Гайди
Запобігання платіжному шахрайству в е-комерції: види, інструменти та метрики
Запобігання платіжному шахрайству для онлайн-продавців — це зупинка card testing, покупок за викраденими картками, захоплення акаунтів і friendly fraud без відмов добрим клієнтам. Воно працює шарами: перевірки акаунта й ліміти частоти, відбиток пристрою та оцінка ризику до оплати, 3D Secure для ризикових замовлень, CVV і адреса під час авторизації та докази після продажу. Відстежуйте разом рівень шахрайства, частку спорів і хибні відмови.
Коротко
| Платіжне шахрайство в ЄЕП, 2024 | 4,2 млрд євро проти 3,5 млрд євро у 2023 році (EBA та ЄЦБ, грудень 2025) |
|---|---|
| Карткове шахрайство поза ЄЕП | У 17 разів вище, коли одержувач перебуває поза ЄЕП, де SCA часто не застосовується |
| Поріг Visa VAMP для продавця в Європі | Звіти про шахрайство плюс спори на рівні 1,5% розрахованих транзакцій без фізичної картки з квітня 2026 року, від 1 500 подій на місяць |
| Mastercard Excessive Chargeback Merchant | Коефіцієнт чарджбеків 1,5% і щонайменше 100 чарджбеків за місяць |
| Еталонні рівні шахрайства TRA за PSD2 | 0,13% до 100 євро, 0,06% до 250 євро і 0,01% до 500 євро для віддалених карткових платежів |
| Відшкодування за APP-шахрайство у Великій Британії | Обов'язкове відшкодування до 85 000 фунтів за заявою з 7 жовтня 2024 року |
Які види платіжного шахрайства б'ють по онлайн-продавцях?
Онлайн-шахрайство йде за грошима та найслабшим контролем. EBA та ЄЦБ нарахували в ЄЕП 4,2 млрд євро платіжного шахрайства у 2024 році, причому карткове шахрайство зосереджене в платежах без фізичної картки та в платежах продавцям поза ЄЕП. Вартість більшості карткового шахрайства несуть продавці через чарджбеки, комісії та втрачені товари.
Кожен із наведених нижче видів залишає інші сигнали та потребує іншого захисту, тому один набір правил чи один інструмент рідко охоплює їх усі.
| Вид шахрайства | Як це працює | Типовий сигнал | Основний захист |
|---|---|---|---|
| Card testing | Боти перевіряють викрадені номери карток невеликими платежами | Багато спроб на малі суми, високий відсоток відмов | Ліміти частоти, виявлення ботів, CAPTCHA |
| Шахрайство з викраденою карткою (CNP) | Шахрай купує, використовуючи справжні дані картки | Новий пристрій, неузгоджені країна чи адреса | Оцінка ризику, 3D Secure |
| Захоплення акаунта | Викрадені логіни використовують для замовлень або зміни реквізитів виплат | Новий пристрій, скидання пароля, змінена адреса | Перевірки ризику входу, додаткова автентифікація |
| Friendly fraud | Справжній власник картки оскаржує покупку, яку зробив | Постійний клієнт, доставлене замовлення, пізніший спір | Зрозумілі дескриптори, доказ доставки, докази |
| Трикутне шахрайство | Фальшивий магазин перепродає ваші товари, оплачені викраденими картками | Адреса доставки відрізняється від власника картки, ознаки перепродажу | Зв'язування адрес і пристроїв, перевірка |
| MOTO-шахрайство | Викрадені картки у телефонних або поштових замовленнях | Термінова доставка, висока вартість, немає SCA | Зворотний дзвінок, перевірки CVV і адреси |
| APP-шахрайство та шахрайство з поверненнями | Клієнтів або співробітників обманом змушують надіслати гроші | Змінені банківські реквізити, термінові прохання | Верифікація одержувача, контроль виплат |
Що таке friendly fraud і чи є шахрайство з чарджбеками незаконним?
Friendly fraud, його також називають шахрайством з чарджбеками або first-party fraud, трапляється, коли власник картки, який зробив покупку, оскаржує її в банку як неавторизовану чи не отриману. Частина випадків — щира плутанина через незнайомий дескриптор або покупку члена сім'ї; інші навмисні. Свідоме подання хибного чарджбека, щоб залишити собі і товар, і гроші, є формою шахрайства та може переслідуватися, але на практиці продавці борються з ним у процесі спорів.
3D Secure не зупиняє friendly fraud, бо справжній власник картки може пройти автентифікацію. Допомагають дескриптор у виписці, який покупці впізнають, листи-підтвердження замовлення, доказ доставки та простий шлях повернення. У спорах Visa Compelling Evidence 3.0 дозволяє відповісти на заяву про шахрайство двома попередніми неоспореними транзакціями за 120–365 днів до цього, здійсненими тією самою карткою зі збіжними даними пристрою чи IP.
Які інструменти запобігання шахрайству має використовувати онлайн-продавець?
Жоден окремий інструмент не охоплює всі види шахрайства, і кожен додає вартість або тертя. Корисне питання: що бачить кожен інструмент і коли він діє: до замовлення, до авторизації, під час автентифікації чи після продажу.
Оцінки машинного навчання поєднують багато слабких сигналів, а правила кодують те, що ви вже знаєте про свій бізнес. Більшості продавців потрібні обидва: правила для жорстких обмежень і пояснюваних блокувань та оцінка для сірої зони між ними.
- Правила: блокування або перевірка за країною, сумою, товаром, способом доставки чи електронною поштою, карткою й пристроєм зі списку блокування
- Ліміти частоти: обмеження спроб на картку, пристрій, IP-адресу, e-mail і акаунт упродовж хвилин і днів
- Відбиток пристрою: розпізнавання повторних пристроїв, емуляторів, проксі та багатьох акаунтів на одному пристрої
- Оцінка ризику машинним навчанням: бал для кожного платежу за поведінкою, історією та мережевими даними
- 3D Secure 2: автентифікація емітентом із перенесенням відповідальності за шахрайство для автентифікованих платежів
- CVV і перевірка адреси (AVS): перевірки емітента під час авторизації; AVS переважно доступна для карток Великої Британії, США та Канади
- Ручна перевірка та утримання відправлення: для дорогих або неоднозначних замовлень, доки товар не залишив склад
Які метрики шахрайства варто відстежувати?
Рівень шахрайства сам по собі заохочує відмовляти всім. Відстежуйте його поряд із часткою спорів, яку контролюють карткові системи, та хибними відмовами, які ви спричиняєте, бо відхилений добрий клієнт коштує повної маржі та часто його наступних замовлень.
Програма Visa Acquirer Monitoring Program рахує звіти про шахрайство й спори разом, а її поріг для продавців у Європі знижено до 1,5% у квітні 2026 року. Перевищення порогів карткових систем призводить до штрафів, вищих комісій еквайра, а зрештою до втрати можливості приймати картки.
| Метрика | Як розрахувати | Еталонне значення |
|---|---|---|
| Рівень шахрайства за вартістю | Обсяг шахрайських транзакцій, поділений на загальний обсяг карткових платежів | Діапазони TRA 0,13%, 0,06% і 0,01% для PSP |
| Показник Visa VAMP | Звіти про шахрайство плюс спори, поділені на розраховані транзакції CNP | Поріг 1,5% для продавців у Європі з квітня 2026 року |
| Коефіцієнт чарджбеків Mastercard | Чарджбеки, поділені на транзакції попереднього місяця | 1,5% і 100 чарджбеків для Excessive Chargeback Merchant |
| Рівень хибних відмов | Відхилені або скасовані добрі замовлення, поділені на всі добрі замовлення | Визначте власну базу; щомісяця переглядайте вибірки |
| Частка викликів 3DS | Автентифікації з викликом, поділені на всі автентифікації | Порівнюйте за країною емітента й діапазоном сум |
| Частка ручних перевірок | Замовлення, надіслані на перевірку, поділені на всі замовлення | Тримайте достатньо низькою, щоб встигати до терміну відправлення |
Як виглядає багаторівневий підхід до запобігання шахрайству?
Шари ловлять те, що пропустив попередній, і дозволяють залишити тертя для замовлень, які його потребують. Платежі з низьким ризиком проходять швидко, із середнім ризиком отримують автентифікацію, а з високим — блокуються або перевіряються.
Розміщуйте кожен контроль якомога раніше: заблокувати бота для card testing під час реєстрації дешевше, ніж платити авторизаційні комісії за тисячі відхилених спроб.
| Шар | Коли діє | Контролі | Тертя для покупця |
|---|---|---|---|
| 1. Акаунт | Реєстрація та вхід | Виявлення ботів, ризик входу, додаткова автентифікація на нових пристроях | Немає для більшості користувачів |
| 2. Чекаут | До оплати | Ліміти частоти, відбиток пристрою, списки блокування | Немає |
| 3. Оцінка ризику | До авторизації | Правила плюс оцінка машинного навчання | Немає |
| 4. Автентифікація | Середній і високий ризик | Виклик 3D Secure 2 або виняток | Виклик для частини замовлень |
| 5. Авторизація | В емітента | CVV, AVS, моделі ризику емітента | Лише відмова |
| 6. Після продажу | Виконання та спори | Утримання, доказ доставки, докази, повернення | Затримка для замовлень на перевірці |
Як оцінка ризику пов'язана з маршрутизацією платежів?
Оцінка ризику найкорисніша, коли змінює те, що відбувається з платежем, а не лише чи його заблоковано. Низькі оцінки можна надсилати із запитом винятку TRA, щоб чекаут залишався безтертьовим, середні проходять через 3D Secure, а високі блокуються або утримуються для перевірки. За кількох еквайрів оцінка може також визначати, яке з'єднання обробить платіж, наприклад спрямовувати кошики високого ризику на рахунок із найкращим налаштуванням автентифікації.
Маршрутизація також створює ризик шахрайства. Повторення відхиленого платежу в другого провайдера допомагає за технічних і м'яких відмов, але повторення жорстких відмов чи підозрілого card testing поширює атаку на ваші рахунки та підвищує частку спорів усюди. Правила повторних спроб мають спершу перевіряти причину відмови й оцінку ризику.
Як додати контролі шахрайства через OrsunPay?
OrsunPay — постачальник технічних послуг поверх власних рахунків продавця в PSP, тож інструменти боротьби з шахрайством і правила відповідальності з договору з кожним PSP залишаються чинними. Звітність збирає результати платежів від підключених провайдерів; антифрод-модуль RiskCogs додає до кожної транзакції оцінку ризику й сигнали, які враховуються в правилах маршрутизації та каскадів.
Як налаштувати багаторівневе запобігання платіжному шахрайству
- Виміряйте вихідний рівень Експортуйте три місяці платежів, спорів і відмов та розрахуйте рівень шахрайства, частку спорів і рівень схвалення за країною, методом і діапазоном сум.
- Спершу зупиніть автоматизовані атаки Додайте виявлення ботів і ліміти частоти на картку, пристрій, IP-адресу та e-mail, щоб заблокувати card testing до авторизації.
- Оцінюйте кожен платіж Використовуйте рушій ризику вашого PSP або окремий інструмент оцінки та напишіть правила для жорстких обмежень, які вже знаєте.
- Зіставте оцінки з діями Визначте діапазони для пропуску з винятком, автентифікації 3D Secure, перевірки та блокування і протестуйте пороги на минулих замовленнях.
- Підготуйтеся до спорів Виправте дескриптор у виписці, зберігайте доказ доставки та дані пристрою й повертайте кошти за очевидні помилки, доки вони не стали чарджбеками.
- Переглядайте щомісяця Перевіряйте разом шахрайство, спори та хибні відмови й коригуйте правила, бо схеми шахрайства змінюються після кожної вашої зміни.
Поширені запитання
Що таке friendly fraud?
Friendly fraud — це чарджбек, поданий справжнім власником картки за покупку, яку він зробив або авторизував, із твердженням, що її не авторизовано чи не отримано. Він становить велику частку спорів про шахрайство, бо 3D Secure і оцінки шахрайства не можуть зупинити справжнього власника картки.
Чи є шахрайство з чарджбеками незаконним?
Свідоме оскарження законної покупки, щоб повернути гроші й залишити товар, є шахрайством і може переслідуватися. Продавці зазвичай відповідають у межах процесу спорів карткової системи з доказами й можуть відмовляти такому клієнту в подальших замовленнях.
Що таке MOTO-шахрайство?
MOTO-шахрайство — це використання викрадених даних картки у поштових або телефонних замовленнях. Такі платежі лежать поза сильною автентифікацією клієнта, тому продавці покладаються на зворотні дзвінки, перевірки CVV і адреси та ретельний розгляд термінових або дорогих замовлень.
Як зупинити шахрайство в е-комерції, не втрачаючи добрих клієнтів?
Застосовуйте тертя залежно від ризику: пропускайте платежі з низьким ризиком, автентифікуйте середні через 3D Secure, а блокуйте чи перевіряйте лише замовлення високого ризику. Вимірюйте хибні відмови поряд із шахрайством, щоб посилення правил непомітно не коштувало більше виручки, ніж шахрайство, яке воно зупиняє.
Який рівень шахрайства вважається добрим для інтернет-магазину?
Тримайте рівні шахрайства та спорів значно нижче порогів 1,5% Visa і Mastercard. Продавцям, які хочуть, щоб еквайри запитували винятки TRA, потрібен набагато нижчий портфель, адже PSD2 встановлює еталонні рівні для PSP від 0,01% до 0,13%.
Що таке card testing?
Card testing — це перевірка шахраями викрадених номерів карток невеликими платежами на сайті за допомогою ботів. Він спричиняє авторизаційні комісії, підвищений відсоток відмов і пізніші спори про шахрайство, а зупиняють його ліміти частоти, виявлення ботів і CAPTCHA в чекауті.