E-mail e telefone como sinal de risco antes de qualquer código

Todo formulário de cadastro pede um e-mail e um telefone, e a maioria das operações só olha para esses campos na hora de enviar o código de confirmação. É um desperdício. Antes de qualquer código, o identificador em si já carrega informação: o domínio do e-mail tem idade e reputação, o número de telefone tem tipo de linha e histórico, e os dois exibem padrões que separam o cadastro digitado por uma pessoa do cadastro gerado por um script.

Este texto é sobre essa camada anterior, a do metadado e da reputação do identificador. Ela não se confunde com a prova de posse: digitar o código recebido prova controle do canal naquele momento, assunto que já tratamos em o que o OTP prova numa verificação de identidade. Aqui a pergunta é outra: o que este e-mail e este telefone dizem sobre o risco do cadastro antes de qualquer mensagem ser enviada?

A resposta honesta tem duas partes: dizem bastante, e não dizem o suficiente para decidir sozinhos. As duas metades importam igualmente.

O que o e-mail diz antes do primeiro envio

Um endereço de e-mail tem o formato que a RFC 5322 (Request for Comments, o formato das especificações técnicas da internet) define na seção 3.4.1: uma parte local, um arroba e um domínio. A divisão importa porque as duas metades têm valor de sinal muito diferente.

O domínio é público e pesquisável. Dá para saber se pertence a um provedor grande e estabelecido, a um serviço de caixas descartáveis que gera endereços de vida curta, ou a um domínio recém-registrado e sem histórico. Domínio descartável em cadastro é um clássico: o endereço funciona por minutos, o suficiente para receber um código, e morre em seguida, levando junto qualquer capacidade de contato futuro. Idade e obscuridade contam uma história parecida: um domínio registrado nesta semana, sem reputação conhecida, pesa diferente de um provedor com décadas de operação. A M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group), associação do setor de mensageria, publica as boas práticas de referência sobre reputação de domínios e prevenção de abuso, e é o vocabulário comum dessa disciplina.

A parte local pede mais humildade. A RFC 5321 é explícita na seção 2.3.11: a parte local só pode ser interpretada pelo servidor do domínio de destino. Ponto no meio do nome ou sufixo depois do sinal de mais são convenções de alguns provedores, não regras da internet, e qualquer heurística sobre isso é palpite. O palpite mais útil é o padrão de geração: endereços sintéticos criados em lote costumam denunciar a fábrica, com nome e sobrenome colados a números sequenciais, ou cadeias aleatórias sempre do mesmo comprimento, chegando em rajada no mesmo dia.

O que o telefone diz antes do primeiro código

O número de telefone carrega três metadados que valem consulta.

O tipo de linha separa móvel, fixo e VoIP (Voice over IP, a telefonia por internet). Números VoIP podem ser provisionados em lote, por software, sem chip físico e sem loja: é o caminho natural de quem precisa de mil números descartáveis. Também é o caminho natural de empresas legítimas de atendimento, e essa ambiguidade é o tema da próxima seção.

A portabilidade recente é o segundo. O NIST (National Institute of Standards and Technology, o instituto de padrões e tecnologia dos Estados Unidos) recomenda, na publicação SP 800-63B, seção 5.1.3.3, que verificadores considerem indicadores de risco como troca de aparelho, troca de chip e portabilidade do número antes de confiar na rede telefônica para autenticação. Um número portado há poucos dias, aparecendo num cadastro novo ou numa recuperação de conta, merece peso.

O terceiro é o número reciclado. A numeração é um recurso finito, administrado pela Anatel (Agência Nacional de Telecomunicações), e as operadoras reaproveitam números cancelados depois de um período de inatividade. O número que aparece hoje no seu formulário pode ter pertencido a outra pessoa até pouco tempo atrás, e o histórico associado a ele, bom ou ruim, pode ser de um desconhecido. Bases que tratam o telefone como identificador perpétuo de uma pessoa envelhecem mal por construção.

Por que é sinal fraco, e por que isso não é defeito

Cada um desses sinais tem uma leitura inocente. Caixa descartável é ferramenta legítima de privacidade contra spam. Domínio novo é o e-mail corporativo de uma empresa que acabou de nascer. VoIP é o padrão de escritórios inteiros. Número portado é alguém que trocou de operadora atrás de um plano melhor. Número reciclado é o azar do novo assinante, que não escolheu o passado da própria linha.

Transformar qualquer um deles em regra de recusa automática é fabricar falso positivo em série, punindo exatamente o cliente que a operação quer ganhar. É a mesma armadilha do endereço de IP (Internet Protocol), em que a regra "datacenter reprova" bloqueia gente honesta em lote, como mostra o artigo sobre o que o endereço de rede diz e o que não diz. Sinal fraco não é sinal inútil: é sinal que compõe. Dez sinais fracos apontando na mesma direção contam uma história que nenhum deles conta sozinho, e a operação precisa conseguir reconstruir essa história quando o cliente reclamar, tema de score de risco explicável.

Do sinal ao desenho do fluxo

Na prática, o metadado do identificador serve para dosar o fluxo, não para fechar porta. Cadastro com e-mail de provedor estabelecido e número móvel estável segue o caminho leve. Cadastro com domínio recém-nascido, linha VoIP e padrão sintético ganha etapas: verificação de documento, biometria, revisão. A recusa, quando vier, se apoia no conjunto, nunca no identificador isolado.

Três cuidados de implementação completam o desenho. Primeiro, reavaliar o sinal com o tempo: reputação de domínio muda, e o cache da consulta precisa de prazo de validade. Segundo, medir o falso positivo de cada sinal separadamente, porque é o único jeito de descobrir o peso que cada um merece. Terceiro, tratar a fonte da consulta como falível: a cobertura de tipo de linha e de portabilidade varia por operadora, e ausência de dado não é dado negativo. Na UNIFOKAL, por exemplo, o risco de e-mail entra como um dos sinais de antifraude da verificação: um peso no conjunto, ao lado dos demais sinais, nunca uma sentença.

O resumo é o mesmo do resto da disciplina antifraude: o identificador diz muito sobre como o cadastro chegou e quase nada sobre quem é a pessoa. Usado como peso, encarece a fraude industrializada sem tocar no cliente legítimo. Usado como veredito, vira um gerador de recusa injusta com aparência de sofisticação.

Fontes citadas

• RFC 5321, Simple Mail Transfer Protocol, seção 2.3.11
• RFC 5322, Internet Message Format, seção 3.4.1
• NIST SP 800-63B, Digital Identity Guidelines, seção 5.1.3.3
• M3AAWG, Messaging, Malware and Mobile Anti-Abuse Working Group, boas práticas de reputação e antiabuso em mensageria, citada por nome no texto
• Anatel, Agência Nacional de Telecomunicações, administradora dos recursos de numeração, citada por nome no texto