Saiba como sua localização pode te proteger sem ferir sua privacidade

Dúvidas e mais dúvidas

Embora o SDK da Incognia já seja realidade para milhões de usuários, o mecanismo ainda é algo desconhecido e, de certa, diferente para a maioria das pessoas. Somado ao fato de ser uma tecnologia única, é natural que diversas dúvidas venham à tona.

Este mapeamento, de fato, garante uma proteção extra?

Um dos principais questionamentos é se este mapeamento baseado na localização é suficiente para garantir a proteção ao usuário, tendo em vista que os cibercriminosos estão cada vez mais aperfeiçoando suas técnicas para golpes e fraudes. A resposta é “sim”, de acordo com o cofundador da Incognia.

Prova disso é um levantamento feito com mais de 100 milhões de dispositivos “equipados” com a tecnologia da Incognia. A pesquisa chegou a levantar algumas informações interessantes:

• 90% dos logins de usuários legítimos ocorrem a partir de localizações confiáveis;
• 95% das transações sensíveis não-fraudulentas ocorrem a partir de localizações confiáveis;
• 88% das compras legítimas em e-commerce ocorrem a partir de localizações confiáveis;
• 85% dos usuários legítimos abrem contas em bancos digitais a partir de seu endereço residencial;
• 93% dos endereços de faturamento utilizados em compras legítimas de e-commerce são endereços residenciais.

Basta ligar esses dados à atividade do usuário para traçar uma espécie de padrão de sessões feitas em pontos considerados seguros (trusted locations, em inglês). Além disso, essa localização mais assertiva facilita o processo de cadastramentos que exigem validação por meio de comprovantes de residência, por exemplo.

Para quem duvida da eficácia, vale conferir o case público com a fintech will bank. Após aderir à tecnologia, a instituição observou uma queda de 80% de casos de roubo de conta e zero casos de roubo de conta com a localização ativa — calma que falaremos disso mais tarde.

Quais ameaças a tecnologia mitiga

Embora a account takeover — contas comprometidas após o ator ter obtido as credenciais da vítima — seja a principal ameaça combatida, o SDK também é utilizado para filtrar contas falsas, além de detectar root e emuladores, por exemplo.

Ela é melhor que outras validações?

“Mas por que usar esses sinais do dispositivo ao invés de um PIN ou biometria digital?”, podem estar se perguntando alguns. Para Queiroz, a vantagem está justamente no fato de o mecanismo dificultar que um fraudador replique os “passos” de uma vítima.

“O comportamento é uma métrica difícil de ser replicada. Como um fraudador vai conseguir copiar o seu comportamento e tentar se passar por você? É muito difícil. A biometria facial tem vários casos de pessoas usando imagens de terceiros. Se for só dado de IP, o usuário pode usar uma VPN e as pessoas podem utilizar apps de fake GPS. O fato de você usar localização e criar um comportamento do usuário por meio de uma tecnologia mais assertiva, que também usa sinais de Wi-Fi, Bluetooth e redes de celulares torna muito mais difícil a prática de forjar dados para conseguir acesso à conta”, disse Lucas Queiroz.

Mas e a questão da privacidade?

Privacidade do usuário também é um dos focos da companhia – Imagem: George Prentzas/Unsplash

A principal dúvida, no entanto, é como a empresa consegue coletar todos esses dados e ainda assim assegurar a privacidade das informações do usuário. Mais proteção, mas em troca, mais coleta de sinais? Vale a pena? O receio é completamente compreensível.

Mas antes de tudo, é necessário entender alguns pontos importantes. O primeiro deles é que a Incognia não coleta nenhuma informação pessoalmente identificável (PII), segundo o cofundador da companhia.

“Não coletamos nome, CPF, RG, identidade ou qualquer coisa do tipo. Na verdade, coletamos sinais, dados anônimos do usuário. A ideia é: existe um dispositivo e esse aparelho pertence a uma conta vinculada a um código. Nós iremos mapear o dispositivo, mas não sabemos quem são as pessoas. Isso dá uma proteção interessante”, explicou Queiroz.

Ainda segundo o executivo, esse código vinculado ao dispositivo (chamado de ID) é usado apenas para analisar as avaliações de risco de determinado aparelho. Além disso, a Incognia aplica técnicas de pseudo-anonimização, criptografia e hashes para proteger os IDs.

Mesmo que a companhia destaque que a coleta de dados para prevenção de fraudes não exija o consentimento explícito do usuário, segundo a própria Lei Geral de Proteção de Dados Pessoais (LGPD), ela destaca que usuário não é obrigado a fornecer seus dados de localização e que a permissão precisará ser concedida por ele.

A boa notícia é que a tecnologia também pode funcionar bem sem esse dado precioso. Neste caso, a empresa vai utilizar outros dados do dispositivo (saber se o aparelho está usando um emulador ou jailbreak, por exemplo), que serão usados para construir as avaliações de risco.

Futuro da Incognia

Atualmente com mais de 150 milhões de usuários em sua base, a Incognia agora tem uma meta para 2022: crescer. E essa expansão se dará tanto no Brasil quanto lá fora. Na prática, isso deve ser visto com a captação de novos clientes e novas parcerias.

“Temos vários clientes aqui no Brasil. Só não fechamos ainda acordos para tornar os cases públicos. A ideia é expandir por aqui e em outras regiões. Estamos com sede nos EUA, que já atende o mundo de forma geral. Mas também estamos fechando com clientes na Europa e Asia”, revelou o executivo.

Por ora, a tecnologia de localização da Incognia deve permanecer como algo novo e, talvez até distante para muita gente. Mas se tudo correr conforme os planos da empresa, o SDK certamente vai passar a fazer parte da rotina dos usuários móveis — sejam eles daqui ou da gringa.