La mayoría de los productos de software ofrecen una prueba gratuita a los nuevos clientes. Una prueba gratuita significa que tu empresa ofrece un valor real del producto a cualquiera que se registre, pero no todas las personas que se registran son clientes potenciales genuinos. Algunos actores fraudulentos explotan las pruebas gratuitas con identidades falsas para restablecer el período de prueba una y otra vez. Esto se conoce como abuso de pruebas gratuitas: el uso repetido y fraudulento de una oferta de prueba por parte de alguien que no tiene intención de convertirse en un cliente pago.

A continuación, explicamos las señales que muestran el abuso de pruebas gratuitas a tiempo, el impacto de la empresa más allá de las suscripciones falsas y el marco de prevención por capas que la detiene.

Destacados

• El abuso de pruebas gratuitas es un problema de fraude distinto de la pérdida de clientes. Implica un ciclo de identidad deliberado para extraer valor continuo sin pagar.

• El impacto en la empresa del abuso de pruebas gratuitas incluye análisis de productos corruptos, costos informáticos más altos y más exposición al fraude de pagos posteriores.

• La prevención eficaz requiere defensas por capas en la creación de cuentas, la inteligencia del dispositivo y el monitoreo posterior a la activación.

¿Qué es el abuso de prueba gratuita?

El abuso de prueba gratuita ocurre cuando un usuario restablece continuamente el período de prueba creando cuentas nuevas. Para parecer un usuario nuevo, usará identidades falsas o sintéticas como nuevas direcciones de correo electrónico, números de teléfono y otras credenciales para aparecer como un usuario nuevo y restablecer el período de prueba.

¿Cuáles son las tácticas comunes de abuso de pruebas gratuitas?

El abuso suele seguir patrones reconocibles. Los métodos exactos varían, pero en general se dividen en las siguientes categorías.

• Múltiples cuentas: la táctica más sencilla es crear varias cuentas usando diferentes direcciones de correo electrónico. Si un sistema de prueba solo verifica si un correo electrónico se utilizó antes, este método funciona bien.

• Direcciones de correo electrónico desechables y sintéticas: los servicios de bandeja de entrada temporales generan complementos laborales bajo demanda. Los actores más sofisticados registran sus propios dominios para generar direcciones ilimitadas que superan las comprobaciones básicas de validación.

• Rotación de identidad: para evitar que se los detecte, los usuarios cambian los datos de identidad, como nombres, números de teléfono (a veces mediante servicios de Voz sobre IP) y direcciones de facturación. Algunos combinan fragmentos de datos reales para crear identidades sintéticas que parecen legítimas ante las comprobaciones automatizadas.

• Bots de creación de cuentas automatizados: los scripts pueden completar las corrientes de creación de cuentas, resolver CAPTCHA simples y activar pruebas de forma automática. Cuando cada cuenta se ejecuta a través de redes proxy residenciales, parece originarse desde un dispositivo y ubicación diferentes.

• Omisión de la verificación: la verificación por correo electrónico se puede omitir a través de bandejas de entrada temporales, mientras que la verificación por SMS suele rechazarse utilizando servicios de números virtuales.

• Uso de la interfaz de programación de solicitudes de acceso directo (API) después de registrarse: en los productos basados en API, es posible que la cuenta de prueba solo se necesite para generar una clave API. Una vez emitida, la clave se puede usar directamente contra tus puntos de conexión hasta que se revoque o se restrinja su uso.

¿Qué señales indican el abuso de pruebas gratuitas desde el principio?

No hay una señal única que pruebe el abuso. La detección suele basarse en la acumulación de indicadores de riesgo: cuantas más señales haya, más probable es que la cuenta sea abusiva.

Debes tener en cuenta lo siguiente:

• Velocidad de registro desde la infraestructura compartida: varios registros desde la misma dirección de Protocolo de Internet (IP), rango de IP o proveedor de red en un período corto son indicadores sólidos de la infraestructura compartida. Los nodos de salida del centro de datos y la red privada virtual (VPN) son fuentes muy comunes.

• Dominios de correo electrónico sospechosos: los proveedores de correo electrónico desechables son fáciles de detectar con las listas de bloqueo de dominios. La antigüedad del dominio también puede ser reveladora: las direcciones creadas en dominios registrados solo días antes suelen indicar identidades sintéticas.

• Reutilización de huellas digitales del dispositivo: dos cuentas que dicen pertenecer a usuarios no relacionados rara vez comparten huellas digitales de navegador idénticas. Las combinaciones repetidas de firmas de canvas, fuentes instaladas, plugins o características del dispositivo pueden vincular cuentas que, de otro modo, parecerían separadas.

• Comportamiento anormal al principio de la sesión: los usuarios legítimos suelen explorar un producto. Los estafadores a menudo pasan directamente a la funcionalidad o punto de conexión API de mayor valor unos segundos después de activar una prueba.

• Patrones de prueba vinculados a cuentas vencidas: cuando una nueva prueba comienza poco después de que caduque otra y las cuentas comparten infraestructura, dispositivo o señales de identidad, es un fuerte indicador de comportamiento cíclico.

• Señales relacionadas con el pago: si recopilas datos de pago al momento del registro, señales como el uso de tarjetas prepagas, discrepancias entre el país de la tarjeta y la ubicación de la IP o la reutilización rápida de la misma tarjeta en varios registros pueden indicar riesgo.

¿Cómo afecta el abuso de pruebas gratuitas a tu empresa más allá de las suscripciones falsas?

El daño que causa el abuso de pruebas gratuitas se acumula de muchas formas. Este es el impacto real que tiene en la empresa el tener usuarios falsos en tu cohorte de prueba.

Costos de infraestructura y de API

Si una prueba incluye funcionalidades que consumen muchos recursos, en especial cómputo, almacenamiento o inferencia de IA, los estafadores las utilizarán en gran medida. Las empresas de IA informaron aumentos en los costos de infraestructura directamente atribuibles al abuso de las pruebas, y en algunos casos descubren el problema solo cuando el gasto en la nube salta inesperadamente.

Análisis de productos contaminados

El abuso de las pruebas distorsiona las métricas de producto. Las tasas de activación, la adopción de funcionalidades y el tiempo de puesta en valor parecen peores cuando una gran parte de tus usuarios nunca fueron evaluadores genuinos. Los equipos pueden tomar decisiones sobre el producto basándose en datos engañosos.

Carga de soporte

El abuso a menudo interrumpe los sistemas de soporte, por ejemplo con registros fallidos, alertas de fraude y problemas de facturación que requieren investigación.

Mayor exposición al fraude en los pagos

El abuso de las pruebas gratuitas suele preceder al fraude de pagos. Los actores que prueban sistemas con cuentas de prueba pueden intentar realizar transacciones con credenciales de pago robadas, ya que aprendieron cómo se comporta tu flujo de registro.

¿Qué comprende un marco eficaz de prevención de abuso de pruebas gratuitas?

Un enfoque eficaz para prevenir el abuso de la pruebas gratuitas es una defensa por capas. Cada control debe aumentar el costo de eludir tu sistema hasta que el abusar de él ya no valga la pena.

Esto es lo que comprende un marco de prevención eficaz.

Puntuación de riesgo al registrarse

Antes de activar una prueba, evalúa una combinación de señales, como la reputación del correo electrónico, el riesgo de IP, las características del dispositivo y los patrones de comportamiento. Las API modernas de detección de fraude pueden devolver estas puntuaciones en milisegundos con una fricción mínima para los usuarios legítimos.

Inteligencia del dispositivo

Huella digital del dispositivo ayuda a vincular cuentas creadas desde el mismo navegador o dispositivo, incluso cuando cambian los correos electrónicos, las direcciones IP y las identidades.

Fricción progresiva

En lugar de poner obstáculos a todos los usuarios, introduce una verificación adicional solo cuando las señales de riesgo superen un determinado umbral; por ejemplo, podrías exigir la verificación con un número real de operador móvil, lo que puede impedir muchos registros automatizados.

Límite de frecuencia:

Limita el daño que puede causar una sola cuenta de prueba. Las restricciones de la API y los límites de uso garantizan que ni siquiera una cuenta abusada con éxito pueda extraer un valor ilimitado.

Supervisión del comportamiento durante el ensayo

Los análisis posteriores a la inscripción pueden identificar patrones de consumo sospechosos y suspender las cuentas antes de que aprovechen por completo la ventana de prueba.

Análisis de señales de riesgo de pago con Stripe Radar

Si se recopila información de pago en el momento de la inscripción de prueba, los modelos machine learning de Stripe Radar evalúan esa transacción comparándola con las señales de toda la red de Stripe. Una tarjeta asociada a actividad fraudulenta en otro lugar conllevará un riesgo elevado en tu flujo de inscripción, incluso si es la primera vez que la veas.

¿Cómo se relaciona el abuso de pruebas gratuitas con otros riesgos de fraude en el registro y las suscripciones?

Los abusos de pruebas gratuitas rara vez se realizan de forma aislada; la misma infraestructura y tácticas suelen aparecer en otros tipos de fraude.

Así es como se conecta el abuso de pruebas gratuitas:

• Fraude en cuentas nuevas: los correos electrónicos desechables, los números virtuales y las redes proxy residenciales que se utilizan para el abuso de pruebas gratuitas también son comunes en la creación más amplia de cuentas falsas y la preparación para la apropiación de cuentas.

• Abuso de promoción: cualquier incentivo vinculado a una suscripción, como créditos, bonificaciones por recomendación o descuentos, es vulnerable a las mismas tácticas de cuentas múltiples utilizadas en el abuso de pruebas gratuitas. Las empresas que resuelven el abuso de pruebas gratuitas a menudo refuerzan simultáneamente sus flujos de canje de promociones.

• Abuso de API: una vez que se obtienen las credenciales API a través de una cuenta de prueba, es posible que se sigan utilizando mucho después de que finalice el período de prueba si no se procesa supervisión o revocación.

Cómo puede ayudar Stripe Radar

Stripe Radar utiliza modelos de IA para detectar y prevenir fraudes. Estos modelos, entrenados con datos de la red global de Stripe, se actualizan continuamente en función de las últimas tendencias de fraude, lo cual mantiene a tu empresa protegida a medida que evoluciona.

Stripe también ofrece Radar para Equipos de Fraude, que permite a los usuarios agregar reglas personalizadas que abordan escenarios de fraude específicos de sus empresas y acceder a información avanzada sobre fraude.

Radar puede ayudar a tu empresa a lograr lo siguiente:

• Prevenir pérdidas por fraude: Stripe procesa más de $1 billón en pagos al año. Este crecimiento permite a Radar detectar y prevenir el fraude con precisión y ahorra dinero.

• Aumentar los ingresos: los modelos de IA de Radar se entrenan con datos reales de disputas, información de clientes, datos de navegación y más. Esto permite a Radar identificar transacciones de riesgo y reducir falsos positivos, lo que aumenta tus ingresos.

• Ahorrar tiempo: Radar se integra en Stripe y no necesita líneas de código para su configuración. También puedes controlar el rendimiento del fraude, escribir reglas y mucho más en una sola plataforma, lo que aumenta la eficiencia.

Obtén más información sobre Stripe Radar o empieza a utilizarlo hoy mismo.