Refunded but Rewarded: The Double Dip Attack on Cashback Reward Engines

Título: Refundados mas Recompensados: O Ataque de "Duplo Dip" em Motores de Recompensas de Cashback

1. O Problema

Os programas de cashback e fidelidade tornaram-se centrais na competição entre cartões de crédito, débito e carteiras digitais, movimentando bilhões de dólares anualmente. No entanto, a lógica de negócios que governa esses motores de recompensa é frequentemente tratada como uma superfície de segurança secundária, muitas vezes desenvolvida por equipes de marketing em vez de engenharia de segurança.

O problema central identificado é a vulnerabilidade de lógica de negócios que permite um ataque de "Duplo Dip" (Double Dip Reward Abuse Attack - DDRA). Neste cenário, um usuário:

1. Realiza uma compra e ganha a recompensa (cashback/pontos).
2. Resgata a recompensa imediatamente (convertendo em crédito na fatura ou dinheiro).
3. Devolve o produto e recebe um reembolso total da transação original.
4. Falha Crítica: O sistema não ajusta a recompensa (não "recupera" o valor) após o reembolso.

O resultado é que o usuário termina o ciclo com gasto líquido zero e recompensa líquida positiva, obtendo um lucro determinístico e repetível, explorando falhas na forma como os sistemas lidam com a reversão de transações.

2. Metodologia

Os autores utilizaram uma abordagem empírica e formal:

• Estudos de Caso Empíricos: Realizaram experimentos controlados em pequena escala em seis contas de emissoras (issuers) legítimas que possuíam pessoalmente (incluindo cartões de débito e crédito de grandes instituições financeiras dos EUA).
• Fluxo de Teste: Executaram transações de baixo valor, aguardaram a concessão e resgate das recompensas, e posteriormente realizaram devoluções legítimas através dos canais padrão dos comerciantes.
• Modelagem Formal: Abstrairam os motores de recompensa como máquinas de estado e definiram um modelo de ameaça de um consumidor "honesto, mas oportunista" que usa apenas recursos documentados, mas escolhe o timing estratégico das ações.
• Análise de Invariantes: Definiram propriedades de segurança matemáticas para validar a correção dos sistemas.

3. Principais Contribuições

A. Taxonomia de Vulnerabilidades (Três Níveis)
O artigo classifica as falhas encontradas em três categorias principais, mapeadas para padrões de segurança (CWE-841 e OWASP Business Logic Abuse Top 10):

1. V1: Recompensas Insensíveis a Reembolsos (Caso I - Emissora A):
   • O motor de recompensa nunca ajusta os saldos quando uma transação é reembolsada.
   • Resultado: O usuário mantém a recompensa mesmo após o reembolso total. É uma violação direta da integridade.
2. V2: Ajuste com Escopo Temporal Limitado (Caso II - Emissora B):
   • O sistema calcula recompensas no fechamento do ciclo de faturamento. Se o resgate automático ocorre antes do fechamento do ciclo, e a devolução ocorre no ciclo seguinte (dentro da janela de 30 dias do comerciante), o sistema não reverte a recompensa do ciclo anterior.
   • Resultado: Uma janela de tempo explorável entre o fechamento do ciclo de recompensa e a janela de devolução do comerciante.
3. V3: Tratamento Inconsistente de Saldo Negativo (Casos III-A e III-B):
   • III-A (Robusto): Emissoras (C, D, E) permitem saldos negativos indefinidos. Se o usuário resgata e depois devolve, o saldo fica negativo e deve ser compensado por futuras compras antes de poder resgatar novamente.
   • III-B (Parcialmente Robusto - Emissora F): O sistema cria um saldo negativo, mas há uma assimetria de tempo: os pontos são resgatáveis imediatamente após o ajuste, mas a "clawback" (recuperação) só ocorre no fechamento do ciclo. Isso permite que o usuário extraia valor por um ciclo de faturamento antes que a dívida seja cobrada.

B. Modelos Formais e Invariantes de Segurança
Os autores definiram duas propriedades de segurança essenciais:

1. Integridade da Recompensa (Reward Integrity): O valor total das recompensas de um usuário nunca deve exceder o que é permitido com base em seu gasto líquido legítimo.
2. Consistência de Recompensa por Reembolso (Refund Reward Consistency): O estado das recompensas deve ser atualizado dentro de um tempo limitado após um reembolso para refletir a nova realidade econômica.

C. Algoritmos Defensivos
Propuseram quatro algoritmos pseudo-formais para fechar essas brechas:

• Algoritmo 1 (Crédito na Liquidação): Rastreia recompensas por transação específica com registros imutáveis.
• Algoritmo 2 (Clawback Proporcional): Ao receber um reembolso, calcula a fração exata da recompensa original a ser descontada, permitindo que o saldo do usuário fique negativo.
• Algoritmo 3 (Gate de Resgate): Impede o resgate se o saldo estiver negativo ou se estiver dentro de um período de carência (grace period) pós-fechamento de ciclo.
• Algoritmo 4 (Reconciliação de Ciclo): Para sistemas baseados em ciclos, verifica reembolsos pendentes de ciclos anteriores e aplica ajustes retroativos antes de liberar novos créditos.

4. Resultados

• Descoberta de Vulnerabilidades Reais: Confirmaram que sistemas de produção reais permitem o ataque DDRA. A Emissora A (débito) não ajustava nada; a Emissora B (crédito) tinha uma falha de timing entre ciclos; a Emissora F tinha uma falha de assimetria temporal.
• Validação de Defesa: As Emissoras C, D e E demonstraram ser robustas, utilizando a técnica de saldo negativo indefinido e "clawback" proporcional imediato ou no fechamento do ciclo, impedindo a extração de lucro.
• Divulgação Responsável:
  • A vulnerabilidade da Emissora A foi relatada via programa de bug bounty e reconhecida pelo fornecedor.
  • A vulnerabilidade da Emissora B foi relatada após esforços de boa-fé para encontrar canais de contato, sem resposta, levando à publicação anônima.
  • O caso da Emissora F foi tratado como uma escolha de design com implicações de segurança, sem divulgação formal de vulnerabilidade.

5. Significância e Impacto

• Mudança de Paradigma: O trabalho eleva os motores de recompensa de cashback a um tópico de segurança de primeira classe, argumentando que eles devem ser projetados com a mesma rigorosidade que os sistemas de autorização e liquidação de pagamentos.
• Impacto Financeiro: Embora os autores não estimem perdas reais (devido ao anonimato e escopo), a análise de sensibilidade sugere que, se explorado em massa, o vazamento de recompensas poderia atingir milhões de dólares anualmente para grandes emissores.
• Defesa "Por Construção": Diferente de sistemas de detecção de fraude que reagem a padrões anômalos, os algoritmos propostos garantem a correção lógica do sistema (prevenção), tornando o ataque matematicamente impossível se os invariantes forem seguidos.
• Relevância Regulatória: O estudo destaca riscos de conformidade (como UDAAP nos EUA), onde a inconsistência na gestão de recompensas pode afetar a confiança do consumidor e a integridade financeira das instituições.

Em resumo, o artigo demonstra que falhas sutis na lógica de negócios de recompensas permitem que consumidores legítimos obtenham lucro sem risco, e propõe uma arquitetura de defesa baseada em rastreamento por transação, "clawback" proporcional e gestão de saldo negativo para mitigar esses riscos.