Защита платежей от мошенников: что заказать и как проверить

Деньги из интернет-магазина уходят двумя путями. По одному их забирают чужие люди: оплата проходит украденной картой, и заказ уезжает к мошеннику. По другому их возвращают самому покупателю: человек получил товар, а потом оспорил списание через банк. В обоих случаях деньги уходят с вашего счёта, и увидеть это можно только по своим данным.

Защита делится на две части: то, что вы закрываете сами, и то, что заказываете отдельно.

Какие схемы мошенничества встречаются чаще всего?

Коротко: мошенник либо платит чужой картой, либо оспаривает покупку задним числом, либо пользуется чужим аккаунтом. У каждой схемы свой признак в данных заказов.

Три слова, без которых дальше путаница. Эквайер - банк или платёжный сервис, через который вы принимаете оплату. Чарджбэк - оспаривание операции держателем карты: он говорит банку, что не узнаёт списание, и просит вернуть деньги. 3-D Secure - подтверждение оплаты кодом от банка: покупателя просят подтвердить, что платит именно он.

Что можно закрыть самому, без разработки?

Коротко: настройки эквайринга, подтверждение оплаты по коду, лимиты и простой регламент закрывают часть риска. Начинать стоит с них - до того, как заказывать систему.

• Подтверждение оплаты по коду (3-D Secure). Без кода банка операция не проходит, и это отсекает часть оплат украденными картами. Споры и заказы без намерения платить оно не убирает.
• Регламент на крупные и нестандартные заказы. Заказ дороже определённой суммы или на новый нестандартный адрес подтверждает менеджер звонком.
• Лимиты и запреты. Ограничить оплату без подтверждения для новых клиентов, прижать способы оплаты, по которым идёт волна отказов.
• Списки. Чёрный список адресов, телефонов и устройств, с которых уже приходили фейковые заказы. Помогает от повторных попыток.
• Хранение доказательств. Данные заказа и подтверждение доставки собирайте заранее - они понадобятся в споре.

Эти меры дешёвые и нужные. Но у них есть потолок: список адресов растёт вручную, регламент держится на людях, а звонок по каждому крупному заказу съедает время менеджера.

Когда своих мер уже мало?

Коротко: когда поток растёт, схемы повторяются, а ручной разбор занимает часы. Тогда часть проверки выгоднее отдать системе.

Смотрите не на размер магазина, а на три измеримые вещи.

1. Сколько времени уходит на ручную проверку. Разбор подозрительных заказов до 15 минут в день - норма для настроек и регламента. Час и больше - уже постоянная работа менеджера.
2. Сколько честных заказов вы отклоняете. Если из десяти отклонённых больше одного-двух оказывались обычными, правило слишком широкое: вы теряете покупателей чаще, чем ловите мошенников.
3. Повторяются ли схемы. Одну и ту же схему ловят руками заново каждую неделю - значит, её пора описать правилом.

По этим трём числам и выбирают режим. Пороги ниже - рабочие ориентиры, не норматив; точную границу ставьте под свой поток.

Как устроено правило проверки?

Коротко: у правила три части - условие, действие и метрика. Метрика показывает, сколько честных заказов правило задевает, и без неё правило настроить нельзя.

Соберём три правила, которые чаще всего нужны интернет-магазину. У каждого - условие, действие и метрика после запуска.

1. Крупный заказ у нового клиента. Условие: первая покупка, сумма выше порога. Действие: на ручную проверку звонком. Метрика: доля таких заказов, которые по итогу оказались обычными, и сколько времени заняла проверка.
2. Всплеск мелких списаний. Условие: несколько отказов по одной сумме за короткое время. Действие: временно прижать этот способ оплаты. Метрика: как быстро отказы прекратились и сколько нормальных покупок задело.
3. Повторный адрес из списка. Условие: адрес или устройство в чёрном списке. Действие: отклонить. Метрика: доля отклонённых заказов, которые оказались обычными.

Общая метрика для всех правил одна: доля отклонённых заказов, которые оказались обычными покупателями. Это число считают по выгрузке отказов за неделю: кому отказали и что с заказом стало дальше, купил человек или ушёл. Правило ведут отдельно: так его можно проверить и поменять, не ломая остальные.

Проверку на самой операции мы делаем в кейсе финтех-платформы: решение принимается в момент платежа, и честный клиент этой проверки не замечает.

Почему ложное срабатывание дороже пропуска?

Коротко: отклонить честного покупателя - значит потерять деньги дважды: он не купит сейчас и расскажет другим. Пропущенный мошенник стоит один заказ.

К проверке легко подойти как к замку: чем строже, тем лучше. В платежах строгость стоит денег. Отклонённый честный клиент не приходит второй раз и не оставляет отзыв. Поэтому у каждого правила есть порог: где проходит линия между «точно пропустить» и «похоже на мошенника».

Правило без порога превращается в генератор потерь. Отклонять любой заказ с нового устройства - значит отсечь и мошенников, и половину новых покупателей. Полезнее отправить такой заказ на проверку, а не рубить. Отсюда и метрика выше: считайте, сколько честных заказов правило задевает, - эта цифра часто важнее доли пойманных мошенников.

Какие данные можно использовать для проверки?

Коротко: проверять можно только то, что нужно для решения, и только по закону. Четыре вещи ниже стоит закрыть до запуска любой проверки.

1. Берите минимум данных. Имя, телефон, адрес и платёжные данные - персональные по 152-ФЗ. Для решения по платежу хватает суммы, адреса, устройства и истории клиента, а не паспорта и не номера карты целиком.
2. Не храните то, что хранить нельзя. Полный номер карты и код CVV не хранятся у магазина: их держит эквайер. Если данные идут через вас - это уже риск, а не проверка.
3. Получите согласие на обработку. При оформлении заказа человек соглашается на обработку данных - сделайте, чтобы это согласие реально фиксировалось, а не подразумевалось.
4. Отвечайте на запросы эквайера в срок. Договор эквайринга задаёт, что вы храните по операциям и за какой срок отвечаете при спорах. Пропущенный срок - это проигранный чарджбэк.

Отдельный вопрос - кто из сотрудников видит данные плательщика. Сделайте так, чтобы каждому сотруднику был доступен только его участок: менеджер видит заказ, а не полные платёжные данные, а кто именно смотрел историю клиента, видно в журнале.

Как защититься от чарджбэка?

Коротко: у спора есть срок, и выигрывает тот, у кого есть доказательства. Собирать их надо до спора, а не во время.

Чарджбэк приходит не от покупателя напрямую, а через его банк. Держатель заявляет, что не узнаёт списание, и банк запрашивает у вашего эквайера документы. Дальше спор решается по тому, что вы сможете показать. Сроки и список доказательств задаёт ваш эквайер - выпишите их в свой регламент заранее, пока спор не начался, и под них собирайте документы.

Что стоит собирать по каждой операции.

1. Подтверждение, что покупатель сам подтвердил оплату кодом, если оно было.
2. Данные заказа: состав, сумма, дата, адрес доставки.
3. Подтверждение доставки: трек, подпись, отметка пункта выдачи.
4. Переписку с покупателем, если она была.
5. Согласие с условиями оплаты и возврата, зафиксированное при заказе.

Если оплата подтверждена кодом банка, спор для продавца проще. Поэтому подтверждение оплаты по коду стоит на первом месте среди дешёвых мер.

Что записать в задание подрядчику?

Коротко: опишите, какие признаки проверяете, что при них делаете и как считаете ложные срабатывания. Чем точнее крайние случаи, тем меньше сюрпризов на приёмке.

1. Признаки оплаты. Какие данные заказа проверяются: сумма, адрес, устройство, история клиента, скорость заказов.
2. Правила. Что значит каждое правило и какой у него вес в оценке риска.
3. Три исхода. Что делать при каждом уровне риска: пропустить, отправить на проверку, отклонить.
4. Ручной разбор. Где менеджер видит подозрительные операции и что он с ними делает.
5. Списки. Чёрный и белый списки, кто их ведёт и как.
6. Связки. Сайт, CRM, эквайер, служба доставки: откуда приходят данные и куда уходит решение.
7. Оповещения. Кому и когда сообщается о всплеске отказов или серии подозрительных заказов.
8. Метрики. Доля ложных срабатываний, число пойманных операций, время ручного разбора.

Приёмка тоже прописывается заранее. У каждого пункта - свой критерий: как понять, что он выполнен. Тогда цена и срок фиксируются до первой строки кода, а спор о «готово или нет» решается по критерию.

Как принять работу?

Коротко: проверяйте на живых заказах, а не в интерфейсе. Список ниже вы проходите вместе с подрядчиком и смотрите, где честный заказ отклоняется, а подозрительный проходит молча.

1. Прогоните обычный честный заказ и убедитесь, что он проходит без задержек и лишних шагов.
2. Прогоните заказ с признаками мошенничества и проверьте, что он уходит на проверку, а не отклоняется сразу.
3. Проверьте, что белый список пропускает доверенных клиентов без лишних вопросов.
4. Проверьте, что чёрный список работает и его можно пополнить вручную.
5. Убедитесь, что ручной разбор показывает все данные, нужные для решения.
6. Посмотрите метрики: как считается доля ложных срабатываний и где видно число пойманных операций.
7. Сверьте, что при подтверждении оплаты кодом и без него система ведёт себя по-разному.
8. Попросите журнал отказов за тестовую неделю и сверьте по нему долю честных заказов, которые правило задело.

Если на каком-то шаге честный заказ отклоняется, а подозрительный проходит молча, это и есть место для доработки. Принимать работу стоит тогда, когда поток проходит целиком.

Когда своя система не нужна

Коротко: если заказов немного, канал один и потерь нет, хватит настроек и регламента. Своя система нужна на потоке и на повторяющихся схемах.

• Заказов в день немного, и мошеннических случаев почти нет.
• Теряете только на одном канале: починка этого канала закроет большую часть потерь.
• Проблема в одном действии, например кто-то из сотрудников отправляет заказы без проверки оплаты.
• Нет регламента. Пока не решено, кто и когда проверяет подозрительный заказ, любая система покажет тот же беспорядок, только быстрее.

Своя система начинает окупаться, когда заказов много, схемы повторяются, а ручной разбор забирает время. Тогда цена потерь перевешивает цену разработки.

Не хотите определять границу сами - опишите задачу. Разберём, что закрывается настройками, а что разработкой, и пришлём состав работ и смету за 24 часа.

Источники

1. ЮKassa, «Антифрод-системы: что это и как выбрать»: https://yookassa.ru/recipes/bezopasnost/antifrod-sistemy-chto-ehto-i-kak-vybrat/
2. Robokassa, «Что такое чарджбэк и как предпринимателю от него защититься»: https://robokassa.com/blog/articles/chto-takoe-chardzhbek-i-kak-predprinimatelyu-ot-nego-zashchititsya/
3. Habr / ecom.tech, «Чем банковский антифрод не подходит e-commerce»: https://habr.com/ru/companies/ecom_tech/articles/1054916/
4. Habr / Femida Search, «Скоринг и фингерпринтинг в антифроде»: https://habr.com/ru/companies/femida_search/articles/959046/
5. Т-Банк, «Зачем нужны антифрод-системы»: https://secrets.tbank.ru/bezopasnost-biznesa/antifrod/
6. Федеральный закон № 152-ФЗ «О персональных данных»: https://www.consultant.ru/document/cons_doc_LAW_61801/
7. Федеральный закон № 115-ФЗ «О противодействии легализации (отмыванию) доходов...»: https://www.consultant.ru/document/cons_doc_LAW_32834/

Описать свой поток платежей и получить состав работ со сметой за 24 часа можно по заявке.