa mensal só para resolver algo que, a nosso ver, devia ser responsabilidade da Shopify. Mas a análise manual das encomendas não era sustentável e a fraude não abrandava. Por isso, acabámos por avançar e começámos a testar aplicações especializadas na prevenção de fraude. (Se tiver curiosidade em saber quanto nos custa, no total, o conjunto de aplicações da Shopify — e não apenas as de prevenção de fraude —, explicamos tudo no nosso artigo Vantagens e desvantagens da Shopify.)
Primeira tentativa: Blockify
Instalámos a Blockify e usámos a funcionalidade de bloqueio por país, bloqueando inicialmente todos os países, exceto os EUA. Parecia promissor: os dados analíticos mostravam que alguns visitantes tinham sido bloqueados na primeira hora.
Depois, entrou uma encomenda na mesma. Quando investigámos, percebemos que o visitante tinha usado Tor para ocultar e alterar o endereço IP, o que significava que o simples bloqueio por país/IP não ia ser suficiente. A solução proposta pela Blockify foi vender-nos o plano empresarial (cerca de 125 $/ano), que incluía deteção de Tor.
Iniciámos um período de teste do plano superior, mas o momento não podia ter sido pior: o apoio estava indisponível durante o fim de semana, precisamente quando precisávamos de ajuda. E, ainda por cima, percebemos que os dados analíticos de visitantes do período de teste não eram reais, uma vez que estávamos num plano de avaliação. Não conseguíamos confirmar se a ferramenta funcionava antes de nos pedirem que nos comprometêssemos com um ano inteiro. Cancelámos para não arriscar pagar por algo cuja eficácia não podíamos confirmar.
Segunda tentativa: outra aplicação
Passámos para outra aplicação de bloqueio de fraude, com um período de teste gratuito de 7 dias e um preço inferior ao do plano empresarial da Blockify. Esta apresentava dados analíticos reais e fiáveis desde o primeiro dia: países efetivamente bloqueados, deteções reais de VPN/proxy e registos reais de visitantes que podíamos consultar. Configurámo-la para bloquear todo o tráfego de fora dos EUA e, depois, permitimos especificamente o acesso do Canadá, porque queríamos que os clientes canadianos pudessem comprar.
Esta aplicação também detetou algo que o painel da Blockify nunca nos mostrou claramente: visitantes legítimos dos EUA a usar uma VPN, em vez de tráfego fraudulento. Aceitámos que um pequeno número de clientes genuínos dos EUA a usar VPN pudesse ser bloqueado e decidimos que essa era uma troca que valia a pena.
A única alteração que resolveu mesmo o problema
Eis o que consideramos mais importante para quem estiver a passar pelo mesmo: a maior melhoria não veio do bloqueio por país nem da deteção de VPN. Veio de uma sugestão que nem o apoio da Shopify nem a Blockify nos tinham dado: exigir que os clientes tenham uma conta para concluírem a finalização da compra.
Numa loja de produtos digitais, isto faz sentido de qualquer forma: uma conta de cliente permite que os compradores voltem a descarregar os ficheiros mais tarde, a partir do histórico de encomendas. É por isso que os clientes que compram algo como o nosso Plano de negócios imobiliário podem sempre voltar e obter novamente o ficheiro sem terem de procurar em e-mails antigos. Mas descobrimos que esta definição também foi a medida de prevenção de fraude mais eficaz que implementámos. Seja qual for o processo automatizado que fazia as encomendas fraudulentas, aparentemente não estava preparado para lidar com a criação de uma conta. Depois de ativarmos esta definição, as encomendas fraudulentas praticamente desapareceram.
Em conjunto com o bloqueio de bots e a deteção de VPN/proxy da nova aplicação, passámos de várias encomendas fraudulentas por dia para apenas algumas ao longo de uma semana inteira, e, por fim, tivemos vários dias consecutivos sem nenhuma.
O que diríamos a outros lojistas da Shopify
Se vende produtos digitais e está a passar pelo mesmo, eis o que recomendamos fazer primeiro, com base na nossa experiência:
-
Exija que os clientes tenham uma conta para finalizarem a compra. Só isto pode filtrar uma grande parte das fraudes automatizadas, e é gratuito.
-
Adicione uma aplicação especializada de bloqueio de fraude/bots com dados analíticos reais e verificáveis. Não se fique pelo bloqueio por país: procure também deteção específica de VPN, proxy e bots, porque o tráfego fraudulento sofisticado contorna os bloqueios simples por IP ou país.
-
Não confie em «marcar os produtos digitais como requerendo envio» como solução principal. É uma solução temporária para uma falha que a Shopify devia corrigir, não uma solução verdadeiramente duradoura, sobretudo quando se tem um catálogo extenso.
-
Insista junto do apoio da Shopify, mas não fique à espera. Continuamos a acreditar que aceitar encomendas com moradas de faturação e cartões claramente incompatíveis é uma falha da Shopify. Reportámos o problema. Não acreditamos que seja resolvido tão cedo, por isso não ficámos à espera.
Como estamos agora
Continuamos atentos, porque o tráfego fraudulento tem tendência a voltar assim que baixamos a guarda. Mas a combinação da exigência de uma conta com uma aplicação de bloqueio de bots/VPN que funciona como deve ser deu-nos algo que não tínhamos em março e abril: a possibilidade de gerir a loja sem a verificar várias vezes por dia.
Continuaremos a atualizar este artigo se houver alterações, mas, por agora, esta é a configuração que realmente funcionou connosco.
