Антифроды: Riskified, NoFraud, Fraud Forter

[Man]

1. Антифрод Riskified​

В основном фрод детекторы работают по одному и тому же принципу, в одних очень громоздкие фильтры-маркеры в других наоборот меньше. Где то очки фрода ставят сами саппорта, а где то все в автоматическом режиме. А также у всех разное машинное обучение (об этом будет отдельный пост).

Подключение через api, также есть дополнительные модули-расширения которые ставятся через панель.

Знакомство с панелью:

Riskified - даже эта фрауд защита любит отменять заказы обычным пользователям.

Здесь тоже нет очков фрода - Здесь не показывает очков фрода, только индикаторы есть.

Разберем пару статусов где деклайн:

Гео: Различные явные и неявные географические точки данных в порядке и расстояния между ними.

Личность: Присутствие в Интернете и личность на основе точек данных, таких как адрес электронной почты, имена и номера телефонов, а также связи между ними.

Поведение: Поведение покупателя при оформлении заказа, включая скорость, содержимое корзины и способы доставки.

Сеть: Технологические характеристики, включая интернет-соединение и устройства, используемые покупателем при оформлении заказа.

Связывание: Связи между всеми элементами заказа и каждой транзакцией в сети Riskified.

Даже обычным юзерам дают деклайн)))

Рекомендации: Проверка айпи на чистоту, брать старые почты(дополнительно проверяя на риски. Вести себя как можно медленнее как обычный человек который пришел выбирать себе товар в шопе. Ну остальные рекомендации можете додумать из индикаторов выше.

2. Антифрод NoFraud​

NoFraud - Сам по себе фрод детектор слабее. В этом детекторе все заказы отправляются на проверку автоматически, поэтому мы никак не узнаем сколько очков нам накинуло. Примерное время проверки заказов занимает до 24 часов.

То что собирают и анализируют:

Автоматическая шкала рисков:

Визуальное представление рабочего процесса визуализации/захвата - составляет блок схему.

Факторы доверия:
Это элементы заказа, которые обычно указывают на то, что он действителен и безопасен для доставки:

• Устройство находится в непосредственной близости от адреса для выставления счетов. Это указывает на то, что геолокация клиента находилась рядом с адресом, указанным в файле банка держателя карты, что указывает на то, что фактический владелец карты (или его близкий партнер/член семьи) разместил заказ.
• Наблюдаемая нормальная активность устройства: покупательская активность покупателя не соответствовала обычным признакам мошенничества (например, использование прокси-устройства, непосредственная близость к платежному адресу и т. д.).
• Транзакция размещена с первой попыткой оплаты: распространенным признаком мошенничества является то, что клиент предпринимает несколько попыток оплаты, прежде чем заказ будет окончательно одобрен. Этот фактор доверия указывает на то, что этот заказ был успешно размещен при первой попытке оплаты.
• Совпадение проверочного значения карты (CVV): Это указывает на то, что код CVV, предоставленный клиентом, совпадает с тем, что находится в файле банка держателя карты.
• Доставка на адрес держателя карты. Это указывает на то, что NoFraud смог проверить, что адрес доставки принадлежит фактическому держателю карты и что заказ не отправляется на неподтвержденный адрес.
• Адрес электронной почты был активен в течение значительного периода времени: мошенники, как правило, создают новые адреса электронной почты для конкретной цели размещения (мошеннического) заказа. Это указывает на то, что адрес электронной почты, указанный в этом заказе, существует в течение значительного периода времени.
• Клиент имеет длительный срок использования способа оплаты: этот клиент ранее использовал этот же способ оплаты для прошлых немошеннических заказов.
• Банк-эмитент соответствует стране выставления счета: (в основном для заказов за пределами США) это указывает на то, что кредитная карта была выпущена в той же стране, в которую отправляется заказ.
• Совпадение системы проверки адресов (AVS): адрес для выставления счетов, предоставленный клиентом, полностью совпадает с адресом в файле банка держателя карты.

Факторы риска:
Это элементы заказа, которые обычно указывают на то, что он может быть мошенническим или требует дополнительной проверки перед отправкой:

• Обнаружена рискованная активность устройства: критические характеристики устройства, используемого для размещения заказа, вызывают подозрение (например, покупатель скрывает информацию об устройстве, геолокация устройства находится далеко от адреса держателя карты и т. д.).
• Обнаружена нерегулярная активность устройства: некоторые характеристики устройства, используемого для размещения заказа, необычны или неожиданны.
• Банк-эмитент карты не соответствует стране выставления счета. Банк, которым пользуется клиент, находится в стране, которая не соответствует стране, указанной в его платежном адресе.
• Обнаружен прокси-сервер: клиент использует прокси-программу для маскировки информации об устройстве.
• IP-геолокация удалена от платежного адреса: Клиент разместил заказ с устройства, расположенного далеко от адреса держателя карты.
• Система проверки адресов (AVS) Частичное совпадение: адрес для выставления счетов, предоставленный клиентом, лишь частично совпадает с адресом держателя карты, который находится в файле с его банком-эмитентом (например, почтовый индекс совпадает, но почтовый адрес не совпадает).
• Полное несоответствие системы проверки адресов (AVS): платежный адрес, предоставленный клиентом, полностью не соответствует адресу владельца карты, указанному в файле банка-эмитента.
• Адрес доставки отличается от адреса, подтвержденного AVS: адрес доставки отличается от адреса, подтвержденного владельцем карты.
• Запрошена ускоренная доставка: часто мошенники запрашивают вариант ускоренной доставки, потому что а) они не платят за товар/доставку и им нечего терять, и б) они считают, что это даст продавцу меньше времени, чтобы распознать мошенничество и повторно - маршрутизировать или предотвратить доставку заказа к ним.
• Несколько попыток использования карты за короткий промежуток времени: многие мошенники будут пытаться использовать несколько карт для одного и того же заказа, пока одна из них не будет одобрена. Это указывает на то, что клиент предпринял несколько попыток оплаты различными картами, прежде чем заказ был успешно размещен.
• Доставка в экспедиторскую службу: Заказы, отправляемые экспедитору, обычно считаются более рискованными, чем заказы, отправляемые непосредственно на адрес проживания клиента/владельца карты.
• Адрес электронной почты имеет небольшую историю: мошенники часто создают новые адреса электронной почты (особенно если у них нет доступа к учетной записи электронной почты фактического держателя карты) для конкретной цели размещения мошеннических заказов. Таким образом, совершенно новый адрес электронной почты считается фактором риска.

Рекомендации: Работать можно с любого устройства (при условии есть только одна защита стоит), заранее проверяйте IP, email, dns. Пробивайте биллинг на СС. Тщательно проверяйте данные при вводе.

3. Антифрод Fraud Forter​

Сегодня кратко рассмотрим фрод детектор Фортер. На какие параметры обращает внимание, как подстраиваться? Где на каких шопах стоит? И т.д.

Вот пример шопа. Расширение Wapalayzer показывает нам что тут стоит сразу 3 защиты. Но не стоит убеждаться что это действительно так. Мы же еще не просмотрели сам код через f12 сниффер либо софт hhtp tracker либо fidler.

1. Forter - разберем ниже. PremeterX - рассматривать не буду, кому интересно что это можете сами проанализировать.
2. Onetrust - Тут защита идет по кукам, вас идентифицируют с другими сайтами и т.д.

Составляет графики - какие службы доставок используешь.

Тут пользователь скрывал личность. Манипулировал своим IP адресом чтобы он соответсвовал СС(украденой, купленной в сс шопе) и изменил гео чтобы она была близко к адресу держателя СС. Тоесть Ближайший сокс под зип СС. Также тут есть связь что данный айпи уже светился в сети(фрод детектора фортер) Но тут есть также одно решение - прозвон в шоп.

Можно нанять прозвонщика после ордера, так скажем для подтверждения. И тогда сапы в шопе смогут сделать пометку - тоесть пустить заказ вручную.

Проверяют IP - чек айпи на чистоту.

Почта - есть конечно скрытые маркеры также, на какие соц сети зареган мыльник где не зареган.

Биллинг расположение. Конечно шипинг тут= билингу

Но вот девайс - айпи другого города - это сразу палится. Лучше айпи брать прямо в точь точь того же зипа.

AVS - он здесь есть. По авс прошел.

Сам фрод детектор работает в режиме реального времени. Машинное обучение каждый раз меняется на разные параметры.

Это детали транкзакции - но тут также как в riskfield есть связь между транкзакциями, если данная личность уже светилась где то в сети фортер - то ваш заказ отменят. И работает по всей сети где есть фортер.

Красные точки - это отклоненные транзакции которые уже были в сети у них.

Вот те параметры связи.

Имя, девайс, билинг, шипинг, поведенческие факторы, айпи и т.д. - все учитывается.

Есть скрытый параметр - чек почты на репутацию.

Тоесть чтобы нам обойти этот детектор нам надо:

Почта хай реп, чистый айпи в точь точь под зип СС. Номера телефонов тоже лучше указывать КХ (можно из BG брать старые)

Поведение в шопе, в браузере.

Девайс (антики какие то скорее палится нужно пробовать)

Я встречал на шопах где тоит мерч Cashstar, giftcards, wgiftcard, gap и другие сложные мерчи, а также видел на внутриках(простые шопы).