Rizikové skóre platby (risk score)

Příklady z praxe

1. 01

   Rozhodovací logika nad skóre v checkoutu

   E-shop dostane od brány skóre a seznam důvodů. Backend podle prahů rozhodne, zda platbu pustí, vynutí 3-D Secure, nebo ji pošle do fronty ke kontrole. Prahy jsou v konfiguraci, aby je šlo měnit bez nasazení nové verze.

   const { riskScore, reasons } = await gateway.assess(payment);
   
   if (riskScore >= cfg.blockAt) {           // např. 85
     return decline(payment, 'fraud_risk', reasons);
   }
   if (riskScore >= cfg.reviewAt) {          // např. 60
     return queueForManualReview(payment, reasons);
   }
   if (riskScore >= cfg.challengeAt) {       // např. 35
     return requestStrongAuth(payment);      // 3-D Secure challenge
   }
   return capture(payment);

2. 02

   Nákup dárkových karet z nové IP

   Zákazník s nově založeným účtem objednává v jednu hodinu ráno pět elektronických dárkových karet, platí kartou vydanou v jiné zemi, než odkud přichází IP, a předtím zkusil tři různá čísla karet. Skóre vyskočí nad 90 a platba je zamítnuta. Kombinace okamžitě zpeněžitelného zboží, testování karet a nesouladu geolokace je typický obraz card testingu.

3. 03

   Falešně pozitivní zamítnutí věrného zákazníka

   Dlouholetý zákazník objedná dárek na adresu babičky v jiném městě a platí z hotelové Wi-Fi v zahraničí. Nesoulad adres a cizí IP zvednou skóre do pásma manuální kontroly, objednávka se zdrží o půl dne. Řešením je vážit historii zákazníka výš než jednorázový geografický nesoulad, případně u známých účtů zvýšit prahy.

Časté omyly

MýtusVysoké rizikové skóre znamená, že jde o podvod.

Ve skutečnostiRizikové skóre platby vyjadřuje pravděpodobnost, ne důkaz. Vysoká hodnota jen říká, že transakce se podobá těm, které v minulosti končily sporem. Značná část vysoce skórovaných plateb jsou zcela legitimní nákupy.

MýtusKdyž máme 3-D Secure, antifraud už nepotřebujeme.

Ve skutečnosti3-D Secure ověřuje, že kartu drží její majitel, a přesouvá odpovědnost za neautorizované transakce. Neřeší ale spory typu zboží nedorazilo, zneužití účtu s uloženou kartou ani friendly fraud, takže skórování zůstává potřebné.

MýtusPřísnější prahy jsou vždycky bezpečnější volba.

Ve skutečnostiPřísnější prahy zvyšují počet odmítnutých poctivých zákazníků. U většiny e-shopů převyšuje ztracená marže z falešných zamítnutí náklady na podvody, takže nejbezpečnější nastavení je to změřené, ne to nejtvrdší.

Časté dotazy

Jak nastavit prahy rizikového skóre pro nový e-shop?

Prahy rizikového skóre se u nového e-shopu nastavují postupně. Prvních několik týdnů se doporučuje jet v režimu pouze pozorování: skóre se loguje, ale nic neblokuje. Po nasbírání dat se porovnají skutečné chargebacky a spory proti hodnotám skóre a hranice se určí tak, aby blokované pásmo pokrývalo většinu sporů při co nejmenším počtu zasažených poctivých objednávek. Praktický start je zamítat jen extrémní hodnoty, širší pásmo posílat do 3-D Secure challenge a manuální kontrolu držet na objemu, který tým reálně stihne.

Vidí zákazník své rizikové skóre?

Rizikové skóre platby se zákazníkovi nikdy neukazuje a ani se mu nesdělují konkrétní důvody zamítnutí. Detailní odůvodnění by podvodníkům umožnilo systém obejít metodou pokus omyl. Zákazník dostane obecnou zprávu, že platbu nelze dokončit, a nabídku jiné platební metody nebo kontaktu na podporu. Obchodník má naopak k dispozici celý rozpad faktorů, aby mohl u sporných případů rozhodnout ručně a doložit důvod při případné stížnosti.

Kdo nese odpovědnost, když skóre podvod nezachytí?

Odpovědnost za nezachycený podvod nese ve výchozím stavu obchodník: prostřednictvím chargebacku přijde o částku transakce, o zboží i o poplatek za zpracování sporu. Výjimkou jsou transakce úspěšně ověřené přes 3-D Secure, kde se u neautorizovaných plateb odpovědnost přesouvá na vydavatele karty. Antifraudní systém ani platební brána za obchodníkovu ztrátu neručí, pokud to není výslovně součástí smlouvy o garanci, kterou nabízejí jen někteří specializovaní poskytovatelé za příplatek.

Jak často se skórovací model přetrénovává?

Skórovací modely u větších poskytovatelů se přetrénovávají v řádu dnů až týdnů, protože podvodné vzorce se mění rychle. Klíčová je zpětná vazba: chargeback dorazí až s odstupem týdnů i měsíců, takže data o skutečném výsledku transakce jsou vždy zpožděná. Obchodník proto sleduje i rychlejší signály, například podíl zamítnutých autorizací, náhlý nárůst pokusů z jedné IP nebo míru odmítnutí u konkrétní platební metody. Vlastní pravidla nad modelem se ladí prakticky průběžně.

Zdroje

1. Stripe Radar(otevře se v novém okně)Stripe
2. EMV 3-D Secure(otevře se v novém okně)EMVCo
3. Payment Card Industry Data Security Standard(otevře se v novém okně)PCI Security Standards Council
4. Credit card fraud(otevře se v novém okně)Wikipedia

Související pojmy

• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• ChargebackChargeback je zpětné zúčtování karetní platby, při kterém držitel karty zpochybní transakci u své banky a obchodník může přijít o původně připsané peníze. Probíhá podle pravidel karetních schémat, často přes acquirera a platební bránu, a rozhoduje se podle důkazů o autorizaci, doručení, komunikaci a případném podvodu.
• Platební bránaPlatební brána je služba, která propojuje e-shop nebo aplikaci s kartovými schématy, bankami a dalšími platebními metodami, aby bezpečně přijala a potvrdila platbu zákazníka. Obchodníkovi zprostředkuje autorizaci, ověření, návrat výsledku do objednávky a často i podklady pro refundace, párování a účetní vyrovnání.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• Apple Pay a Google PayApple Pay a Google Pay jsou digitální peněženky, které nahrazují číslo platební karty tokenem uloženým v zařízení nebo v cloudu a platbu potvrzují biometrií či kódem obrazovky. Kupující zaplatí v obchodě, aplikaci i na webu bez ručního zadávání údajů; obchodník dostává transakci přes svou platební bránu jako běžnou kartovou platbu.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.
• AtribuceAtribuce je způsob, jak v marketingové analytice přiřadit zásluhu za konverzi jednotlivým kontaktům zákazníka se značkou, například reklamě, e-mailu nebo organickému vyhledávání. Pomáhá odhadnout přínos kanálů a kampaní, ale sama o sobě nedokazuje kauzalitu. Výsledek závisí na datech, pravidlech měření a zvoleném atribučním modelu.
• Bankovní identitaBankovní identita je způsob ověření totožnosti člověka na internetu pomocí přihlašovacích údajů do jeho internetového bankovnictví. Banka jako ověřený zdroj potvrdí poskytovateli služby jméno, datum narození, adresu či číslo dokladu klienta, který k tomu dal souhlas. V Česku funguje pod obchodní značkou Bank iD a je uznávaným prostředkem elektronické identifikace vůči státu.