Продолжая серию блогов, посвященных процессу организации приема платежей через вебсайт, команда Finance Business Service хочет уделить особое внимание вопросам безопасности интернет-магазинов. Ранее мы уже публиковали материал, касающийся аспектов безопасного эквайринга платежных карт, когда анализировали механизм работы 3-D Secure. Сегодня же предлагаем рассмотреть работу систем fraud-мониторинга для предотвращения случаев интернет-мошенничества.
Что представляет собой fraud
В широком понимании fraud заключается в проведении мошеннических операций в сети Интернет. В настоящее время существует большое количество мошеннических схем в финансовой сфере, среди которых:
- carding — осуществление операций с использованием украденных реквизитов банковских карт;
- skimming — разновидность carding — копирование данных банковских карт при помощи аппаратных решений, установленных на банкоматы;
- fishing — завладение данными банковских карт пользователей через поддельные вебсайты (практически идентичные оригинальным), путем введения самими пользователями своих платежных данных на мошеннических веб-страницах;
- voice fishing — выманивание реквизитов банковских карт или личных данных пользователей по телефону (чаще всего злоумышленники представляются работниками банка).
Для онлайн-магазинов fraud опасен тем, что есть вероятность понести убытки и в достаточно крупных размерах. Классическая ситуация осуществления мошеннической операции выглядит следующим образом:
- 1) в результате любого из выше упомянутых видов мошенничества, злоумышленники завладевают данными платежных карт, достаточных для совершения покупки в онлайн-магазине;
- 2) злоумышленники оформляют заказ на покупку товара или оказание некой услуги, после чего деньги списываются с карты;
- 3) собственник карты, узнав о несанкционированной транзакции, заявляет о случившемся в свой обслуживающий банк и формирует заявку на возврат незаконно списанных денежных средств (сhargeback);
- 4) банк соответственно инициирует процедуру возврата, но по факту бремя ответственности ложится на плечи интернет-магазина, так как именно он должен возместить платеж.
В том случае, если мошенники успели получить товар, убытки онлайн-магазина могут утроиться. Магазин возвращает деньги владельцу карты, лишается товара, а также с большой долей вероятности попадает под штрафные санкции из-за допуска мошеннических операций, вплоть до введения ограничений или запрета на прием онлайн-платежей.
Работа систем fraud-мониторинга
Для того, чтобы избежать подобных неприятных ситуаций, онлайн-торговцам рекомендуется использовать системы fraud-мониторинга. Технически, fraud-мониторинг представляет собой алгоритм — набор специальных правил и фильтров — который позволяет оценить потенциальные риски производимых транзакций и при необходимости предотвратить их. Основная задача такого мониторинга заключается в том, чтобы проверить каждый платеж в режиме реального времени и выявить в нем что-то «необычное и подозрительное».
Система fraud-мониторинга состоит из нескольких элементов: настраиваемый автоматический мониторинг транзакций, механизмы идентификации держателя карты и валидации карты, а также «ручной» мониторинг транзакций на случай возникновения неоднозначных ситуаций.
Чаще всего для обеспечения безопасности онлайн-платежей интернет-магазины используют автоматический fraud-мониторинг. Его главным преимуществом является возможность подборки различных фильтров для анализа и предупреждения подозрительных транзакций. Несмотря на достаточное количество данных фильтров, крайне важно уметь их правильно подбирать и комбинировать для эффективной работы механизма.
В качестве основных фильтров применяются:
- 1. Ограничения по географическим показателям. Например, IP-адреса тех стран, в которых широко распространены случаи интернет-мошенничества (страны Африки), могут служить индикатором в системе fraud-мониторинга для последующей блокировки транзакций, проводимых с территории таких стран.
- 2. Stop-листы банковских карт. Такие списки составляются, исходя из реквизитов платежных карт, по которым были замечены fraud-транзакции. Также сюда могут попадать карты, о компрометации данных которых заявляли их держатели. В случае наличия той или иной карты в stop-листе, система мониторинга будет знать, что по ней нельзя проводить оплаты.
- 3. Соответствие параметров. Работу этого фильтра можно проиллюстрировать примером соответствия следующих параметров – страна IP-адреса плательщика и страна эмитента банковской карты. Когда оплата производится из страны, которая не совпадает со страной банка-эмитента карты, с большой долей вероятности можно предположить, что проведение транзакции осуществляется злоумышленниками. Исключением является случай, когда держатель карты заблаговременно уведомил свой банк о путешествии в конкретную страну или группу стран.
- 4. Лимиты авторизации и количества проводимых платежей. Например, системой могут быть установлены лимиты на сумму проведения одной транзакции или количества попыток авторизации с одного IP-адреса (одной банковской карты). Кроме этого, лимиты могут быть установлены в отношении количества платежей в день/неделю/месяц от одного плательщика.
- 5. Окончание срока действия карты (перевыпуск карты). Еще одним индикатором для системы fraud-мониторинга является срок действия карты или её перевыпуск. В случае попытки проведения платежа при помощи карты, срок действия которой истёк, существует достаточно объективный риск, что оплата инициируется в мошеннических целях. Перевыпуск банковской карты также может свидетельствовать о том, что предыдущая (например, утерянная карта) потенциально используется недобросовестными потребителями.
Несмотря на приведенный выше перечень фильтров, для настройки автоматического fraud-мониторинга вы можете использовать ряд других индикаторов, наиболее подходящих для вашего типа онлайн-бизнеса или направленности интернет-магазина. Также необходимо учитывать степень подверженности бизнеса мошенническим операциям в целом.
Нужно помнить, что не стоит включать абсолютно все фильтры для отслеживания подозрительных транзакций, так как это может негативно повлиять на конверсию сайта. В результате этого даже самые стандартные и безопасные оплаты будут заблокированы системой. Здесь более важен индивидуальный подход к настройке механизма fraud-мониторинга, исходя из особенностей бизнес-профиля и анализа потенциальных клиентов.