أدلة
منع احتيال المدفوعات للتجار عبر الإنترنت: أنواع الاحتيال والأدوات والمقاييس
منع احتيال المدفوعات للتجار عبر الإنترنت يعني إيقاف اختبار البطاقات والشراء ببطاقات مسروقة والاستيلاء على الحسابات والاحتيال الودّي دون رفض العملاء الجيدين. ويعمل على طبقات: فحوص الحساب والسرعة وبصمة الجهاز ودرجة المخاطر قبل الدفع، و3D Secure للطلبات المحفوفة بالمخاطر، وفحص CVV والعنوان عند التفويض، وأدلة النزاع بعد البيع. تابع معدل الاحتيال ونسبة النزاعات والرفض الخاطئ معًا.
باختصار
| الاحتيال في المدفوعات في المنطقة الاقتصادية الأوروبية، 2024 | 4.2 مليار يورو، مقابل 3.5 مليار يورو في 2023 (EBA وECB، ديسمبر 2025) |
|---|---|
| احتيال البطاقات خارج المنطقة الاقتصادية الأوروبية | أعلى بـ 17 مرة عندما يكون المستفيد خارج المنطقة، حيث لا تُطبَّق SCA غالبًا |
| حد Visa VAMP للتاجر في أوروبا | بلاغات الاحتيال مع النزاعات عند 1.5% من معاملات البطاقة غير الحاضرة المسوّاة منذ أبريل 2026، بدءًا من 1,500 حدث شهريًا |
| Mastercard Excessive Chargeback Merchant | نسبة نزاعات 1.5% و100 نزاع على الأقل في الشهر |
| معدلات الاحتيال المرجعية لـ TRA في PSD2 | 0.13% حتى 100 يورو و0.06% حتى 250 يورو و0.01% حتى 500 يورو لمدفوعات البطاقات عن بُعد |
| تعويض احتيال APP في المملكة المتحدة | رد إلزامي حتى 85,000 جنيه إسترليني للمطالبة الواحدة منذ 7 أكتوبر 2024 |
ما أنواع احتيال المدفوعات التي تستهدف التجار عبر الإنترنت؟
يتبع الاحتيال عبر الإنترنت المال وأضعف رقابة. أحصى EBA وECB احتيالًا في المدفوعات بقيمة 4.2 مليار يورو في المنطقة الاقتصادية الأوروبية في 2024، مع تركّز احتيال البطاقات في المدفوعات دون حضور البطاقة وفي المدفوعات إلى تجار خارج المنطقة. ويتحمل التجار تكلفة معظم احتيال البطاقات عبر النزاعات والرسوم والبضائع المفقودة.
يترك كل نوع أدناه إشارات مختلفة ويحتاج إلى دفاع مختلف، ولهذا نادرًا ما تغطي مجموعة قواعد واحدة أو أداة واحدة جميعها.
| نوع الاحتيال | كيف يعمل | الإشارة المعتادة | الدفاع الرئيسي |
|---|---|---|---|
| اختبار البطاقات | تجرب برمجيات آلية أرقام بطاقات مسروقة بمدفوعات صغيرة | محاولات كثيرة منخفضة القيمة ونسبة رفض عالية | حدود السرعة وكشف الروبوتات وCAPTCHA |
| احتيال البطاقة المسروقة (CNP) | يشتري محتال ببيانات بطاقة حقيقية | جهاز جديد وعدم تطابق الدولة أو العنوان | تسجيل المخاطر و3D Secure |
| الاستيلاء على الحسابات | تُستخدم بيانات دخول مسروقة للطلب أو لتغيير بيانات الدفع | جهاز جديد وإعادة تعيين كلمة المرور وتغيير العنوان | فحوص مخاطر الدخول والمصادقة الإضافية |
| الاحتيال الودّي | يعترض حامل البطاقة الحقيقي على عملية شراء أجراها | عميل متكرر وطلب مُسلَّم ونزاع لاحق | أوصاف واضحة وإثبات التسليم والأدلة |
| احتيال التثليث | متجر وهمي يعيد بيع بضائعك مدفوعة ببطاقات مسروقة | عنوان الشحن يختلف عن مالك البطاقة وأنماط إعادة البيع | ربط العناوين والأجهزة والمراجعة |
| احتيال MOTO | بطاقات مسروقة تُستخدم في الطلبات الهاتفية أو البريدية | تسليم مستعجل وقيمة عالية ودون SCA | اتصال تحقق وفحص CVV والعنوان |
| احتيال APP وخدع الاسترداد | خداع العملاء أو الموظفين لإرسال الأموال | تغيير بيانات الحساب المصرفي وطلبات عاجلة | التحقق من المستفيد وضوابط الدفعات |
ما هو الاحتيال الودّي، وهل احتيال رد المبالغ غير قانوني؟
يحدث الاحتيال الودّي، ويسمى أيضًا احتيال رد المبالغ أو الاحتيال من الطرف الأول، عندما يعترض حامل البطاقة الذي أجرى عملية الشراء عليها لدى بنكه بوصفها غير مصرّح بها أو لم تصل. بعض الحالات التباس صادق حول وصف غير مألوف أو عملية شراء أجراها أحد أفراد الأسرة، وبعضها متعمد. وتقديم نزاع كاذب عن علم للاحتفاظ بالبضاعة والمال شكل من أشكال الاحتيال ويمكن الملاحقة عليه، لكن التجار عمليًا يتصدون له عبر عملية النزاع.
لا يوقف 3D Secure الاحتيال الودّي لأن حامل البطاقة الحقيقي يستطيع المصادقة. وما يفيد هو وصف في كشف الحساب يتعرف عليه المتسوقون ورسائل تأكيد الطلب وإثبات التسليم وسبيل استرداد سهل. وفي نزاعات Visa، يتيح Compelling Evidence 3.0 للتجار الرد على ادعاء الاحتيال بمعاملتين سابقتين غير متنازع عليهما قبل 120 إلى 365 يومًا، أُجريتا بالبطاقة نفسها وببيانات جهاز أو IP متطابقة.
ما أدوات منع الاحتيال التي ينبغي للتاجر عبر الإنترنت استخدامها؟
لا تغطي أداة واحدة كل أنواع الاحتيال، وتضيف كل أداة تكلفة أو احتكاكًا. والسؤال المفيد هو ماذا ترى كل أداة ومتى تعمل: قبل الطلب أو قبل التفويض أو أثناء المصادقة أو بعد البيع.
تجمع درجات التعلم الآلي إشارات ضعيفة كثيرة، بينما تترجم القواعد ما تعرفه أصلًا عن عملك. ويحتاج معظم التجار إلى الاثنتين: قواعد للحدود الصارمة والحظر القابل للتفسير، وتسجيل للمنطقة الرمادية بينهما.
- القواعد: حظر أو مراجعة بحسب الدولة والمبلغ والمنتج وطريقة الشحن أو البريد الإلكتروني والبطاقة والجهاز المدرجة في القوائم السوداء
- فحوص السرعة: تحديد المحاولات لكل بطاقة وجهاز وعنوان IP وبريد إلكتروني وحساب خلال دقائق وأيام
- بصمة الجهاز: التعرف على الأجهزة العائدة والمحاكيات والوكلاء (proxies) وحسابات كثيرة على جهاز واحد
- تسجيل المخاطر بالتعلم الآلي: درجة لكل دفعة من السلوك والسجل وبيانات الشبكة
- 3D Secure 2: مصادقة من المُصدِر، مع نقل مسؤولية الاحتيال للدفعات المصادَق عليها
- التحقق من CVV والعنوان (AVS): فحوص المُصدِر عند التفويض؛ وAVS متاح أساسًا لبطاقات المملكة المتحدة والولايات المتحدة وكندا
- المراجعة اليدوية وتعليق التنفيذ: للطلبات عالية القيمة أو الملتبسة قبل خروج البضاعة من المستودع
ما مقاييس الاحتيال التي ينبغي متابعتها؟
معدل الاحتيال وحده يكافئ رفض الجميع. تابعه إلى جانب نسبة النزاعات التي تراقبها شبكات البطاقات والرفض الخاطئ الذي تتسبب به، لأن العميل الجيد الذي ترفضه يكلفك الهامش كاملًا وغالبًا طلباته التالية أيضًا.
يحسب برنامج Visa لمراقبة جهات الاستحواذ بلاغات الاحتيال والنزاعات معًا، وخُفِّض حده للتجار في أوروبا إلى 1.5% في أبريل 2026. ويؤدي تجاوز حدود الشبكات إلى غرامات ورسوم أعلى من جهة الاستحواذ وفي النهاية إلى فقدان قبول البطاقات.
| المقياس | طريقة الحساب | القيمة المرجعية |
|---|---|---|
| معدل الاحتيال بالقيمة | حجم الاحتيال مقسومًا على إجمالي حجم البطاقات | شرائح TRA في PSD2: 0.13% و0.06% و0.01% لـ PSP |
| نسبة Visa VAMP | بلاغات الاحتيال مع النزاعات مقسومة على معاملات CNP المسوّاة | حد التاجر 1.5% في أوروبا منذ أبريل 2026 |
| نسبة نزاعات Mastercard | النزاعات مقسومة على معاملات الشهر السابق | 1.5% و100 نزاع لـ Excessive Chargeback Merchant |
| معدل الرفض الخاطئ | الطلبات الجيدة المرفوضة أو الملغاة مقسومة على كل الطلبات الجيدة | حدّد مرجعك الخاص؛ وراجع عيّنات شهريًا |
| معدل تحقق 3DS | المصادقات التي طُلب فيها تحقق مقسومة على كل المصادقات | قارن بحسب دولة المُصدِر وشريحة المبلغ |
| معدل المراجعة اليدوية | الطلبات المرسلة للمراجعة مقسومة على كل الطلبات | أبقِه منخفضًا بما يكفي لإتمام المراجعة قبل موعد الشحن |
كيف يبدو نهج منع الاحتيال متعدد الطبقات؟
تلتقط الطبقات ما فاتته السابقة وتتيح لك الاحتفاظ بالاحتكاك للطلبات التي تحتاج إليه. تمر المدفوعات منخفضة المخاطر بسرعة، وتخضع متوسطة المخاطر للمصادقة، وتُحظر عالية المخاطر أو تُراجع.
ضع كل ضابط في أبكر نقطة ممكنة: فحظر روبوت اختبار بطاقات عند التسجيل أرخص من دفع رسوم التفويض عن آلاف المحاولات المرفوضة.
| الطبقة | متى تعمل | الضوابط | احتكاك المتسوق |
|---|---|---|---|
| 1. الحساب | التسجيل والدخول | كشف الروبوتات ومخاطر الدخول ومصادقة إضافية على الأجهزة الجديدة | لا شيء لمعظم المستخدمين |
| 2. صفحة الدفع | قبل الدفع | حدود السرعة وبصمة الجهاز والقوائم السوداء | لا شيء |
| 3. درجة المخاطر | قبل التفويض | القواعد مع درجة التعلم الآلي | لا شيء |
| 4. المصادقة | المخاطر المتوسطة والعالية | تحقق 3D Secure 2 أو استثناء | تحقق لجزء من الطلبات |
| 5. التفويض | لدى المُصدِر | CVV وAVS ونماذج مخاطر المُصدِر | رفض فقط |
| 6. بعد البيع | التنفيذ والنزاعات | التعليق وإثبات التسليم والأدلة والاستردادات | تأخير في الطلبات المراجَعة |
كيف ترتبط درجة المخاطر بتوجيه المدفوعات؟
تكون درجة المخاطر أنفع ما تكون حين تغيّر ما يحدث للدفعة، لا مجرد حظرها أو عدمه. فالدرجات المنخفضة يمكن إرسالها مع طلب استثناء TRA لإبقاء الدفع بلا احتكاك، والمتوسطة تمر عبر 3D Secure، والعالية تُحظر أو تُعلَّق للمراجعة. ومع عدة جهات استحواذ، يمكن أن تقرر الدرجة أيضًا أي اتصال يعالج الدفعة، مثل توجيه السلال عالية المخاطر إلى الحساب ذي أفضل إعداد للمصادقة.
ويولّد التوجيه مخاطر احتيال أيضًا. فإعادة محاولة دفعة مرفوضة لدى مزود ثانٍ تفيد في الرفض التقني والمرن، لكن إعادة محاولة الرفض النهائي أو اختبار البطاقات المشتبه به تنشر الهجوم على حساباتك وترفع نسب النزاعات في كل مكان. ويجب أن تفحص قواعد إعادة المحاولة سبب الرفض ودرجة المخاطر أولًا.
كيف تضيف ضوابط الاحتيال عبر OrsunPay؟
OrsunPay مزود خدمة تقنية فوق حسابات PSP الخاصة بالتاجر، لذا تبقى أدوات الاحتيال وقواعد المسؤولية في عقد كل PSP سارية. وتجمع التقارير نتائج المدفوعات من المزودين المتصلين؛ أما التوجيه الذكي المبني على المخاطر وتكامل RiskCogs لتسجيل الجهاز والمعاملات فمخطط لهما وغير متاحين اليوم.
كيف تُعدّ منعًا متعدد الطبقات لاحتيال المدفوعات
- قِس خط الأساس صدّر ثلاثة أشهر من المدفوعات والنزاعات والرفض، واحسب معدل الاحتيال ونسبة النزاعات ومعدل الموافقة لكل دولة وطريقة وشريحة مبلغ.
- أوقف الهجمات الآلية أولًا أضف كشف الروبوتات وحدود السرعة لكل بطاقة وجهاز وعنوان IP وبريد إلكتروني لمنع اختبار البطاقات قبل وصوله إلى التفويض.
- سجّل كل دفعة استخدم محرك المخاطر لدى PSP أو أداة تسجيل منفصلة، واكتب قواعد للحدود الصارمة التي تعرفها أصلًا.
- اربط الدرجات بالإجراءات حدّد شرائح للمرور مع استثناء والمصادقة بـ 3D Secure والمراجعة والحظر، واختبر العتبات على طلبات سابقة.
- استعد للنزاعات صحّح وصف كشف الحساب، واحفظ إثبات التسليم وبيانات الجهاز، وأعد المبالغ في الأخطاء الواضحة قبل أن تتحول إلى نزاعات.
- راجع شهريًا افحص الاحتيال والنزاعات والرفض الخاطئ معًا وعدّل القواعد، فأنماط الاحتيال تتغير بعد كل تغيير تجريه.
الأسئلة الشائعة
ما هو الاحتيال الودّي؟
الاحتيال الودّي نزاع يقدمه حامل البطاقة الحقيقي على عملية شراء أجراها أو صرّح بها، زاعمًا أنها غير مصرّح بها أو لم تصل. ويشكل حصة كبيرة من نزاعات الاحتيال لأن 3D Secure ودرجات الاحتيال لا توقفان حامل البطاقة الحقيقي.
هل احتيال رد المبالغ غير قانوني؟
الاعتراض عن علم على عملية شراء مشروعة لاسترداد المال مع الاحتفاظ بالبضاعة احتيال ويمكن الملاحقة عليه. وعادةً يرد التجار عبر عملية النزاع لدى الشبكة مع الأدلة، وقد يرفضون الطلبات المستقبلية من ذلك العميل.
ما هو احتيال MOTO؟
يستخدم احتيال MOTO بيانات بطاقات مسروقة في المدفوعات البريدية أو الهاتفية. وهذه المدفوعات خارج المصادقة القوية للعميل، لذا يعتمد التجار على اتصالات التحقق وفحص CVV والعنوان والمراجعة الدقيقة للطلبات المستعجلة أو عالية القيمة.
كيف أوقف احتيال التجارة الإلكترونية دون خسارة العملاء الجيدين؟
استخدم احتكاكًا قائمًا على المخاطر: مرّر المدفوعات منخفضة المخاطر، وصادق على المتوسطة بـ 3D Secure، واحظر أو راجع الطلبات عالية المخاطر فقط. وقس الرفض الخاطئ إلى جانب الاحتيال حتى لا يكلفك تشديد القواعد إيرادات أكثر مما يوقفه من احتيال.
ما معدل الاحتيال الجيد لمتجر إلكتروني؟
أبقِ نسب الاحتيال والنزاعات أقل بكثير من حدّي 1.5% لدى Visa وMastercard. والتجار الذين يريدون أن تطلب جهات الاستحواذ استثناءات TRA لهم يحتاجون إلى محفظة أقل بكثير، إذ يضع PSD2 معدلات مرجعية بين 0.01% و0.13% لـ PSP.
ما هو اختبار البطاقات؟
اختبار البطاقات هو استخدام المحتالين لروبوتات للتحقق من أرقام بطاقات مسروقة بمدفوعات صغيرة على موقع. يسبب رسوم تفويض وارتفاعًا في معدلات الرفض ونزاعات احتيال لاحقة، ويُوقف بحدود السرعة وكشف الروبوتات وCAPTCHA في صفحة الدفع.