Arrisku-arauak checkoutean: abiadura, geolokalizazioa eta autentifikazio adimenduna

Merkataritza elektronikoan, checkouta une kritikoa da, non bezeroaren esperientziak eta finantza-delituen prebentzioak topo egiten duten. Iragazki permisiboegiek baimendu gabeko eragiketen bolumena handitzen dute eta chargeback tasa garestiak sortzen dituzte. Alderantziz, oztopo handiegiek marruskadura areagotzen dute, legezko erosleak uxatzen dituzte eta konbertsio-tasa hondatzen dute.

Orekari eusteko, ordainketa-sistema modernoek denbora errealeko arrisku-arauen motorrak erabiltzen dituzte transakzioa bankuaren baimenera bidali aurretik. Ebaluazio horiek seinale teknikoak, nabigazio-ohiturak eta desadostasun geografikoak aztertzen dituzte ahalegin bakoitzari arrisku-maila bat esleitzeko. Horrela erabakitzen da eragiketa modu gardenean baimentzen den, autentifikazio-erronka batera bideratzen den edo erabat blokeatzen den.

Abiadura-kontrola: eraso automatizatuak eta card testinga detektatzea

Abiadura-arauek parametro jakin batzuk denbora-tarte laburretan (minutu edo orduetan) zenbatero errepikatzen diren neurtzen dute. Lehen defentsa-lerroa dira card testing delakoaren aurka; iruzurrezko praktika horretan, sare automatizatuek lapurtutako txartelen zerrendak probatzen dituzte mikroordainketen bidez, zein dauden aktibo egiaztatzeko.

Ondo kalibratutako arrisku-motor batek aldi berean hainbat errepikapen-bektore monitorizatzen ditu:

• IP helbidearen arabera: IP beretik bost edo hamabost minututan huts egindako ordainketa-ahaleginen kopurua mugatzea. Txartel ezberdinekin hamar ahalegin baino gehiago egiten badira, ia ziur script automatizatu bat da.
• Txartel-zenbakiaren arabera (PAN edo tokenaren aztarna): zenbaki berak iraungitze-data edo CVVa sartzean behin eta berriz huts egiten badu, komeni da ahalegin berriak denbora-tarte zuhur batez blokeatzea, indar gordinaren bidezko erasoak gelditzeko.
• Erabiltzaile-kontuaren edo posta elektronikoaren arabera: erregistratutako profil berari lotuta dauden hainbat banku-txartelekin ondoz ondoko erosketak egiteak adierazi ohi du kontua arriskuan dagoela edo legez kanpoko datuak monetizatzeko sortu dela.
• Gailuaren aztarnaren arabera (device fingerprint): nabigatzailea, pantailaren bereizmena eta instalatutako iturriak identifikatzeak proxy bidez IP helbideak txandakatzen dituzten baina makina beretik jarduten duten erasoak detektatzea ahalbidetzen du.

IP helbidearen analisia: ospea, proxyak eta datu-zentroak

Interneteko konexio guztiek ez dute izaera bera. Tokiko telekomunikazio-hornitzaile batek esleitutako egoitza-IP batek arrisku-profil oso desberdina du hodeiko datu-zentro batean ostatatutako zerbitzari baten aldean.

Checkout-eko IP analisian hainbat faktore ebaluatzen dira:

• Sare mota: datu-zentro komertzialetan sortutako konexioak (non zerbitzari birtualak eta datuak erauzteko tresnak ibiltzen diren) oso gutxitan dagozkio azken erosle legitimo bati. B2B softwarearen kasu oso zehatzetan izan ezik, datu-zentroen trafikoa blokeatzeak edo zorrotz berrikusteak nabarmen murrizten du iruzur automatizatua.
• Anonimizazio-sareen erabilera (Tor, VPN komertzialak eta proxy irekiak): nahiz eta legezko erabiltzaile askok pribatutasunagatik VPNa erabili, Torren irteera-nodoek edo zenbait proxy anonimok iruzurrezko erosketen ehuneko handia biltzen dute. Sistemak arrisku-puntu gehigarriak eslei ditzake tresna horiek detektatzen baditu.
• Historia-ospea: IP ospearen datu-baseek botnetekin, zerbitzu-ukapenen erasoekin edo ordainketa-pasabideetako behin eta berrizko abusuarekin lotutako barrutiak identifikatzen dituzte.

Desadostasun geografikoa: herrialde jaulkitzailea eta nabigazio-herrialdea aurrez aurre

Kreditu- edo zordunketa-txartel bakoitzak Bank Identification Number (BIN) bat du, plastikozko lehen sei edo zortzi digituei dagokiena. BINak zehaztasunez erakusten du zein finantza-erakundek jaulki zuen txartela eta zein herrialdetan dagoen kokatuta.

BINaren herrialdea eragiketako beste datu batzuekin gurutzatzeak informazio erabakigarria eskaintzen du:

• IParen herrialdea herrialde jaulkitzailearen aurrean: Espainian jaulkitako txartel bat Asiako hego-ekialdean kokatutako IP batetik berehalako kontsumorako produktu digital bat erosteko erabiltzen saiatzen bada, iruzur-probabilitatea handia da. Hala ere, horrek ez du beti berehalako blokeorik justifikatzen: bidaian dagoen bezero bat izan daiteke.
• Fakturazio-herrialdea eta entrega-herrialdea: produktu fisikoetan, Madrilgo fakturazio-helbide bat, Frantzian jaulkitako txartel bat eta Ekialdeko Europako hirugarren herrialde baterako premiazko bidalketa konbinatzeak egiaztapen osagarria eskatzen duen alerta-seinale klasikoa osatzen du.

Negozioaren testuingurua erabakigarria da. Bezero nazionalak soilik dituen denda batek politika murriztaileak aplika ditzake atzerriko txartelen aurrean; hotel-erreserben nazioarteko plataforma batek, berriz, malguagoa izan behar du eta segurtasun faktore osagarrietan oinarritu behar du.

Noiz eskatu autentifikazioa eta noiz aplikatu salbuespenak

Europako araudi-esparruan, bezeroaren autentifikazio indartuak (SCA) titularraren nortasuna egiaztatzea eskatzen du, hiru faktore posibletatik bi erabiliz: dakien zerbait (pasahitza), duen zerbait (telefono mugikorra edo txartel fisikoa) edo den zerbait (biometria). Hala ere, arautegi berak ordainketa guztiek marruskadura hori behar ez izateko mekanismoak jasotzen ditu.

Arrisku-motorrak transakzio bakoitza hiru ibilbide eragile hauetako batean sailkatu behar du:

• Urrats gardena marruskadurarik gabe (frictionless): zenbatekoa txikia bada, errepikakortasuna ezarrita badago edo eskuratzailearen transakzio-arriskuaren analisiak (TRA) arrisku txikia berresten badu, banku jaulkitzaileari SCAren salbuespena eskatzen zaio. Bezeroak ordainketa osatzen du erosketa-fluxutik atera gabe.
• Autentifikazio-erronka (3D Secure challenge): motorrak IP desadostasunak, ezohiko abiadura edo salbuespen-atalaseak gainditzen dituzten zenbateko handiak detektatzen baditu, eragiketa nahitaezko 3DS fluxu batera bideratzen da. Banku jaulkitzaileak balioztatzea eskatzen du banku-aplikazioan. Bezeroak gainditzen badu, eragiketa likidatu egiten da eta merkataritza babestuta geratzen da iruzurrezko chargebacken aurrean erantzukizun-aldaketaren bidez (liability shift).
• Prebentziozko gaitzespena: muturreko faktoreak gertatzen direnean (adibidez, abusu-zerrenda beltzetako IPak eta segundo gutxitan huts egindako hainbat txartel), pasabideak eragiketa ukatu egiten du txartel-sarera bidali aurretik, alferrikako prozesatze-komisioak aurreztuz.

Ondorioa eta jardunbide egokiak

Arrisku-arauak ez dira estatikoak, eta ez dira konfiguratu behar anomalia isolatu oro blokeatzeko ideiarekin. Estrategia eraginkor batek abiaduraren monitorizazioa uztartzen du bot-ak neutralizatzeko, IParen eta BIN jaulkitzailearen testuinguru-analisiarekin eta 3D Secureren erabilera adimendunarekin, benetako ziurgabetasuna dagoen lekuetan soilik autentifikazioa eskatzeko. Positibo faltsuen tasak eta chargebacken bilakaera aldizka berrikusteak atalaseak negozioaren urtarokotasunera egokitzea ahalbidetzen du, diru-sarrerak babestuz checkoutaren konbertsioa kaltetu gabe.