Сигурност и антифрод
Всяка транзакция минава през няколко слоя проверка, преди да бъде одобрена.
Целта не е да блокираш всичко подозрително. Това убива конверсията. Целта е правилата да са настроени според твоя бизнес, така че рисковите транзакции да се спират, а нормалните да минават без триене.
Затова правилата се задават по стойност, държава, честота и поведение, и се променят според това какво показва статистиката ти.
Какво получаваш
PCI DSS Level 1
Картовите данни се обработват в сертифицирана среда.
3-D Secure 2
Силно удостоверяване с изключения при нисък риск.
Правила за риск
Velocity лимити, гео филтри и черни списъци.
Чарджбек управление
Известия, срокове и подготовка на доказателствата.
Мониторинг
Наблюдение на процента откази и оспорвания.
Ръчен преглед
Опашка за случаите на границата, вместо автоматичен отказ.
Как работи
Оценка
Транзакцията се оценява по правилата за твоя профил.
Удостоверяване
3-D Secure се задейства само когато е нужно.
Решение
Одобрение, отказ или изпращане за ръчен преглед.
Наблюдение
Статистиката се следи и правилата се донастройват.
Измамата струва повече от откраднатата сума
Когато мине измамна транзакция, губиш три неща наведнъж. Първо, стоката, която вече си изпратил. Второ, сумата, която се връща на истинския картодържател. Трето, такса за чарджбека. При повтарящ се проблем се появява и четвърто: схемите те слагат в програма за наблюдение, което означава по-високи такси и реална опасност да останеш без обработка.
Затова антифродът не е разход, а застраховка, и целта му не е нула измами. Целта е измамите да са достатъчно малко, че разходът по спирането им да не надхвърли щетата. Правило, което спира едно измамно плащане за сто евро и три истински за по двеста, е загуба, макар че статистиката за измамите изглежда добре.
Как се прави преценката за секунда
Всяка транзакция получава оценка на риска, преди да тръгне към банката. В нея влизат десетки сигнала: съответства ли държавата на картата с държавата на IP адреса, познато ли е устройството, колко поръчки има от този имейл за последния час, съвпада ли адресът за доставка с адреса за фактуриране, типична ли е сумата за този магазин, колко бързо е попълнена формата.
Нито един сигнал сам по себе си не е достатъчен. Чужд IP адрес е нормален при българин в чужбина. Нова карта е нормална при нов клиент. Комбинацията от пет слаби сигнала обаче вече означава нещо.
Резултатът е едно от три действия: пусни, поискай 3-D Secure потвърждение, или откажи. Средното действие е най-полезното, защото прехвърля отговорността към банката издател и не губи клиента.
Настройка според бизнеса, не по шаблон
Магазин за електроника с доставка на следващия ден има съвсем различен рисков профил от студио за онлайн курсове. При първия скъпата преносима стока на нов адрес е класически сигнал. При втория доставката е моментална и няма какво да се открадне, освен достъп.
Затова започваме с наблюдение, а не с блокиране. Първите седмици правилата работят в режим на отчет: виждаш какво биха спрели, без да губиш продажби. След това затягаме там, където сигналът е доказан.
Правилата се преразглеждат и след промяна в бизнеса. Нова държава на доставка, нов продукт с висока стойност или кампания, която води необичаен трафик, променят нормалното и старите прагове започват да бъркат.
Сигнали и какво означават сами по себе си
Нито един ред тук не е основание за отказ. Значение има комбинацията.
| Сигнал | Може да значи измама | Но също така значи |
|---|---|---|
| IP адрес от друга държава | Използвана открадната карта | Българин в командировка или в роуминг |
| Адрес за доставка, различен от този на картата | Пренасочена пратка | Подарък или доставка до офиса |
| Няколко поръчки за минути | Тестване на крадени карти | Клиент, който е разделил количката |
| Нова карта, голяма сума | Първи опит с чужда карта | Нов клиент с истинско намерение |
| Формата е попълнена много бързо | Автоматизиран скрипт | Запазени данни в браузъра |
Правилата събират сигналите в обща оценка, вместо да гледат всеки поотделно. Затова един необичаен факт не блокира истински клиент.
Какво можеш да направиш сам още тази седмица
Част от защитата не е технологична, а организационна.
- Ясно име на фирмата в извлечението на клиента
- Имейл с потвърждение веднага след поръчката
- Проследим номер на пратката, качен в панела
- Записан подпис или снимка при доставка на скъпа стока
- Правило за ръчна проверка над определена сума
- Двуфакторна защита на достъпа до твоята администрация
Въпроси по темата
Кой носи загубата при измама?
Зависи от потвърждаването. При успешно 3-D Secure отговорността за неоторизирана транзакция обикновено се прехвърля към банката издател. Без потвърждаване загубата остава при теб. Затова изключенията от 3-D Secure се ползват премерено.
Ще спъва ли антифродът истинските ми клиенти?
Ако е настроен по общ шаблон, да. Затова започваме в режим на наблюдение и затягаме по реални данни от твоя магазин, а не по предположения.
Какъв процент чарджбеци е нормален?
Схемите следят съотношението спрямо оборота и имат прагове, над които влизаш в програма за наблюдение. Ако се приближаваш до тях, ще го видиш в панела и ще те потърсим, преди да е станало проблем.
Мога ли да спра цяла държава?
Може, но рядко е добра идея. По-точно е правило по комбинация от сигнали. Пълната блокировка по държава спира и клиенти, които пътуват.
Какво се случва при съмнителна поръчка?
Според настройката: маркира се за ръчен преглед, изисква се потвърждение или се отказва. При ръчен преглед виждаш всички сигнали и решаваш сам, обикновено за минута.
Колко време отнема настройването на правилата?
Първоначалният профил е готов при стартирането. Режимът на наблюдение върви обикновено две до четири седмици, колкото да се съберат достатъчно транзакции, и след това правилата се затягат по реални данни.
Мога ли да видя защо точно е спряна дадена поръчка?
Да. При всяка маркирана транзакция панелът показва кои правила са се задействали и с каква тежест. Това е важно, защото ти позволява да прецениш дали правилото върши работа, или лови не когото трябва.
Готов ли си да приемаш плащания?
Изпрати запитване и ще получиш конкретна оферта с изчислени такси за твоя бизнес, обикновено в рамките на един работен ден.