Arkady ist ein erfolgreiches Startup. Er liest alle Bücher über persönliche Effektivität, eröffnet jeden Monat neue vielversprechende Geschäfte und ist mit sich zufrieden, aber jedes Mal, wenn etwas schief geht.
Zuerst treffen ihn wütende Schulkinder, um Elite-Schuhe auszuliefern, dann nehmen sie von irgendwoher vernichtende Kritiken über seinen iPhone-Laden mit TV-Antennen entgegen, dann eröffnet er ein Online-Casino, aber die Leute haben es nicht eilig, Geld dorthin zu bringen, und sind auf eine kostenlose Einzahlung beschränkt.
Ich habe diese Illustration Designern gestohlen, als sie sich abwandten.
Am Ende schreibt jemand 364 Punkte, die im letzten Jahr auf Kefir- und Goji-Beeren gesammelt wurden, von der Bonuskarte in Pyaterochka ab, und Arkady kocht. Er geht online mit einer Frage, was andere Leute in solchen Situationen tun.
In diesem Beitrag geht es um die Betrugsbekämpfungsmaschine Yandex.Kassa. Unter dem Schnitt gibt es einige Szenarien, in denen sie verteidigt, und eine Geschichte über eine neue API für Geschäfte, die die Arbeit von Betrügern erheblich erschweren wird.
Warnung
Alle Beispiele aus dem Beitrag sind Gegenstand der kollektiven Fiktion der Autoren und können jedem passieren, Geschlecht und Namen von Personen werden zufällig ausgewählt, alle Verweise auf die Popkultur werden absichtlich gemacht, und ja, Sie haben sie richtig verstanden.
Und nicht betrügen, dafür werden sie nach dem Strafgesetzbuch der Russischen Föderation bestraft.
Wie funktioniert Betrugsbekämpfung?
Wir hatten bereits einen Artikel über Betrugsbekämpfung - dort haben wir erzählt, wie alles funktioniert. Seit einem Jahr ist die maschinelle Suche nach Anomalien standardmäßig für alle Transaktionen über Yandex.Cash aktiviert.
Jetzt haben wir den Antifraud-as-Service eingeführt - eine benutzerdefinierte API, die unsere Partner mit Websites und Anwendungen verbinden. Wenn eine zusätzliche Authentifizierung erforderlich ist, vereinfacht die API diese für einen legitimen Benutzer und macht sie für einen Betrüger nahezu unmöglich.
Betrüger werden auf drei Ebenen abgeschnitten:
- Zunächst werden die Regeln einer groben Bewertung ausgelöst: Ja / Nein-, Ja / Nein-, Blacklist- oder Whitelist-Filter. Alles, was zu diesem Zeitpunkt abgeschnitten ist, wird auf die ML-Komponente übertragen, um das Repository mit historischen Daten und Selbststudienmodellen zu sättigen.
- Filtern Sie nach den Regeln - es gibt viele davon, sie sind unterschiedlich, und ich kann in diesem Artikel definitiv nicht darüber schreiben.
- Wenn die Betrugsmaschine Zweifel an der zu treffenden Entscheidung hat, wird das Ereignis an die dritte Ebene gesendet, wo Modelle für maschinelles Lernen gestartet werden, die die Filter gemäß den Regeln ergänzen. Einige Arten von Ereignissen werden immer auf ML-Modellen ausgeführt, um zusätzliche Regeln der zweiten Ebene abzuleiten.
Das Schema ist komplex, aber die Idee ist einfach. Der Händler sendet eine Reihe von Daten über die Transaktion, die Benutzerautorisierung oder den verbleibenden Rückruf an die API. Wir alle drehen sie auf knifflige Weise in der Betrugsbekämpfungsmaschine und fällen ein Urteil - gibt es Betrüger oder nicht? Was als nächstes zu tun ist, liegt im Ermessen des Geschäfts. Ein weiteres Plus: Es wird für einen „guten“ Benutzer einfacher, etwas zu kaufen und Angreifer und Betrüger leiden zu lassen.
So kaufen Sie ohne Betrugsbekämpfung:
- Wählen Sie ein Produkt aus und legen Sie es in einen Korb.
- Geben Sie das Passwort ein, um die Brieftasche einzugeben.
- Geben Sie das Zahlungskennwort ein, um die Zahlung zu bestätigen.
- Bei Zahlung mit Karte - geben Sie ein Einmalpasswort für 3D Secure ein.
Insgesamt - drei Passwörter in wenigen Minuten. Das ist viel. Und manchmal ist es schlecht mit dem Internet oder SMS erreichen nicht sofort. Wenn der Betrugsbekämpfungsschutz aktiviert ist, müssen Sie sich nur in Ihre Brieftasche einloggen und bezahlen, ohne eine Reihe von Passwörtern einzugeben, wenn das System dies "herausfindet".
Die grüne Linie in der Grafik zeigt an, dass die Betrugsbekämpfungsmaschine entschieden hat, dass alles in Ordnung ist und Sie keine SMS zur Bestätigung senden können. Laut Zeitplan sind dies etwa 30% der Fälle - bei SMS werden erhebliche Einsparungen erzielt.
Es kann jedoch sein, dass es nicht erkannt wird - es hängt davon ab, wie sehr die Ladenbesitzer bereit sind, Risiken einzugehen. Jedes Sicherheitssystem hat zwei Extreme - die „verdrehtesten“ Regeln und die vollständige Beseitigung von Betrug oder die vollständige Beseitigung von Sicherheitsmaßnahmen. Im ersten Fall leiden viele normale Kunden, und im zweiten Fall ist das Unternehmen offen für Angriffe. Die Jungs von Yandex.Kassi suchen ein Gleichgewicht zwischen Sicherheit und Konvertierung: Sie analysieren Vorgänge, vervollständigen die Regeln und berücksichtigen die Wünsche des Kunden, die der Manager erhalten hat.
Gehen wir zurück zu Arkady und sehen, wie wir Händlern helfen können, um die sich viele Betrüger drehen. Dies sind klassische Online-Shops mit allen möglichen Dingen, Spielediensten - Roulette, Online-Casinos und das alles und auch ein Reisesegment.
Druckerfabrik
Arkady ist mit dem Direktor der Druckerfabrik befreundet, der manchmal beim Kaffee Geschichten erzählt. Die Fabrik ist nicht gierig und verkauft Drucker umsonst, wenn Sie jeden Monat Papier und Toner bei ihnen kaufen. Büroangestellte möchten einen fast kostenlosen Drucker, möchten aber nicht im Voraus bezahlen.
Hier kann Betrugsbekämpfung helfen, festzustellen, ob jemand Sergey, der dringend einen Drucker zum Drucken des Desktops benötigt, zahlungsfähig ist. Sergei bezahlt im Internet normalerweise mit einer Karte - das ist für ihn bequemer. Wenn die internen Yandex.Cash-Systeme im Umkreis von PCI DSS diese Karte einmal getroffen haben, ist ihr Inhaber nur Sergei, der regelmäßig etwas kauft. Dann ist alles in Ordnung - die API gibt ein gutes Urteil zurück und die Fabrik sendet den Drucker an Sergey.
Wenn wir nichts über diese Karte wissen - zu alt oder im Gegenteil, gerade erst freigegeben - können wir der Druckerfabrik anbieten, eine Vorauszahlung für das erste Jahr Papier und Toner zu leisten. Wenn andere Betrugsbekämpfungsauslöser zeigen, dass der Benutzer kein Geld hat, trifft der Händler die Entscheidung selbst, abhängig von den Geschäftsprozessen und den Beziehungen zu diesem Benutzer. Führt beispielsweise eine zusätzliche Überprüfung durch oder fordert eine Vorauszahlung für das Jahr an.
Die Händler entscheiden selbst, in welcher Phase der Benutzer überprüft werden soll. Wenn es dem Unternehmen Schaden zufügen kann, wenn es zum ersten Mal im Service erscheint (z. B. eine kostenlose Taxifahrt nach der Registrierung), wird die Bewertung durchgeführt, wenn er ein Konto erstellt oder den Antrag öffnet.
Louboutin in Kupchino
Nach dem Zusammenbruch des Verkaufs von schwarzen Masken auf Instagram eröffnete Arkady die Lieferung von Louboutins. Das Geschäft ist profitabel, Schuhe stehen zum Verkauf - und hier kommt der Auftrag zur Lieferung an den privaten Sektor in Kupchino. Der Kunde möchte keine Vorauszahlung leisten, kommuniziert mit Abmeldungen und ist im Allgemeinen irgendwie unverständlich. Es stellt sich die Frage: Lohnt es sich, etwas mitzunehmen, und wer hat Glück? Heute gibt es 15 weitere normale Bestellungen, und der Kurier wird lebend benötigt.
In solchen Situationen teilen wir dem Händler mit, ob ein bestimmter Benutzer zahlt, wie hoch die Wahrscheinlichkeit ist, dass dies kein Betrüger ist, und vieles mehr. Gleichzeitig stören wir die Geschäftsprozesse des Partners nicht - er überträgt Daten, die bereits in der Datenbank gespeichert oder während des Betriebs gesammelt wurden. Unsere Analysten helfen herauszufinden, was zur Identifizierung von Betrügern nützlich ist und welche Daten nicht benötigt werden.
Nach allen Diskussionen und Einstellungen erhält der Partner ein API-Handle, das so weit wie möglich für ihn konfiguriert ist. Das heißt, Sie können Betrugsbekämpfung mit der Site, der mobilen Anwendung und allem anderen verbinden, wo Sie eine HTTP-Anfrage senden können. Aus offensichtlichen Gründen können wir nicht zeigen, wie die Anfragen aussehen - werden Sie Partner, und dort werden wir alles zeigen.
Setz dich, Pyaterochka
Wenn irgendwo ein ungeschütztes Konto mit Geld vorhanden ist, wird es gehackt. Daher gibt es viele Orte, an denen im Internet Bonuskarten großer Einzelhandelsketten mit einem Saldo von mehreren tausend Rubel für den drei- bis vierfachen Betrag verkauft werden. Dies sind echte Konten in Treueprogrammen, die Eigentümer übersehen haben. Arkady wurde auch erwischt, und jetzt wird jemand anderes seine ehrlich verdienten Boni ausgeben.
Hier hilft die Betrugsbekämpfungs-API bei der Analyse des Benutzers zum Zeitpunkt der Authentifizierung. In der Regel besucht eine Person Websites und bezahlt Dienste von einem bestimmten Satz von Geräten - einem Computer, Tablet oder Smartphone. Wenn wir verstehen, dass Arkady normalerweise Boni von Lenovos Windows-Laptop oder LG Android-Smartphone aus der Region Moskau überprüft und nun versucht, über VPN aus Uruguay vom MacBook aus einzutreten, ist höchstwahrscheinlich ein Fehler aufgetreten.
In Yandex.Money können Sie über bevorstehende Reisen sprechen, damit die Betrugsbekämpfungsmaschine Sie nicht verdächtigt.
Wenn ein Benutzer nach Uruguay abgereist ist, ist es zumindest unwahrscheinlich, dass er an einem Gleichgewicht im Pyaterochka-Treueprogramm interessiert ist.
Gefälschte Bewertungen
Sobald Arkady einen iPhone-Store mit einer Fernsehantenne auf dem fünften Android eröffnete, verband er ihn mit Yandex.Market, bekam aber schnell negative Bewertungen. Arkady beschuldigt Konkurrenten - sie sagen, sie hätten Abneigungen festgestellt und "Einheiten" geworfen. Natürlich, Arkady, ist die Armee der Bots schuld, und die chinesischen iPhones haben nichts damit zu tun. Auf die eine oder andere Weise kommt die Armee an, legt tausend "Fünfer" in den Laden und verschwindet.
Oder so - Arkadys Lieblingsteam verlor im Champions League-Finale und er beschloss, einen verheerenden Kommentar zu Schiedsrichtern, Videowiederholungen und schrecklichen Fußballern zu schreiben. Er ging zu einer Sportstätte und konnte nichts schreiben. Zu diesem Zeitpunkt hatte die Website einen Monat lang unter raffinierten Spam-Kommentaren gelitten, auf die die Pluspunkte verwundet wurden. Daher wurden die Kommentare geschlossen und die Wut unseres Helden blieb unausgesprochen.
Kassi Antifraud kann Bewertungen automatisch analysieren und verstehen, dass sie von einem Gerät, aus demselben Netzwerk und von einer Person geschrieben wurden. Das funktioniert so: Der Benutzer klickt auf die Schaltfläche „Feedback senden“, die in der Datenbank gespeichert ist, und die Benutzerdaten werden zur Analyse an die API gesendet. Wenn keine Anzeichen von Betrug vorliegen, wird die Überprüfung veröffentlicht, wenn ein Verdacht auf manuelle Moderation besteht und wenn Betrugsbekämpfung ein negatives Urteil abgibt, wird die Überprüfung abgelehnt.
So kann man einen Obus verkaufen, aber warum?
Irgendwann in seiner erfolgreichen Geschäftsjugend verkaufte Arkady Spielzeug für Kinder aus chinesischen Online-Shops zu exorbitanten Preisen. Daten zu Bestellungen gingen sofort in das Paket ein, und allen ging es gut. Genau bis zu dem Zeitpunkt, als dieser Spielwarenladen Maxim, einen dreijährigen Videoblogger, in seinem Video erwähnte, bestellte er dort einen ausgezeichneten Obus und wollte sein Glück mit allen teilen.
Kleine Kinder klickten auf den Link in der Beschreibung und hinterließen Tausende von Bestellungen mit dem Namen "Pay-as-you-go" oder Zufallszahlen anstelle des Telefons im Allgemeinen - eine Katastrophe. Natürlich war die Kommissionierabteilung nicht bereit, einen solchen Strom von „Bestellungen“ zu verarbeiten. Ein paar Tage später vergeht die Welle, aber der Laden schafft es, ein paar große Aufträge für die Lieferung von Obussen von Regierungsbehörden zu verlieren.
In solchen Fällen hilft auch Betrugsbekämpfung - Sie können einen Bestellfluss an die API senden, damit das ML-System die gefälschten automatisch filtert oder zweifelhafte Bestellungen für die Lieferung an Tver von einem Benutzer aus Wladiwostok markiert. Was als nächstes zu tun ist - der Händler beschließt beispielsweise, zurückzurufen und zu klären, ob alles wie angegeben ist.
Wenn die Bestellung in Ordnung ist und der Partner uns die Daten zum Zeitpunkt der Zahlung mitteilt, können wir feststellen, dass eine kompromittierte Bankkarte an einer der Bestellungen beteiligt ist. Beispielsweise ist eine Rückbuchung eingegangen oder eine ungewöhnliche Aktivität wurde festgestellt. Wenn sie versuchen, mit unseren anderen Partnern auf einer solchen Karte zu bezahlen, warnt Betrugsbekämpfung auch, dass keine dummen Situationen auftreten.
Auto in der Schlange gab
Arkady ist ein erfolgreicher Mensch und investiert alles Geld in das Geschäft. Deshalb muss er auf kostenlosen Seiten Fernsehsendungen im Internet sehen. Als er eines Tages die nächste Folge von The Big Bang Theory sah, fand er heraus, dass man im Internet fast ohne Investitionen Geld verdienen kann, und beschloss, sein eigenes Online-Casino zu eröffnen.
Kaum gesagt als getan. Um Benutzer anzulocken, beschloss Arkady, zu Beginn eine schöne Menge von 666 Rubel zu geben, und kaufte auch Anzeigen von einem beliebten Blogger. Das Leben war in Ordnung, aber Arkady berücksichtigte keinen Moment - Benutzer registrieren sich, geben kostenloses Geld aus und eröffnen dann ein neues Konto, und alles wiederholt sich. Niemand bringt Geld.
Wenn Arkady die Betrugsbekämpfungs-API anschließen würde, würde er wissen, dass er auch Profile erstellen kann. Wenn Konten auf demselben Gerät mit ähnlichen E-Mails (alex_darkstalker1, alexdarkstalker2 ... alexdarkstalker98) eröffnet werden oder eine Reihe anderer Parameter übereinstimmen, geben wir dem Händler ein Signal, dass Sie dem Konto Aufmerksamkeit schenken sollten. Begrenzen Sie beispielsweise die Ausgabe von Boni oder geben Sie sie überhaupt nicht aus.
Unser Held hat auch einen Klassenkameraden Petya, der von der Idee, Geld in einem Casino zu verdienen, so inspiriert ist, dass er sein ganzes Geld ausgab und das Sofa verkaufte. Nach einer erzwungenen Scheidung mit seiner Frau überlegte Petya es sich besser - er schrieb an Arkady und bat sich, vorübergehend gesperrt zu werden, um nicht zu spielen. Petya ist progressiv, kommuniziert mit anderen Spielern aus Europa und weiß, dass dies möglich ist. Dies wird als "selbst ausgeschlossener Spieler" bezeichnet.
In Bezug auf die Effektivität ist es so, als würde man versuchen, mit dem Rauchen aufzuhören, indem man Zigaretten in einem Schrank mit Geschirr verschließt. Nach einiger Zeit fand Petya Wege, um das Verbot zu umgehen: Er startete eine neue Mail und fand Freunde mit Dokumenten, die nicht gegen die Einrichtung eines Kontos in seinem Namen waren. Der Computer blieb jedoch derselbe - daher konnte in diesem Moment der Betrugsbekämpfung einen Alarm auslösen und den Support-Service darüber informieren, dass hier etwas unrein ist.
#lechuvtayland
Arkady wollte schon lange nach Thailand - er sparte Geld, kaufte Tickets und postete zum Feiern ein Foto auf Instagram mit dem Hashtag #lechuvtayland. Dort fanden die Betrüger das Foto, sahen sich den Code aus dem Ticket an und fuhren ihn in einen Dienst, der dafür Boni gibt. Und auf dem Weg registrierte Arkady auf einem Flug nach Surgut neu.
Betrugsbekämpfung funktioniert auch in solchen Fällen gut - wir haben eine Engine zur Analyse der Legitimität von Daten. Wenn Vasily in einer Agentur arbeitet, die Geschäftsreisen zu ausländischen Delegationen organisiert, kann er Informationen über deren Flüge erhalten - indem er Tickets für alle kauft oder einfach die Daten in der Datenbank betrachtet. Und wenn die Delegation aus Kolumbien zur Weltmeisterschaft nach Moskau geflogen ist, dann werden viele Meilen für ihre Flüge übrig sein. Vasily kann damit etwas kaufen, seine Serviceklasse verbessern oder viel mehr tun.
Schlussfolgerungen
- Behalten Sie Kinder online im Auge;
- Legen Sie komplexe Passwörter fest.
- Veröffentlichen Sie keine Fotos von Tickets.
- Und im Grunde personenbezogene Daten;
- Wenn Sie bereits Zahlungen über Yandex.Cash akzeptieren und keine Betrüger mehr haben, verwenden Sie benutzerdefinierten Betrugsbekämpfung .
Aber Arkady geht es gut. Er führt motivierende Geschäftstrainings durch und spricht über seinen schwierigen Weg mit denen, die nur mit all diesen Fehlern konfrontiert sind.
Das ist alles. Stellen Sie Fragen in den Kommentaren - wir sind hier und bereit zu antworten.