API de prevenção a fraudes

Um número verificado estabelece um fato estreito: num dado momento, quem usava o seu produto controlava aquele número. Ele não diz nada sobre o nome, a idade, as intenções ou o histórico da pessoa. Sistemas antifraude que esquecem isso acabam confiando demais num sinal que nunca foi feito para carregar tanto.

O que torna esse fato estreito valioso é o preço dele. Endereços de e-mail são gratuitos e infinitos. Números não são: cada um custa um chip ou uma conta de mensageria, e uma conta de WhatsApp é ela própria produto de uma verificação. A verificação não torna o abuso impossível; dá a ele um custo por tentativa, o que normalmente basta para mudar quem se dá ao trabalho.

Cadastro por script é o caso mais claro. Uma fazenda de bots criando contas contra um formulário só de e-mail escala a custo marginal praticamente zero. Coloque um número verificado no caminho e cada conta exige um número distinto e funcional — o ataque continua existindo, mas a economia dele desaba.

A mesma lógica vale para tudo que se mede por conta: abuso de testes gratuitos, fuga de limites de frequência por recadastro e contas de scraping criadas mais rápido do que se bloqueia.

Programas de indicação, créditos de boas-vindas e descontos de primeira compra dependem de conseguir distinguir uma pessoa de cinquenta. Sem um identificador escasso não existe usuário novo, existe apenas um e-mail novo.

Vincular ofertas a números verificados em vez de a contas fecha o ciclo. Também dá uma regra limpa de aplicar, o que importa tanto quanto a checagem: uma política dizendo que um número dá direito a um bônus é auditável; uma política sobre «a mesma pessoa» não é.

Vale dizer com honestidade que a defesa habitual tem o seu próprio problema de fraude. Códigos SMS são cobrados por mensagem, o que os transforma numa fonte de receita para o tráfego inflado artificialmente: um atacante dispara volumes enormes de envios para rotas das quais lucra, e você paga por todos. As contas nunca são criadas; a fatura é o ataque.

Um fluxo Reverse OTP é estruturalmente imune, porque nada é enviado. É o usuário que envia a mensagem. Não há custo de entrega por tentativa a inflar, e um bot martelando o seu endpoint start-verification gera sessões que ninguém completa em vez de uma fatura.

Códigos SMS também são um elo fraco na outra ponta. Num SIM swap, um atacante convence a operadora a mover o número da vítima para um chip que ele controla, e todo código enviado cai nas mãos erradas. O usuário não faz nada de errado e não percebe nada até perder a conta.

O Reverse OTP não envia código nenhum, então não há o que redirecionar; a prova vem de uma conta de WhatsApp vinculada ao aparelho e protegida separadamente. A exposição é bem diferente, ainda que não seja uma resposta completa — combine com os seus próprios sinais para qualquer coisa de alto valor.

Use a verificação como porta sobre as ações que custam algo a você — resgatar um bônus, sacar, contatar outros usuários, publicar — e não como um muro na entrada. Mantenha os limites de frequência: a verificação põe preço no abuso, não o freia.

E guarde a prova depois de obtê-la. Um número verificado no cadastro pode sustentar checagens reforçadas e a recuperação de conta sem um segundo cadastro do fator, de modo que cada uso adicional do sinal já não custa nada.