Безпека та захист від шахрайства для інтернет-магазину

Боротьба з шахрайством в електронній комерції — це не «стіна», а термостат. Ви постійно балансуєте між двома ризиками: пропустити погану транзакцію і втратити хорошу. Будь-яка «жорсткість» коштує конверсії, будь-яка «м’якість» — чарджбеків і збитків. Виграє той, хто дозує тертя: свобода, коли сигнал чистий, і виважений челендж, коли контекст насторожує.

Карта загроз: хто і як нас атакує

Сценарії цілком конкретні:

• Кардинг і перебір діапазонів BIN: масові мікроплатежі, щоб знайти активні картки й закономірності 3DS.
• Credential stuffing: перебір пар «логін — пароль» зі злитих баз, а далі викрадення бонусів і адрес.
• Скрейпінг: викачування цін і залишків заради демпінгу або скуповування дефіциту.
• Соціальні схеми: повернення «без товару», підроблені підтвердження отримання, суперечки «не отримав».
• Слабкі інтеграції: перехоплення чи підміна вебхуків, витік секретів, повторні списання без ідемпотентності.

Маркери ризику: що справді про щось говорить

Один сигнал рідко вирішує все — важлива сукупність.

• Контекст пристрою й мережі: невідомий для цього облікового запису пристрій, раптова зміна країни чи ASN, розбіжність часового поясу й локалі, неузгоджені мова браузера й валюта.
• Поведінка в сесії: «блискавичний» шлях до оплати, вставка тексту в чутливі поля, надто рівні інтервали, цикли «помилка → повтор» із мікропаузами (боти).
• Кошик: дешевий товар плюс дорога експрес-доставка, кілька подарункових карток, нетипові поєднання розмірів.
• Оплата: серія відмов з одного BIN, різні картки на одну адресу чи телефон, розбіжність платіжної адреси й адреси доставки.
• Історія: «новий клієнт — дорогий кошик — прохання про пришвидшену відправку», часті зміни адреси, зміна пошти чи телефону перед оплатою.

На виході — оцінка ризику (0…1), яка обирає маршрут: пропустити, попросити додатковий фактор, увімкнути 3DS-челендж або відмовити.

3DS2: де рятує, а де ламає

У 3DS2 два обличчя: frictionless (емітент підтверджує без дій клієнта) і challenge (код чи біометрія). Що більше контексту ви передаєте платіжному провайдеру й емітенту, то ширше відкривається шлях frictionless.

• Передавайте «багаті» дані: адреси, user-agent, відбиток пристрою, історію облікового запису.
• Вмикайте челендж за порогом ризику (новий пристрій + дорогий кошик + неузгоджені адреси тощо).
• Стежте за step-up rate, challenge success rate і кодами відмов емітентів.

Класична помилка — примусовий 3DS для всіх: так ви захистите себе… від власної конверсії.

Поведінкова біометрія: «як він вводить» > «хто він»

Ідеться про мікрозакономірності: ритм натискань, траєкторія курсора, інерція прокручування, баланс між дотиками й клавіатурою, мікротремтіння гіроскопа на мобільному. Корисно як додатковий шар, а не як заміна решти.

Точні сценарії застосування:

• Реєстрація та вхід: виявляти нелюдські патерни, не множачи CAPTCHA.
• Оформлення замовлення: відрізнити справжнього клієнта на новому пристрої від бота, який «друкує надто рівно».
• Підтримка й повернення: аномальні схеми заповнення форм.

Приватність: зберігайте агрегати, а не «сирі сліди»; поважайте право на відмову.

Боти, обмеження частоти й м’які пастки

• Відбиток пристрою й сесії (Canvas/WebGL, шрифти, кодеки) — як шар, а не як опора.
• Невидимі пастки: приховані поля-приманки, складні JS-завдання для headless-браузерів.
• Розумні обмеження: не лише за IP. Поєднуйте «IP + пристрій + обліковий запис + BIN + адреса», ловіть сплески (10 спроб за 3 с) і рої з одного ASN.
• Загати проти кардингу: збільшуйте затримку, коли відмови йдуть одна за одною.
• Челенджі за рівнями: спершу невеликі обчислювальні задачі, і лише потім CAPTCHA — тільки для ризикового сегмента.

Вебхуки й секрети: дрібниці, які валять систему

• Підписуйте кожен вебхук: HMAC тіла запиту плюс мітка часу; перевіряйте на боці сервера з ротацією секретів і часовим вікном.
• Ідемпотентність: повторно надісланий event_id має бути безпечним.
• Не покладайтеся лише на списки IP: краще mTLS або корисний підпис.
• Секрети — у сховищі з ротацією та аудитом; доступ за принципом мінімальних привілеїв.
• Записуйте в журнал повтори вебхуків як події першого порядку.

Журнали як рентген: куди дивитися

• Єдиний trace_id від картки товару до платіжного провайдера і зворотного вебхука.
• Шари: рішення движка ризиків, відповіді емітента й провайдера, поведінка клієнта.
• Таблиці атак: помилки за BIN і ASN, прискорені сплески, теплові карти за годинами.
• Метрики 3DS: частки frictionless і challenge, успішність челенджів, коди відмов — за країною, банком і пристроєм.
• Вебхуки: частка повторів, медіана затримки, розсинхронізації з провайдером.

Тривожний список: зростання відмов з одного ASN, сплеск do_not_honor, падіння frictionless в одному банку, лавина повторів вебхуків.

Не вбити конверсію: дозоване тертя

• Новий пристрій + дорогий кошик + експрес → додатковий фактор або 3DS-челендж.
• Старий обліковий запис + знайомий пристрій → пропуск без тертя.
• Повтори з одного BIN → «загата» й обмеження, а не глобальна CAPTCHA.
• Поля адреси: перевіряйте за локаллю, щоб підвищити прийняття на боці провайдера.

Кожне тертя має виправдовуватися вимірюваним зниженням ризику, а не тим, що «так спокійніше».

Міні-практика: кістяк движка ризиків

• Сигнали: пристрій, мережа, геолокація, поведінка, кошик, історія.
• Модель: логістична регресія чи бустинг плюс правила (частоти, чорні списки, заборонені маршрути).
• Оркестрація: гілки allow / step-up / deny за порогами й обмеженнями.
• Зворотний зв’язок: позначайте чарджбеки, суперечки й «не отримав», зберігайте причини.
• Експерименти: контрольна частка трафіку, щоб виміряти реальний внесок і легко відкотитися.

Підсумок: що вважати успіхом?

Мета — не «нуль шахрайства», а мінімальна вартість ризику за заданого рівня доходу.

• Операційні показники: частка схвалень, частка frictionless, step-up rate, успішність челенджів, затримка на оформленні.
• Фінансові: рівень шахрайства, рівень чарджбеків, валова маржа на сесію з урахуванням тертя.
• Виявлення: час до виявлення патерну, час до запуску контрзаходу, якість розмітки даних.

Висновок: налаштуйте термостат — ротація секретів, регулярні навчання, звіти про інциденти й аудити тертя, — і криві підуть у правильний бік без утрати конверсії.