Em sites de e-commerce japoneses, a “autenticação baseada em risco” é uma medida de prevenção a fraudes cada vez mais importante. Segundo um relatório da Japan Credit Association, as perdas estimadas com fraude em cartões de crédito em 2025 foram de aproximadamente ¥ 51 bilhões. Embora isso represente uma queda em relação ao ano anterior, ainda são necessárias medidas contínuas de prevenção. É importante observar que a maioria dos casos de fraude em cartões de crédito envolve o roubo de números de cartão, com incidentes ocorrendo principalmente em transações remotas, como as realizadas em sites de e-commerce.

Nesse contexto, a autenticação baseada em risco vem ganhando atenção como uma medida que garante segurança sem comprometer a experiência do usuário.

Este artigo trará uma explicação clara sobre os mecanismos e tipos de autenticação baseada em risco, como ela difere da autenticação multifator (MFA) e quais são os benefícios e principais considerações ao implementá-la, tudo no contexto do ambiente de e-commerce do Japão.

Principais conclusões

• A autenticação baseada em risco avalia o risco com base no comportamento do usuário e no ambiente de acesso; ela solicita verificação adicional apenas quando necessário.
  
• Enquanto a autenticação multifator (MFA) exige verificação adicional para cada login ou transação, a autenticação baseada em risco ajusta dinamicamente a presença e a força da autenticação com base no nível de risco.
  
• A autenticação ativa exige interação do usuário, enquanto a autenticação passiva analisa o comportamento do usuário em segundo plano, sem exigir nenhuma ação.
  
• A autenticação baseada em risco pode ajudar a equilibrar segurança e experiência do usuário, mas sua eficácia depende de design e implementação adequados.
  
• No mercado de e-commerce do Japão, a prevenção a fraudes se tornou cada vez mais importante, e a autenticação baseada em risco vem sendo adotada como uma das principais abordagens para lidar com esse problema.
  

O que é autenticação baseada em risco?

A autenticação baseada em risco é um sistema que analisa o comportamento do usuário e os ambientes de acesso para avaliar o risco. Com base nessa análise, ele determina se autenticação adicional é necessária.

Por exemplo, a autenticação adicional é exigida apenas quando padrões de comportamento incomuns são detectados, como acesso por um endereço IP, dispositivo ou navegador diferente, ou por um fuso horário distinto do habitual para o usuário. Esse mecanismo permite prevenir acesso não autorizado antes que ele realmente aconteça.

Diferenças entre autenticação baseada em risco e autenticação multifator (MFA)

A autenticação multifator (MFA) é um sistema de verificação da identidade de um usuário pela combinação de dois ou mais fatores de autenticação extraídos de três categorias: conhecimento, como senha ou PIN; posse, como token de segurança; e inerência, como biometria, incluindo impressões digitais.

Enquanto a autenticação baseada em risco ajusta dinamicamente a exigência ou a força da autenticação com base no contexto específico, a autenticação multifator geralmente exige verificação adicional sempre que um usuário faz login. Embora a autenticação multifator possa reforçar a segurança, ela tende a aumentar o ônus para os usuários.

Tipos de autenticação baseada em risco e como funcionam

Há dois tipos de autenticação baseada em risco: a “autenticação ativa”, que exige que o usuário realize uma ação explícita, e a “autenticação passiva”, que processa a autenticação em segundo plano sem exigir ação do usuário.

Autenticação ativa

A autenticação ativa exige que os usuários realizem uma ação explícita de autenticação.

Por exemplo, se o usuário estiver fazendo login no online banking de uma localização incomum ou realizando uma compra de alto valor em um site de e-commerce, pode ser solicitado que insira uma senha de uso único ou forneça autenticação adicional por meio do 3D Secure 2.

Uma característica importante desse sistema é que ele realiza verificação adicional apenas em situações consideradas de alto risco. Isso pode prevenir fraudes sem comprometer a conveniência das transações cotidianas.

Autenticação passiva

A autenticação passiva é um método de avaliação de risco baseado em informações sobre o comportamento do usuário e os ambientes de acesso, sem exigir que o usuário realize ações específicas.

Por exemplo, em um site de e-commerce, o endereço IP do usuário, as informações do dispositivo, o navegador, os horários de acesso, o histórico de compras e os padrões de comportamento do usuário são analisados em segundo plano, e o sistema monitora continuamente qualquer atividade incomum. Esse mecanismo permite detectar sinais de fraude sem exigir que os usuários percebam as medidas de segurança.

Além disso, o sistema detecta comportamentos como um aumento repentino de pedidos em um curto período ou velocidades de operação anormalmente rápidas, ajudando assim a mitigar o risco de pedidos fraudulentos e pedidos falsos feitos por bots.

Embora a autenticação passiva permita reforçar a segurança sem comprometer a conveniência do usuário, nos casos em que é difícil chegar a uma conclusão, geralmente ela é usada em combinação com a autenticação ativa.

Benefícios da autenticação baseada em risco

A autenticação baseada em risco permite otimizar o equilíbrio entre segurança e experiência do usuário. Em sites de e-commerce, isso tem uma função central na manutenção e no aumento das vendas.

Mitiga acesso não autorizado e fraude

Com a autenticação baseada em risco, a verificação adicional é acionada apenas quando atividades suspeitas são detectadas com base no ambiente de login ou em padrões de transação. Isso mitiga de forma eficaz riscos como logins não autorizados e pedidos fraudulentos.

Isso é particularmente valioso para sites de e-commerce, ajudando a reduzir incidentes como pedidos fraudulentos usando dados de cartões roubados, sequestro de conta e pedidos falsos.

Não compromete a conveniência do usuário

Em vez de exigir autenticação de dois fatores de todos os usuários, o sistema permite ignorar a autenticação em casos considerados de baixo risco, possibilitando logins e pagamentos sem atrito.

Isso torna possível garantir segurança e, ao mesmo tempo, minimizar o atrito para usuários legítimos.

Reduz o abandono de carrinho e ajuda a manter as taxas de conversão

Em sites de e-commerce, um processo de autenticação trabalhoso pode levar ao abandono de carrinho. Com a autenticação baseada em risco, a verificação adicional é exigida apenas para transações de alto risco. Isso ajuda a evitar a perda de clientes causada por verificações desnecessárias.

O uso eficaz da autenticação baseada em risco permite manter taxas de conversão ao mesmo tempo que garante um alto nível de segurança.

Pontos de atenção na autenticação baseada em risco

Embora a autenticação baseada em risco equilibre segurança e conveniência, um único erro pode impactar negativamente a experiência do usuário e a receita.

Possibilidade de a autenticação reforçada produzir o efeito contrário

Com a autenticação baseada em risco, verificação adicional é exigida quando uma situação de alto risco é detectada. Se isso ocorrer com frequência, pode ser bastante oneroso para o usuário.

Em especial, se os clientes precisarem autenticar várias vezes durante o processo de checkout, poderão perder a vontade de concluir a compra. Ao operar um site de e-commerce, é necessário priorizar a segurança, mas uma abordagem tão agressiva que comprometa a experiência do usuário pode acabar anulando o objetivo.

Impacto de falsos positivos sobre usuários legítimos

Dependendo da precisão da avaliação de risco, o comportamento de usuários legítimos pode ser sinalizado como suspeito, gerando falsos positivos.

Por exemplo, se um usuário legítimo estiver acessando o serviço durante uma viagem de negócios ou férias, ou se tiver trocado de dispositivo, a atividade poderá ser sinalizada como ocorrendo em um ambiente atípico. Como esses falsos positivos podem facilmente levar à frustração do usuário, é necessário ter cautela.

A eficácia da autenticação baseada em risco depende muito do seu design e da sua implementação. É importante usá-la de uma forma que equilibre cuidadosamente a experiência do usuário.

Principais considerações ao implementar autenticação baseada em risco

Os pontos principais para implementar a autenticação baseada em risco com eficácia são os seguintes:

Design baseado no perfil de risco da sua empresa

O design ideal da autenticação baseada em risco varia conforme as características do serviço e o comportamento do usuário.

Por exemplo, em sites de e-commerce, é importante desenhar o sistema considerando pedidos de alto valor e momentos em que atividades fraudulentas têm maior probabilidade de ocorrer. Por outro lado, em serviços de associação, o foco deve estar em prevenir acesso não autorizado durante o processo de login.

Faça melhorias contínuas

Implementar autenticação baseada em risco não é uma tarefa única. Os critérios usados para avaliação de risco devem ser revisados periodicamente e atualizados para refletir as características específicas do serviço e as tendências predominantes em atividades fraudulentas. Tanto as táticas fraudulentas quanto os comportamentos dos usuários evoluem ao longo do tempo.

Mesmo após a implementação, é importante ajustar continuamente as avaliações de risco e melhorar as operações monitorando métricas como taxa de autenticação, taxa de perda de clientes e precisão da detecção de fraudes.

Como o Stripe Radar pode ajudar

O Stripe Radar usa modelos de IA para detectar e prevenir fraudes, treinados com dados da rede global da Stripe. Ele atualiza continuamente esses modelos com base nas últimas tendências de fraude, protegendo sua empresa à medida que a fraude evolui.

A Stripe também disponibiliza o Radar for Fraud Teams, que possibilita que os usuários criem regras personalizadas voltadas a cenários de fraude específicos aos seus negócios, além de oferecer acesso a informações avançadas de fraude.

O Radar pode auxiliar sua empresa a:

• Prevenir perdas por fraude: a Stripe processa anualmente mais de US$ 1 trilhão em pagamentos. Essa escala exclusiva permite que o Radar detecte e evite fraudes com precisão, economizando seu dinheiro.

• Aumentar a receita: os modelos de IA do Radar são treinados com dados de contestações reais, informações de clientes, dados de navegação e mais. Isso permite que o Radar identifique transações arriscadas e reduza falsos positivos, aumentando sua receita.

• Economizar tempo: o Radar é integrado à Stripe e exige zero linhas de código para ser configurado. Você também pode monitorar o desempenho de sua prevenção de fraudes, criar regras e mais em uma única plataforma, aumentando a eficiência.

Saiba mais sobre o Stripe Radar ou comece já.