Fraude de reembolso e devolvedores em série: uma abordagem por grafo de dispositivos

A fraude de reembolso é a categoria em que a maioria dos varejistas subinveste, porque ela se esconde dentro de uma métrica que eles querem manter alta — a aceitação de devoluções — e porque as perdas chegam uma reclamação por vez, em vez de em um único chargeback dramático. Um devolvedor em série que custa a um comerciante algumas centenas de dólares por mês não dispara nenhum limiar. Mil deles, coordenados ou não, são uma linha do balanço.

Este texto é sobre detectar a ponta coordenada e semicoordenada desse espectro usando um grafo de dispositivos: a estrutura que liga as contas, métodos de pagamento e endereços de entrega que um único operador usa para industrializar devoluções. O público são os times de fraude e risco em plataformas de e-commerce e marketplace que já rodam controles de fraude de pagamento no checkout e agora olham para jusante, para o funil de devoluções.

O que conta como fraude de reembolso?

Fraude de reembolso é qualquer reclamação de devolução ou reembolso que recupera um valor a que o cliente não tem direito, seja por meio de engano ou de abuso de política. É um espectro, e separar as faixas importa porque a resposta difere em cada uma.

Na ponta benigna: devoluções honestas. Um cliente comprou o tamanho errado, o item não correspondeu ao anúncio, chegou danificado. Esse é o custo de fazer negócios e aquilo que políticas de devolução generosas são projetadas para absorver. Você não quer combater isso.

No meio: abuso oportunista. Wardrobing — comprar um vestido, usá-lo uma vez e devolvê-lo. Abuso de fit-finder — pedir cinco tamanhos com a intenção de devolver quatro, em escala, em cada pedido. Devolução em série em que a taxa de devolução é tão alta que o cliente está, na prática, alugando estoque. Isso é comportamento individual, geralmente não coordenado, e a resposta certa é política: taxas de devolução, termos de reposição de estoque, janelas mais apertadas para contas sinalizadas.

Na ponta organizada: quadrilhas de fraude. Reclamações de caixa vazia (relatar que o pacote chegou vazio), reclamações de não recebimento (DNA) sobre pacotes entregues, reclamações falsas de danos com evidências recicladas, trocas de devolução do item errado (devolver uma pedra, ficar com o telefone) e golpes duplos de reembolso seguido de chargeback. Essas operações rodam muitas contas, ciclam métodos de pagamento e endereços e tratam o fluxo de reembolso como uma fonte de receita. É aqui que a detecção automatizada se paga.

O grafo de dispositivos é mais valioso contra as faixas do meio e organizada, porque ambas compartilham uma propriedade que a faixa honesta não tem: um operador por trás de muitas identidades.

Por que os controles no nível da conta não detectam devolvedores em série

Os controles no nível da conta não detectam devolvedores em série porque o abuso é definido no nível da pessoa, não no nível da conta, e um abusador determinado controla muitas contas. Sua flag de taxa de devolução na conta A não diz nada sobre o fato de que as contas A, B, C e D são a mesma pessoa no mesmo notebook, cada uma mantida logo abaixo do limiar de sinalização.

Esse é o mesmo ponto cego que a detecção de multicontas aborda no lado do cadastro, aplicado ao lado das devoluções. A conta é a unidade de análise errada. Um abusador que entende o seu limiar de taxa de devolução simplesmente distribuirá suas devoluções por contas suficientes para ficar abaixo dele em cada uma. Se o seu limiar é uma taxa de devolução de 40%, ele roda cinco contas a 35% cada. Toda conta parece aceitável; o operador está devolvendo um terço de tudo o que pede.

E-mail e método de pagamento também não fecham a brecha. E-mail é grátis e infinito. Métodos de pagamento são baratos — cartões pré-pagos, cartões virtuais e cartões-presente são abundantes, e uma operação organizada trata um cartão queimado como um spammer trata um domínio queimado. O endereço de entrega parece mais durável, mas serviços de reenvio, endereços de encaminhamento de pacotes e armazéns de freight-forwarding permitem que um operador apresente dezenas de pontos de entrega com aparência distinta.

O que sobrevive a tudo isso é o ambiente de hardware e rede a partir do qual o operador realmente trabalha. Ele pode rotacionar o e-mail, o cartão e o endereço a cada pedido, mas ainda está sentado diante de um conjunto finito de dispositivos em um conjunto finito de redes. O grafo de dispositivos é a chave de junção que os dados de conta deliberadamente ocultam.

Como um grafo de dispositivos liga o padrão

Um grafo de dispositivos liga o abuso de reembolso resolvendo cada conta, pedido e reclamação de volta ao dispositivo e ao ambiente de rede que os produziu, e então expondo os clusters em que uma pegada de hardware se ramifica por muitas identidades. É a mesma análise de grafo de dispositivos subjacente usada para ligação de contas, orientada ao problema das devoluções.

O ponto de partida é um identificador de dispositivo estável que sobrevive às tentativas de evasão do operador. Cookies não servem — são apagados entre contas por qualquer um que faça isso deliberadamente. Uma impressão digital de dispositivo construída a partir de sinais de navegador, hardware, rede e comportamento produz um identificador que persiste através de armazenamento apagado, sessões anônimas e criação de contas novas. (A mecânica de construir esse identificador é abordada em como funciona a impressão digital de dispositivo; a versão curta é que se trata de uma correspondência probabilística através de muitos sinais, não de um único token armazenado.)

Com um identificador de dispositivo persistente anexado a cada conta e a cada reclamação, as arestas do grafo que importam para a fraude de reembolso tornam-se visíveis:

Um dispositivo, muitas contas. Uma única impressão digital de dispositivo associada a cinco, dez ou cinquenta contas é o principal sinal estrutural. Uma família compartilhando um computador doméstico produz duas ou três contas ligadas; uma operação de devolução em série produz dezenas, e as contas têm comportamento de devolução correlacionado.

Muitos métodos de pagamento, um dispositivo. A aresta inversa. Quando dez cartões diferentes — BINs diferentes, nomes diferentes — todos transacionam a partir do mesmo dispositivo, a história dos "clientes diferentes" desmorona. Dispositivos compartilhados legítimos veem um conjunto pequeno e estável de métodos de pagamento; operações de abuso passam por eles em rotação.

Agrupamento de endereços por dispositivo. Endereços de reenvio e encaminhamento parecem não relacionados no campo de endereço, mas convergem para as mesmas impressões digitais de dispositivo. O grafo revela que "doze clientes enviando para doze endereços" é um único operador cujos pacotes todos passam pelo mesmo armazém de encaminhamento, pedidos a partir dos mesmos dois notebooks.

Correlação comportamental através do cluster. As contas em um cluster de dispositivo não só compartilham hardware — compartilham comportamento. Timing de pedidos semelhante, categorias de produto semelhantes, motivos de devolução inseridos em linguagem semelhante. Um cluster em que toda conta registra reclamações de "item chegou danificado" a uma taxa de 30% não é uma coincidência.

A saída não é uma única pontuação de fraude. É uma estrutura ligada: esta reclamação vem de uma conta que pertence a um cluster de onze contas em três dispositivos que coletivamente registraram quarenta e duas reclamações de devolução no valor de uma quantia conhecida, com uma taxa de devolução muito acima da linha de base. Essa estrutura é o que torna a decisão de um revisor humano rápida e defensável.

Onde pontuar: momento do pedido ou momento da reclamação?

Pontue no momento da reclamação. A fraude de reembolso se revela na devolução, não na compra, e pontuar no momento da reclamação significa que você decide com o contexto completo do histórico de devoluções da conta — e do cluster — em vez de adivinhar no checkout.

No momento do pedido você sabe muito pouco que seja preditivo de abuso de reembolso. O pedido parece normal; o pagamento autoriza; o item é enviado. Bloquear no momento do pedido por suspeita de cluster de dispositivo significa bloquear compras legítimas de pessoas que por acaso compartilham um dispositivo, o que é um mau negócio — você perde receita real para prevenir uma devolução que talvez nunca venha.

No momento da reclamação, o quadro está completo. Você conhece a taxa de devolução da conta, a taxa de devolução do cluster, o tipo específico de reclamação (uma reclamação de DNA sobre um pacote entregue-e-assinado é categoricamente diferente de uma devolução por tamanho errado) e se esse cluster de dispositivo tem histórico do mesmo tipo de reclamação. É também aqui que o abuso é caro: uma reclamação de caixa vazia ou de DNA em uma quadrilha organizada é uma perda direta de caixa, e é exatamente o tipo de reclamação que um histórico ligado ao dispositivo expõe.

Na prática, isso significa rodar os smart signals e a consulta ao grafo de dispositivos como parte do fluxo de devoluções e reclamações, não só no checkout. O veredito alimenta uma resposta graduada em vez de um bloqueio binário:

• Baixo risco: aprovar o reembolso automaticamente. A grande maioria das devoluções. Não adicione atrito para clientes honestos.
• Risco elevado (padrão de abuso individual): mover a conta para uma faixa de política mais rígida — taxas de devolução, exigências de evidência, janelas mais curtas — sem acusar ninguém. Wardrobing e devolução em série são problemas de política, e política é a ferramenta proporcional.
• Alto risco (sinais de quadrilha organizada): encaminhar para revisão manual com o contexto completo do cluster de dispositivo anexado. Exigir prova da reclamação (fotos, confirmação da transportadora). Segurar o reembolso pendente de revisão em vez de emiti-lo automaticamente.

O grafo de dispositivos não toma a decisão final sobre nenhuma reclamação individual. Ele torna o contexto do revisor completo e transforma um fluxo de reclamações que parecem individualmente inocentes em um padrão legível.

Quais sinais de dispositivo importam mais para o abuso de devoluções

Os sinais que discriminam o abuso de reembolso são os que revelam um operador por trás de muitas identidades e um ambiente por trás de muitas reclamações — vinculação de dispositivo, contexto de rede e consistência comportamental através de um cluster.

A vinculação de dispositivo é o alicerce, como descrito acima: o identificador persistente que conecta contas, cartões e endereços. Sem ele, nada mais no grafo está ancorado.

O contexto de rede adiciona uma segunda dimensão. A camada de inteligência de IP distingue uma conexão residencial de um data center, uma VPN ou um proxy residencial. Operações de devolução organizadas frequentemente trabalham a partir de infraestrutura de hospedagem ou rotacionam através de proxies para fazer suas contas parecerem geograficamente diversas — e essa infraestrutura é, ela mesma, um sinal. Um cluster de contas que compartilha um dispositivo e também transaciona a partir de IPs de proxy é um padrão mais forte do que a vinculação de dispositivo isolada.

A consistência comportamental é a terceira. Reclamações de uma operação de devoluções genuína carregam impressões digitais linguísticas e procedimentais — a mesma fraseologia nos campos de motivo de devolução, os mesmos tipos de reclamação, o mesmo timing em relação à entrega. Quando as reclamações de um cluster de dispositivo são comportamentalmente uniformes, essa uniformidade é evidência de uma única mão.

A razão para combinar esses sinais em vez de confiar em qualquer um deles: cada um é evadível de forma independente, mas a coerência entre todos eles é difícil de forjar. Um operador pode falsificar um sinal de dispositivo, ou rotear através de um proxy residencial, ou variar a linguagem de sua reclamação — mas fazer os três de forma consistente através de dezenas de contas, em cada pedido e cada reclamação, é caro o suficiente para deixar de ser lucrativo. Esse é o mesmo princípio de coerência ambiental que fundamenta a inteligência de dispositivos em geral, aplicado à economia específica das devoluções.

O que isso muda operacionalmente

Adotar uma visão de devoluções por grafo de dispositivos muda três coisas. Primeiro, a unidade de análise passa da conta para o operador, que é o único nível em que a devolução em série sequer é visível. Segundo, as decisões de reembolso ganham histórico — uma reclamação de primeira vez de uma conta em um cluster abusivo de longa data é tratada com o contexto que o cluster fornece, não como uma folha em branco. Terceiro, a resposta se torna graduada e defensável: faixas de política para abuso individual, revisão manual com evidência para quadrilhas organizadas e nenhum atrito adicional para a maioria honesta.

Nada disso exige acusar clientes ou bloquear devoluções totalmente. Exige saber quais reclamações vêm das mesmas mãos e tratar um padrão coordenado de forma diferente de um isolado.

A Tracio fornece a identidade de dispositivo persistente e a vinculação por grafo de dispositivos de que essa abordagem depende — um identificador de visitante estável que sobrevive a cookies apagados e contas novas, contexto de rede da inteligência de IP e os smart signals que revelam o agrupamento conta-para-dispositivo e pagamento-para-dispositivo. O veredito e os sinais subjacentes retornam em menos de 50ms no ponto da reclamação, com o cluster ligado disponível para o revisor.

Quer ver como um grafo de dispositivos expõe devolvedores em série nos seus próprios dados de devolução?

Comece seu teste grátis — 2.500 verificações grátis, sem cartão de crédito. Agende uma demonstração para percorrer a detecção de fraude de reembolso contra o seu funil de devoluções e modelo de política específicos.