AVS/CVV verificações e sinais de frod

1) Porquê AVS/CVV em iGaming

• reduzem o risco de frod/charjbeek por «No Auth «/« Fraud »,
• aumentam a confiança do emissor nos CIT primários,
• ajuda a desvincular bots/drop até 3DS-challange,
• dá dados para o routing de policy-based e para a varredura.

O importante é que o AVS/CVV não substitui o 3DS2/SCA nem o torneamento, mas funciona bem em conjunto.

2) Como funciona (em linhas gerais)

AVS: comparação do endereço billing do cliente (rua, índice, às vezes cidade/estado) com o endereço do emissor. O código é devolvido (match/partial/no match/unsupported).
CVV: verificação de código no mapa; volta match/no match/not processed/issuer not certificado.
Ambos os resultados aparecem na resposta de autorização de PSP/Equeyer (ou em campos de webhooks individuais) e devem ser logados sem PAN e contactar 'payment _ id'.

3) Códigos AVS (lógica de decisão resumida)

• «Y» (rua + índice) → um forte sinal positivo.
• Coincidência parcial: «A» (rua sem índice), «Z» (índice, rua sem), «W/X» (ZIP de 9-/5 dígitos), «D/M» (coincidências internacionais) → moderadamente positivo.
• Não há coincidência, 'N' → um sinal negativo; pode haver uma falha ou uma verificação reforçada/3DS.
• Não disponível/aplicável: «U» (issuer unavailable), «R» (retry), «S» (AVS not suported), «G» (international not suported) → neutro/fraco, a solução depende do contexto.

• Mercados/cartões de alto risco: exija ≥ correspondência parcial ou 3DS-challenge padrão.
• Clientes de baixo risco com histórico de flexibilizar até a tolerância «partial match» sem challenge.
• Para assinaturas (MIT): AVS útil no CIT inicial; a seguir, baseie-se em artefatos 3DS/tokens e história.

4) Códigos CVV/CVC (normalização)

Match: 'M' é um forte fator positivo (especialmente para a gravação inicial do mapa).
No Match: 'N' é um forte negativo; recomendado ou obrigatório 3DS-challenge.
Not processed/Not present: 'P '/' S' - fraco, consulte contexto (às vezes o emissor não suporta ou o campo está perdido).
Issuer not certificado/Unavailable: 'U' - neutro/fraco.

• Para CIT com 'CVV = N' - normalmente rejeitar (ou enviar para o 3DS challenge e verificação).
• Para MIT (repetições) CVV não é solicitado; Dependa da ligação com o CIT inicial.

5) Ligação AVS/CVV ↔ 3DS/SCA e rede-token

• O AVS/CVV reduz o risco de challenge e aumenta a chance de frictionless.
• Em 'AVS = N' e/ou 'CVV = N' - razoavelmente iniciar 3DS à força.
• Rede tocens (VTS/MDES/NSPK) e VAU/ABU aumentam AR e LTV; juntamente com AVS/CVV oferecem um melhor quadro de risco no CIT inicial.

6) Sinais de Frod: o que recolher e como usar

• Device fingerprint (canvas/webgl/audio, шрифты, timezone, lang).
• Velocity: tentativas de pagamento por janela (cartão/conta/dispositivo/IP/BIN).
• Geo coerência: País IP vs BIN-país vs billing vs língua/moeda.
• Pattern comportamental: velocidade de entrada, foco de campos, copaço, erros CVV.
• Histórico da conta: idade, AHT sessões de jogos, status KYC, devoluções.
• Atributos de pagamento: MCC 7995, tipo de cartão (prepaid/debit/credit), risco de emissão.
• Metadados 3DS: method complition, dsTransID, frequência de challengs do emissor.

• Construa um padrão de risco composto (0-100) com a balança CVV, AVS, device, geo, velocity, 3DS story.

• 'score ≤ T1' → frictionless (se disponível);
• `T1 < score ≤ T2` → challenge (3DS);
• 'score> T2' → decline ou verificação manual/alternativa.

7) Matriz de soluções (exemplo para orquestrador)

8) Retraias e pattern UX

Erro CVV (N): mostre a mensagem compreensível «Verifique o código no mapa», limpe apenas o campo CVV, não faça digitar tudo novamente.
Discordância AVS: sugira que você verifique índice/rua, dê dicas de formato (ZIP-5/ZIP-9).
Soft-decline/SCA: repetição automática com 3DS, sem voltar a digitar o cartão.
Unidade Velocity: um curto «cool-down» com um tempo e aconselhamento para usar um método diferente.
Alternativas: A2A (transferências bancárias), carteiras de mercado locais.

9) Dados & esquemas de armazenamento (mínimo de campos)

• `payment_id`, `psp_txn_id`, `token_id`, `bin`, `last4`, `scheme`, `issuer_country`
• `avs_result_normalized` ∈ {Y, PARTIAL, N, NA}
• `cvv_result_normalized` ∈ {M, N, NA}
• `risk_score`, `velocity_bucket`, `device_id`, `ip_country`, `bill_country`
• `threeDS`:{`version`, `eci`, `cavv`?, `method_done`:bool, `challenge`:bool}
• `decision` ∈ {approve, challenge, decline}, `reason`
• `route` (PSP_A/B), `was_retry`:bool, timestamps

10) Métricas e observabilidade (KPI/SLO)

Qualidade e conversão

Approval Rate por clusters 'AVS/CVV' (por exemplo, 'CVV = M&AVS = Y' vs 'CVV = M&AVS = partial').
Frictionless% e Challenge sucess% em classes AVS diferentes.
Abandon rate nas telas de entrada CVV/endereço.

Risco

Marceback rate (fraud/consumer dispute) no corte AVS/CVV combinações.
Participação falsa positiva: rejeição de legitimidade posterior (apelações/repetições).
Soft-decline → uma repetição de sucesso (após o 3DS).

Técnica

Latency AVS/CVV de verificação (p95) e participação 'U/S/G' (não disponível).
Spikes por 'CVV = N', 'AVS = N' (alerts) em corte BIN/emissor/PSP.

11) Anti-pattern

Interpretar 'AVS = U/S/G' como uma rejeição severa nos BIN internacionais - perda de conversão.
Exigir AVS em países/bancos onde não é suportado sistematicamente.
Logar endereços crus sem disfarce e sem alvos - risco de vazamento/PII.
Hard-rejeitar 'CVV = N' sem analisar a frequência de um erro de digitação (pode ser um mijão honesto).
Ignorar artefatos 3DS e histórico do cliente em correspondências parciais AVS.

12) Folha de cheque de implementação

• Dicionário de código AVS/CVV normalizado em esquema/PSP.
• Políticas decisórias (applove/challenge/decline) por combinação.
• Integração com 3DS2: saída automática no challenge para AVS/CVV negativos.
• Mapeamento de risco: device, geo, velocity, histórico do cliente, políticas BIN.
• Modelos de erro ux (localização, salvação de campos digitados).
• Dashboards KPI e alertas de «N »/« U/S/G».
• Safe PAN: hosted fields/iframe, torneado; No logi, apenas metadados.
• Testes A/B de liminares (T1/T2) e regras de mercado/emissores.
• Playbooks de retais/soft-decline e métodos alternativos de pagamento.
• Políticas de armazenamento de endereços/PII (GDPR/DSR), camuflagem, minimização.

13) Exemplo de políticas de mercado (esboço)

EUA/Canadá (AVS forte): 'AVS = Y' ou 'partital + 3DS/baixo risco'; 'AVS = N' n' challenge/decline.
UE (PSD2): foco em 3DS2 (frictionless); AVS é um sinal de varredura.
Mercados internacionais com suporte limitado AVS: suporte para 3DS + device/geo/velocity; 'AVS = U/S/G' - neutro.

14) Resumos

AVS/CVV são os «primeiros filtros» nos pagamentos CNP. Eles devem trabalhar em conexão com 3DS2, tocenização e screening de risco, e as decisões devem ser tomadas de acordo com o contexto, em vez de um único código. Normalize as respostas, construa o mapeamento, automatize a transição para o 3DS, procure com cuidado os endereços/PII e mede as métricas. Vai baixar o frod e os charjbacks sem matar a conversão.