VTOL ANTIFRAUDE
Manual de Usuario
Cambios por revisiones
Fecha | Revisión | Cambios – Motivo |
|---|---|---|
21/08/2019 | 1.0 | Creación del documento |
| 20/05/2020 | 1.1 | Revisión del documento |
| 17/12/2020 | 1.2 | Agregado de funcionalidades de Whitelist y Condición de aplicación de reglas. |
Indice
El presente manual tiene por finalidad la capacitación de los usuarios que deseen utilizar el módulo antifraude del producto VTOL.
Brinda la información necesaria, con el nivel de detalle suficiente para que el usuario pueda configurar las reglas de antifraude, tanto de tarjetas en listas negras como de reglas de acumulación.
VTOL Antifraude es un sistema que evalúa las transacciones presenciales y no presenciales realizadas con tarjetas crédito y débito, con el objetivo de prevenir y controlar transacciones fraudulentas. De esta manera se reducen las pérdidas por fraude en las transacciones de los comercios.
El usuario administrador podrá configurar las reglas antifraude en la consola web de VTOL. De esa manera se validarán dichas reglas contra los datos entregados por el POS, efectuando un rechazo de la operatoria en caso de que no pase las validaciones.
La lógica de validación de transacción será on-line, al momento de realizar el pago.
Las reglas de antifraude disponibles son las siguientes:
Cómo funciona:
Si se procesa una transacción y el número de tarjeta se encuentra en la Blacklist, se rechaza la transacción y no será necesario validar la transacción mediante los velocity checks. |
A continuación se explicará la funcionalidad y uso de cada una de las opciones para manejar las reglas antifraude.
Las whitelist o listas blancas son un grupo de números de tarjetas que evitarán todos los controles de antifraude. Se cargarán en el módulo AF de VTOL y al momento de una compra con una tarjeta de lista blanca, no se ejecutará ninguna validación más.
Las listas blancas persisten números de tarjetas enteros, que AF VTOL los hasheará por PCI (utilizando SHA-512).
Tener en cuenta que cuando una transacción se origine desde un origen físico con pinpad, este enmascara la tarjeta y no se podrá efectuar la validación de lista blanca; sólo se podrá validar cuando la transacción se realice desde alguno de los siguientes orígenes:
AF VTOL realizará la validación de la tarjeta proveniente del POS, de IVR o de eCommerce con las persistidas en la lista blanca.
Para acceder a la configuración de las reglas de blacklist, seleccionar la opción "Whitelist" dentro del menú: (Antifraude > Configuración)
A través de esta página es posible administrar las reglas Whitelist con las cuales trabajará el sistema.
Desde la pantalla de configuración de Whitelist se podrá:
La búsqueda de tarjetas en lista blanca se podrá realizar ingresando los filtros de búsqueda.
En la grilla de resultados se mostrarán visibles los primeros 6 y los últimos 4 dígitos de la tarjeta. El resto de los números aparecerán enmascarados.
Para cargar una tarjeta a Whitelist, se debe presionar el botón "Crear". Hecho esto la aplicación solicitará el ingreso del número de la tarjeta (debe ser único) y la fecha hasta que se validará (ingreso opcional).
Para que la tarjeta quede habilitada para ser validada en la whitelist, el checkbox "Habilitar" debe quedar tildado. Si el checkbox queda destildado, entonces esa tarjeta no se validará en la whitelist.
Presionar "Aceptar" para concluir el alta de la tarjeta. Presionar "Cancelar" si no se desea cargar la tarjeta en el sistema.
Para eliminar una tarjeta, se deberá seleccionar en la columna "Selección" las tarjetas que se quieren eliminar. Luego oprimir el botón "Eliminar".
Al presionar "Eliminar" el sistema solicitará confirmar la eliminación. Al oprimir "Aceptar" se persistirán los cambios, y al oprimir "Cancelar" no se realizará ningún cambio.
Para habilitar o deshabilitar tarjetas es necesario seleccionar, en la columna "Selección" las tarjetas que se quieren habilitar o deshabilitar. Luego hay que presionar el botón "Habilitar/Deshabilitar" y se realizará la acción opuesta al estado en que estaba la tarjeta al momento de realizar la acción.
El estado actual está indicado por el valor de la columna "Habilitado".
Las blacklist o listas negras son un conjunto de números de tarjetas fraudulentas, que se cargarán en el sistema AF VTOL para rechazarlas al momento de una operatoria.
Las listas negras persisten números de tarjetas enteros, que AF VTOL los hasheará por PCI (utilizando SHA-512).
Tener en cuenta que cuando una transacción se origine desde un origen físico con pinpad, este enmascara la tarjeta y no se podrá efectuar la validación de lista negra; sólo se podrá validar cuando la transacción se realice desde alguno de los siguientes orígenes:
AF VTOL realizará la validación de la tarjeta proveniente del POS, de IVR o de eCommerce con las persistidas en la base de lista negra.
Para acceder a la configuración de las reglas de blacklist, seleccionar la opción "Blacklist" dentro del menú: (Antifraude > Configuración)
Descripción de la página
A través de esta página es posible administrar las reglas blacklist con las cuales trabajará el sistema.
Desde la pantalla de configuración de blacklist se podrá:
Para obtener la información de las tarjetas cargadas en el sistema, se dispone de la opción de buscarla por medio del campo de búsqueda denominado "Número de tarjeta" presente en la parte superior de la pantalla. Una vez seleccionado el valor de este campo presionar "Buscar".
En el campo "Número de tarjeta" se podrá ingresar un número de cualquier largo y el sistema buscará si existe esa información sin importar si hay datos adelante o atrás de los números ingresados. Además se podrá filtrar la búsqueda teniendo en cuenta las opciones de: primeros 6 dígitos, últimos 4 dígitos o la tarjeta completa.
En la grilla de resultados se mostrarán los primeros 6 y los últimos 4 dígitos de la tarjeta. El resto de los números aparecerán de forma enmascarada.
Para cargar una tarjeta a Blacklist se debe presionar el botón "Crear". Hecho esto la aplicación solicitará el ingreso del número de la tarjeta (debe ser único) y la fecha hasta que se validará (ingreso opcional).
Para que la tarjeta quede habilitada para ser validada en la blacklist, el checkbox "Habilitar" debe quedar tildado. Si el checkbox queda destildado, entonces esa tarjeta no se validará en la blacklist.
Presionar "Aceptar" para concluir el alta de la tarjeta. Presionar "Cancelar" si no se desea que la tarjeta se cargue en el sistema.
Para eliminar una tarjeta, se deberá seleccionar en la columna "Selección" las tarjetas que se quieren eliminar. Luego oprimir el botón "Eliminar".
Al presionar "Eliminar" el sistema solicitará confirmar la eliminación. Al oprimir "Aceptar" se persistirán los cambios y al oprimir "Cancelar" no se realizará ningún cambio.
Para habilitar o deshabilitar tarjetas es necesario seleccionar, en la columna "Selección" las tarjetas que se quieren habilitar o deshabilitar. Luego hay que presionar el botón "Habilitar/Deshabilitar" y se realizará la acción opuesta al estado en que estaba la tarjeta al momento de realizar la acción. El estado actual está indicado por el valor de la columna "Habilitado".
Velocity check es un conjunto de reglas de acumulación que permiten realizar validaciones por determinados datos. Estas reglas son configurables por el usuario administrador de AF VTOL.
Se podrán configurar por: cantidad total de transacciones, cantidad de items adquiridos en una transacción, importe total sumarizado en una transacción. Las validaciones podrán ser por un período establecido (lapso de hasta 24 horas o diario que sería hasta las 12 de la noche de ese día), y también por el canal de ingreso de la operación.
Un sencillo ejemplo sería la configuración de un acumulador que contabilice la cantidad de 3 transacciones en un periodo de 2 horas, cada vez que lleguen transacciones de un mismo usuario en el canal de e-commerce. Entonces en esas 2 horas, cuando la suma de transacciones llegue a 3 de un mismo ID de usuario del canal e-commerce, AF VTOL rechazará la cuarta operatoria de venta y se lo informará al POS. Podría haber sucedido realmente que alguien robó una tarjeta y desde un e-commerce realice la compra de productos.
Para acceder a la configuración de las reglas de Velocity Check, seleccionar la opción "Velocity Check" dentro del menú: (Antifraude > Configuración)
A través de esta página es posible administrar las reglas de Velocity Check con las cuales trabajará el sistema.
Desde la pantalla de configuración de velocity check se podrá:
Para obtener la información de las reglas de velocity check cargadas en el sistema se dispone la opción de buscar ingresando los filtros:
Acumular por
Estado
Ingresar los valores deseados en los campos de búsqueda y presionar "Buscar".
Al presionar la acción "Ver", se desplegará una ventana con todos los detalles del velocity check seleccionado.
Para cargar un nuevo Velocity Check se debe presionar el botón "Crear". Hecho esto, la aplicación solicitará el ingreso de los siguientes campos:
Presionar "Aceptar" para concluir el alta del velocity check. Presionar "Cancelar" si no se desea que el velocity check se cargue en el sistema.
Se pueden agregar tantos velocity checks que se deseen, siempre y cuando los mismos difieran en los campos canales, criterios o contabilización.
Para modificar un velocity check, se debe hacer click sobre el link "Editar" correspondiente al registro que se quiere modificar. Posteriormente se mostrará la pantalla de modificación con los datos cargados. El sistema permitirá cambiar todos los campos del velocity check, sólo para aquellas reglas que no tengan registros acumulados. Si una regla de velocity check ya acumuló algún registro, entonces no se podrá modificar, a excepción del campo "Nombre".
Para eliminar un velocity check, se deberá seleccionar en la columna "Selección" el registro que se quiere eliminar. Luego oprimir el botón "Eliminar".
Al presionar "Eliminar" el sistema solicitará la confirmación de la eliminación. Al oprimir "Aceptar" se persistirán los cambios y al oprimir "Cancelar" no se realizará ningún cambio.
Para habilitar o deshabilitar velocity check es necesario seleccionar, en la columna "Selección", los registros que se quieren habilitar o deshabilitar. Luego hay que presionar el botón "Habilitar/Deshabilitar" y se realizará la acción opuesta al estado en que esté el registro al momento de realizar la acción. El estado actual está indicado por el valor de la columna "Habilitado".
Esta funcionalidad permitirá habilitar o deshabilitar las reglas antifraude a las compañías cargadas en VTOL. Sólo aquellas compañías que tengan suscripción a alguna de las reglas antifraude, entrarán en el proceso de validación de dichas reglas.
Para acceder a la configuración de la suscripción a reglas antifraude, seleccionar la opción "Suscripción a reglas" dentro del menú: Antifraude > Suscripción a reglas.
A través de esta página es posible administrar la suscripción a las reglas antifraude con las cuales trabajará el sistema.
Desde la pantalla de administración de suscripción se podrá:
Para habilitar o deshabilitar la suscripción a reglas antifraude, es necesario seleccionar en la columna "Suscripción" los registros que se quieren habilitar o deshabilitar. Luego se debe presionar el botón "Guardar", y el sistema guardará los datos. El estado actual está indicado por el valor de la columna "Suscripto".
La condición de aplicación antifraude es un dato que será utilizado por AF VTOL para ejecutar o ignorar reglas. Es un dato que será enviado por el POS en cada transacción de venta. Cada regla podrá estar suscripta a una condición, y de esa manera se aplicarán las validaciones de dicha regla.
Para poder habilitar reglas con condición de aplicación, se deben dar de alta en AF VTOL las opciones que aplicará a cada compañía.
Si el POS envía una Condición, se validará si la compañía está suscripta a alguna regla con dicha Condición. Si está suscripta, se ejecutará la regla AF, y si no está suscripta, no se ejecutará. Si el POS envía no envía ninguna Condición, se validará si la compañía está suscripta a alguna regla "Sin condición". Si está suscripta, se ejecutará la regla que no tiene condición, y si no está suscripta, no se ejecutará. Si el POS envía una Condición, pero no está creada en antifraude de VTOL para la compañía, no se ejecutará ninguna regla AF. |
Por ejemplo, si una compañía tiene creadas las siguientes condiciones:
Además, la opción "Sin Condición" estará vinculada por defecto a todas las compañías. Esta opción se utilizará para los casos en los que la compañía no trabaje con ninguna condición de aplicación.
Entonces en la pantalla de Suscripciones, se podrán visualizar las siguientes combinaciones:
Aquí se podrá suscribir cada regla según la condición de aplicación que trabaje la compañía.
En caso de que la compañía se suscriba a las siguientes reglas:
Esto quiere decir que AF VTOL ejecutará las reglas de Whitelist, Blacklist y Velocity checks únicamente cuando la condición de aplicación informada por el POS sea RECURRENTE.
A continuación se detallan las respuestas posibles de VTOL Server, cuando se opera con Antifraude:
Código | Descripción de respuesta al POS | Descripción interna módulo antifraude |
|---|---|---|
| 801 | Tarjeta no autorizada | Fraude por validación de BlackList |
| 802 | Tarjeta no autorizada | Posible Fraude por BlackList |
| 803 | Operación no autorizada | Fraude por Velocity Check |
| 804 | Operación no autorizada | Posible fraude por Velocity Check |
| 805 | Operación no autorizada | Error en validación concurrente, posible fraude por Velocity Check |
| 806 | Operación no autorizada | Error en validación Velocity Check |
| 807 | Operación no autorizada | Error general en validación de Antifraude |
| 810 | Operación no autorizada | Faltan campos requeridos en el requerimiento |
A continuación se detallan las funcionalidades que aplican a reglas antifraude:
Funcionalidades | Aplicación de reglas | ||
|---|---|---|---|
| Blacklist | Velocity Check | Observaciones | |
| Transacciones CRDB - Venta | SI | SI | |
| Transacciones CRDB - PreAutorization | SI | SI | Valida velocity check, pero no acumula. |
| Transacciones CRDB - Captura | SI | SI | Valida velocity check, y además acumula. |
| Transacciones CRDB - Venta Offline | SI | SI | |
| Transacciones PEI - Venta | SI | SI | Valida velocity check, y además acumula. |
| Transacciones CRDB Aprobadas por el Host | SI | Valida velocity check, y además acumula. | |
| Transacciones CRDB Rechazadas por el Host | SI | No acumula al contador. | |
| Transacciones CRDB Reversadas por Vtol | SI | No acumula al contador. | |
| Transacciones CRDB Canceladas por el POS | SI | No acumula al contador. | |
| Transacciones CRDB Rechazadas por Vtol | SI | No acumula al contador. | |
| Transacciones Mercado Pago | NO | NO | No es posible asociar las transacciones a una clave única |
| Transacciones CRDB - Devoluciones | NO | NO | |
| Transacciones CRDB - Anulaciones | NO | NO | |
| Transacciones PEI - Devolución | NO | NO | |
| Transacciones CRDB - ServicePayment | NO | NO | |
La aplicación cuenta con procesos de depuración que permiten eliminar, en base a ciertos criterios, los acumuladores y aquellos datos que dejan de tener importancia en las validaciones que realiza. Con esto se consigue tener una base de datos con la información necesaria para trabajar de forma cotidiana sin estar sobrecargada con registros que no se van a procesar, debido a no estar dentro de los limites establecidos.
La configuración se realiza en el archivo application.properties donde se configura un cron que contiene la información sobre en que momento del día y con que frecuencia se ejecutara.
Esta funcionalidad de depuración de BlackList está disponible para eliminar aquellos registros de la colección que posean cargado el Expiration Date y este ya se haya cumplido. Este valor es cargado cuando se crea la regla para esa tarjeta, y se puede configurar desde el panel de configuración de BlackList.
Por defecto se encuentra configurado para que se ejecute diariamente 3AM.
Esta funcionalidad de depuración esta disponible para eliminar aquellos acumuladores que fueron reversados. Esto sucede generalmente cuando se realiza un rollback sobre una transaccion o bien los acumuladores sobrepasaron el limite de una VelocityCheck y deben quedar en ese estado.
Dado que estos registros no son procesados en las validaciones de VelocityCheck dado su estado reversado, es posible eliminarlos de forma segura sin otra validación particular.
Por defecto se encuentra configurado para que se ejecute diariamente 1AM.
Esta funcionalidad de depuración esta disponible para eliminar aquellos acumuladores que hayan sido realizados con anterioridad a una cantidad de días determinados. El fin es eliminar aquellos registros antiguos y que no generen una carga sin sentido sobre el motor de base de datos.
Dado que pueden existir reglas de VelocityCheck cuyo campo lapso de trabajo sea mayor al numero de días configurado a depurar, se realiza una validación la cual los excluye de la eliminación. Esto quiere decir, por ejemplo, que si la aplicación está configurada para borrar acumuladores con antigüedad mayor a dos días y existen acumuladores para una VelocityCheck cuyo lapso es de una semana, esos acumuladores no serán borrados.
Por defecto se encuentra configurado para que se ejecute diariamente 2AM.
A continuación se detallan algunos ejemplos para facilitar el entendimiento de las funcionalidades de AF VTOL.
Acumulador que sólo permite realizar 3 transacciones en un período de 2 horas, de un mismo usuario para el canal eCommerce. A partir de la cuarta venta que cumpla con estas condiciones, será rechazada por AF VTOL.
Acumulador que no permite realizar compras que totalicen una suma de 50.000 por día, de la misma tarjeta para el canal IVR. Una vez superado este acumulador, AF VTOL rechazará las siguientes ventas que cumplan estas condiciones.
Acumulador que no permite comprar más de 5 artículos por día, del mismo Titular de tarjeta, de la categoría “electro” para el canal Presencial. Una vez superado este acumulador, AF VTOL rechazará las siguientes ventas que cumplan estas condiciones.
