AIT – o que é e porque é importante

AIT – o que é e porque é importante

Poucas pessoas fora dos círculos tecnológicos de nicho tinham ouvido falar da AIT até este ano – agora é uma espécie de frase da moda.

A maior razão é – Elon Musk.

A personagem mais mediática do sector tecnológico – o homem franco e performativo por detrás do PayPal, da Tesla, da SpaceX e dos foguetões espaciais – arrastou-o para a ribalta nos primeiros dias da sua nova função de proprietário do Twitter.

“Descobri que o Twitter estava a ser enganado em 60 milhões de dólares por ano em textos SMS”, indignou-se. “Basicamente, há empresas de telecomunicações que não estão a ser muito honestas, noutras partes do mundo, que estavam basicamente a manipular o sistema e a utilizar textos SMS de autenticação de dois factores vezes sem conta, e a criar um zilião de contas de bots para, literalmente, pagar a conta, para que o Twitter lhes enviasse mensagens SMS, e o Twitter lhes pagasse milhões de dólares, sem sequer perguntarem por isso.”

Elon – Bem-vindo ao Tráfego Artificialmente Inflacionado.

Como muitas outras coisas no mundo digital, esta frase longa é normalmente reduzida ao seu acrónimo, AIT. Ou, por vezes, é descrita alternativamente como AGT – Artificially Generated Traffic (Tráfego Gerado Artificialmente) – mas é a mesma coisa.

E a descrição de Musk foi praticamente exacta, embora normalmente seja descrita de forma um pouco menos franca.

Trata-se essencialmente de um cenário em que os malfeitores utilizam bots para registar novas contas em sítios Web, sendo que cada nova aplicação gera automaticamente o envio de um código de acesso único (OTP) por SMS.

A razão pela qual fazem isto é que o cliente final – no caso de Musk, o Twitter – pagará a conta das mensagens OTP enviadas para todas estas contas de bots. E embora o montante cobrado por cada mensagem enviada seja relativamente baixo, se esses bots conseguirem criar centenas de milhares ou mesmo milhões de novas candidaturas, então a soma agregada para o burlão pode ser muito lucrativa.

Ao inflacionarem artificialmente o tráfego, geram receitas na ausência de um único novo cliente real.

E, como diz Musk – porque o pagamento é feito quase automaticamente – o dinheiro pode desaparecer sem que ninguém se aperceba do que está a acontecer. Os burlões trabalham ainda mais este aspeto de “debaixo do radar” de forma deliberada. Por exemplo, gostam de iniciar uma vaga de candidaturas numa sexta-feira à noite, quando é menos provável que sejam detectadas – e tratadas – durante mais horas do que noutra altura.

Mas Musk simplifica demasiado a atribuição de culpas: “há empresas de telecomunicações que não estão a ser muito honestas”.

Esta afirmação redutora sugere que há um único culpado visível para cada esquema de AIT – na verdade, irritantemente, quase sempre não há, o que é o que torna tão difícil denunciar o infrator e deixar de negociar com ele.

Isto deve-se à complexidade das cadeias digitais envolvidas nestes processos, com várias agências a interagirem entre si e cada uma a pagar e a receber taxas em pequenas quantias.

Por isso, tentar identificar o “culpado” e aplicar sanções contra ele depois de o ter feito é, normalmente, um empreendimento condenado: é muito difícil descobrir quem é o culpado e, se interromperes as ligações existentes de forma especulativa, poderás estar a cortar novos clientes genuínos que, obviamente, estás desesperado por conquistar.

Faz muito mais sentido adotar os procedimentos mais actualizados no momento da integração. Utilizando processos de rastreio baseados em dados de telecomunicações, as empresas de acolhimento podem detetar em segundos se o número utilizado no momento da inscrição é genuíno e está ligado a uma pessoa real. A nossa versão deste processo chama-se TMT Authenticate – mas existem outros produtos disponíveis, como se diz na BBC. A questão é que, com estes procedimentos, não deixas que a tua plataforma seja inundada com clientes falsos, pelo que deixas de saber quem é real e quem não é – e não precisas de enviar OTPs porque a segurança da verificação é de uma integridade tão elevada que simplesmente não é necessária. Por isso, não há qualquer risco de ataques AIT.

Mas, claro, por vezes não estás no sítio certo para rasgar os teus procedimentos de integração e começar de novo. Se, por enquanto, ainda precisares de utilizar OTPs enviadas por SMS como ferramenta de comunicação com o cliente, temos um produto alternativo, TMT TeleShieldque pode funcionar com o que já tens e torná-lo muito mais seguro. Este produto elimina os números de bots e garante que apenas os números genuínos e activos associados a uma pessoa real no local onde afirmam estar podem recebê-las – e bloqueia, por exemplo, números de tarifa majorada ou números inválidos associados a tentativas de AIT.

Musk, como é caraterístico, tentou encontrar a sua própria solução: “Eu disse para cortares todas as empresas de telecomunicações que tivessem fraudes superiores a 10%. Isso causou estragos em muitas partes do mundo. Agora voltamos às empresas de telecomunicações e dizemos: ‘Ouve, se deixares de nos enganar, teremos todo o gosto em pagar-te uma certa quantia de dinheiro pelas mensagens SMS, mas não podes fechar os olhos’. Aceitamos 10 por cento de fraude, mas não aceitamos 90 por cento de fraude”.

Não tenho a certeza de que esta abordagem possa alguma vez ser funcional ou mesmo rentável. É muito mais barato investir em protocolos para evitar o problema. Mas Musk será Musk.

Para o resto de nós, trata-se mais de formas práticas de avançar. Porque é claro que esta questão é global. O Twitter é apenas a ponta de um icebergue de AIT muito lucrativo e escorregadio.