Zapobieganie oszustwom w e-commerce: strategie i narzędzia

Zapobieganie oszustwom w e-commerce to wyzwanie dla każdej osoby prowadzącej firmę. Według raportu Cybersource oszustwa powodują utratę 2,9% wszystkich przychodów w e-commerce. Oznacza to, że z każdych 10 000 USD (ok. 40 000 zł) przychodu Twoja firma może stracić na rzecz oszustów niemal 300 USD (ok. 1200 zł).

Strategia zapobiegania oszustwom pomaga ograniczać straty i zniechęca przestępców do atakowania Twojego sklepu internetowego. Odpowiednie zabezpieczenia pozwalają automatycznie blokować próby oszustwa, dzięki czemu co tydzień oszczędzasz czas, który trzeba byłoby poświęcić na ręczną weryfikację zamówień.

W tym artykule dowiesz się, jak opracować taką strategię, na jakie rodzaje oszustw zwracać uwagę i jakie środki ochrony mogą skutecznie zabezpieczyć Twoją firmę.

Czym jest zapobieganie oszustwom?

Zapobieganie oszustwom to strategia, która pomaga firmom wykrywać próby oszustwa, przeciwdziałać im i reagować na ich skutki. Obejmuje procesy, zasady i narzędzia, których celem jest ochrona finansów, reputacji oraz klientów firmy przed działaniami przestępców.

Dlaczego zapobieganie oszustwom jest ważne?

Straty finansowe i niestabilność

Oszustwa mogą narazić firmę na poważne koszty. Gdy stajesz się ofiarą przestępstwa finansowego, pieniądze z Twojego konta trafiają prosto do oszusta. Jeśli natomiast klient dopuszcza się nadużycia związanego z obciążeniem zwrotnym (ang. friendly fraud), średni koszt obsługi wynosi 35 USD (ok. 140 zł) na każde 100 USD (ok. 400 zł) wartości takich sporów.

Zagrożenia dla reputacji

Na wiele decyzji zakupowych wpływają rekomendacje innych osób. Jeśli klient będzie miał negatywne doświadczenia związane z zakupami w Twoim sklepie, może opowiedzieć znajomym i rodzinie o ryzyku oszustwa. To z kolei może zniechęcić inne osoby do zakupu Twoich produktów.

Kwestie zgodności z prawem

Przepisy chronią konsumentów przed oszustwami. Zakres obowiązków związanych z przeciwdziałaniem praniu pieniędzy zależy od rodzaju działalności i roli firmy w obsłudze płatności. Regulacje te mają utrudniać przestępcom ukrywanie zysków z nielegalnych działań, takich jak wykorzystywanie skradzionych danych kart kredytowych.

Instytucje finansowe przetwarzające płatności dla firm również muszą przestrzegać przepisów o przeciwdziałaniu praniu pieniędzy. W tym celu weryfikują tożsamość klientów, monitorują transakcje pod kątem podejrzanej aktywności i zgłaszają takie przypadki.

Niedopełnienie obowiązków, które mają zastosowanie do Twojej firmy, nie tylko tworzy luki w zabezpieczeniach, które mogą wykorzystać oszuści, lecz także może prowadzić do konsekwencji prawnych, nawet jeśli firma nie padnie bezpośrednio ofiarą oszustwa.

Spadek efektywności

Wyjaśnianie spraw związanych z oszustwami jest skomplikowane i czasochłonne. Kwestionowanie roszczeń, gromadzenie dowodów oraz usuwanie skutków nadużyć pochłaniają czas, który możesz przeznaczyć na inne działania w firmie.

Rodzaje oszustw

• Phishing
• Nadużycia związane z obciążeniami zwrotnymi
• Testowanie kart
• Nadużycia związane ze zwrotami
• Nadużycia w programach lojalnościowych
• Przejęcie konta
• Oszustwo triangulacyjne
• Kradzież tożsamości

Phishing

Phishing polega na podszywaniu się pod inną osobę lub instytucję i nakłanianiu odbiorcy do ujawnienia poufnych informacji. Przykładem może być wiadomość e-mail od osoby podającej się za pracownika Twojego banku, której celem jest uzyskanie nieuprawnionego dostępu do firmowego konta bankowego.

Raport Cybersource dotyczący oszustw w e-commerce pokazuje, że phishing to najczęstszy rodzaj oszustwa, z jakim spotykają się sprzedawcy. W 2023 roku doświadczyło go 43% firm, wobec 35% w 2022 roku.

Nadużycia związane z obciążeniami zwrotnymi

Nadużycie związane z obciążeniem zwrotnym polega na tym, że klient kupuje produkt, a następnie kontaktuje się z wystawcą karty, aby zakwestionować płatność. Twierdzi przy tym, że nie otrzymał produktu lub że transakcja nie była przez niego autoryzowana.

Niestety, nieuczciwe obciążenia zwrotne są powszechne. Cybersource ustalił, że ponad jedna trzecia firm doświadcza tego typu nieuczciwych praktyk, a średni wskaźnik obciążeń zwrotnych u sprzedawców wynosi 0,52%.

Testowanie kart

Testowanie kart, nazywane czasem oszustwem płatniczym, polega na wykorzystywaniu skradzionych danych kart kredytowych do dokonywania nieuczciwych zakupów w Twoim sklepie internetowym. Oszuści wykorzystują w tym celu:

• ataki wyliczeniowe, czyli systematyczne odgadywanie i sprawdzanie danych kart za pomocą automatycznych skryptów lub botów. Oszuści zaczynają bez konkretnych informacji i generują dużą liczbę numerów kart, aż trafią na prawidłowy numer karty;
• sprawdzanie poprawności danych karty, czyli weryfikowanie autentyczności zdobytych danych karty kredytowej, zwykle za pomocą niewielkich transakcji lub narzędzi weryfikacyjnych. W tym przypadku oszuści mają już część danych i nie muszą odgadywać numeru karty. Sprawdzają jedynie, czy posiadane informacje są prawidłowe.

Jedna trzecia firm doświadczyła tego rodzaju oszustwa z użyciem kart kredytowych, jednak można mu stosunkowo łatwo zapobiegać. Usługi płatnicze dla e-commerce, takie jak Shopify Payments, oferują narzędzia wykrywające oszustwa w czasie rzeczywistym. Korzystają one z systemu AVS, który porównuje dane adresu rozliczeniowego podane przez kupującego z informacjami zapisanymi u wystawcy karty. W zależności od ustawień transakcja, która nie przejdzie weryfikacji, może zostać odrzucona.

Nadużycia związane ze zwrotami

Nadużycia związane ze zwrotami mogą występować, gdy klient wykorzystuje politykę zwrotów, na przykład składając nadmierną liczbę zwrotów, odsyłając podrobione towary lub bezpodstawnie twierdząc, że produkty nie nadawały się do użytku.

Ten rodzaj oszustwa jest szczególnie powszechny w branży modowej. Jednym z przykładów jest tak zwany wardrobing: klient kupuje ubranie, nosi je bez usuwania metek, a następnie zwraca i otrzymuje pełny zwrot pieniędzy.

National Retail Federation ustaliła, że z każdych 100 USD (ok. 400 zł) wartości zwróconego towaru sprzedawcy tracą 13,70 USD (ok. 55 zł) w wyniku oszustw związanych ze zwrotami. Problem nasila się w okresie świątecznych zakupów: straty rosną do 16,50 USD (ok. 66 zł) przy tej samej wartości zwróconego towaru.

Nadużycia w programach lojalnościowych

Programy lojalnościowe mają nagradzać klientów za zakupy, ale mogą też stać się celem oszustów. Z badań wynika, że 22% firm doświadczyło nadużyć związanych z programami lojalnościowymi. Polegają one na kradzieży punktów lub wykorzystywaniu luk w systemie.

Przejęcie konta

Przejęcie konta to rodzaj kradzieży tożsamości. Dochodzi do niego, gdy ktoś uzyskuje nieuprawniony dostęp do Twoich kont firmowych, na przykład do konta na platformie e-commerce. Po zalogowaniu oszuści mogą przeglądać poufne informacje, a nawet zablokować konto i zażądać okupu za przywrócenie dostępu.

Do przejęcia konta może też dojść wtedy, gdy ktoś włamie się na konto klienta w Twoim sklepie. Oszust może wykorzystać zapisane karty do nieautoryzowanych zakupów lub testować skradzione dane kart pod cudzym nazwiskiem.

Oszustwo triangulacyjne

Oszustwo triangulacyjne to złożony schemat, w którym przestępca tworzy fałszywy sklep lub ofertę i przyciąga kupujących obniżonymi cenami. Klient składa zamówienie i podaje dane dostawy oraz płatności. Następnie oszust kupuje ten sam produkt w prawdziwym sklepie, używając skradzionych danych innej karty, i wskazuje adres klienta jako miejsce dostawy. Klient otrzymuje produkt, ale prawdziwy sprzedawca może później ponieść stratę, gdy właściciel użytej karty zgłosi nieautoryzowaną transakcję.

Taki schemat często pozostaje niewykryty przez wiele miesięcy, ponieważ klient otrzymuje zamówiony produkt i nie wie, że jego dane płatnicze zostały pozyskane bezprawnie.

Kradzież tożsamości

Do kradzieży tożsamości dochodzi, gdy oszust wykorzystuje cudze dane, takie jak imię i nazwisko, adres e-mail lub konta internetowe, do przeprowadzania nieuczciwych transakcji. Może zdobyć je wskutek wycieku danych albo ataku phishingowego. Czasem informacje są sprzedawane w dark webie innym przestępcom.

Kradzież tożsamości jest szczególnie groźna dla sprzedawców, ponieważ sprawia wrażenie, że kontaktujesz się z uczciwym klientem. Jeśli ktoś zaloguje się na konto klienta i poprosi o zwrot środków na inną kartę, możesz nie zorientować się, że rozmawiasz z osobą, która uzyskała dostęp do konta bezprawnie i próbuje wyłudzić zwrot.

Jak zapobiegać oszustwom?

1. Korzystaj z Shopify Payments
2. Zastosuj narzędzia oceny ryzyka na podstawie adresu IP
3. Używaj oprogramowania weryfikacyjnego
4. Ogranicz liczbę zamawianych produktów
5. Doprecyzuj zasady obowiązujące w sklepie
6. Sprawdzaj ryzykowne zamówienia
7. Przeszkól pracowników w zakresie zapobiegania oszustwom
8. Regularnie aktualizuj zabezpieczenia informatyczne
9. Prowadź dokładną dokumentację

1. Korzystaj z Shopify Payments

Bezpieczna bramka płatnicza dla e-commerce stanowi podstawę skutecznego zapobiegania oszustwom. Shopify Payments zapewnia zgodność z dyrektywą PSD2 i obsługuje płatności 3D Secure. Uwierzytelnianie 3D Secure może przenieść odpowiedzialność za obciążenia zwrotne związane z nieautoryzowanymi transakcjami ze sprzedawcy na wystawcę karty. Nie poniesiesz również żadnych kosztów związanych z zarządzaniem sporami dotyczącymi obciążeń zwrotnych, pod warunkiem że jest to kwalifikująca się transakcja Shop Pay na terenie USA.

Firmy korzystające z Shopify Payments mają dostęp do funkcji wykrywania testowania kart i serwerów proxy. Obie funkcje są wbudowane w Shopify Payments, więc nie wymagają dodatkowej integracji ani włączania. System wykorzystuje uczenie maszynowe i testy CAPTCHA, aby ograniczać ataki polegające na testowaniu kart przez boty oraz ludzi podczas finalizacji zakupu.

Analiza oszustw Shopify pomaga również rozpoznawać zamówienia wysokiego ryzyka na podstawie adresu IP, danych rozliczeniowych, cech zamówienia i innych czynników.

2. Zastosuj narzędzia oceny ryzyka na podstawie adresu IP

Narzędzia oceny ryzyka na podstawie adresu IP szacują prawdopodobieństwo, że zamówienie jest próbą oszustwa. Biorą pod uwagę czynniki związane z adresem IP kupującego, wykrywają rozbieżności między lokalizacją adresu IP a innymi danymi zamówienia i analizują, czy zamówienie zostało złożone przez bota.

Shopify oferuje podobne rozwiązanie wbudowane w platformę e-commerce. Funkcja analizy oszustw Shopify wskazuje, czy zamówienie wiąże się z niskim, średnim czy wysokim ryzykiem obciążenia zwrotnego. Zamówienia wysokiego ryzyka są oznaczane w powiadomieniach e-mail, dzięki czemu możesz je sprawdzić i przeciwdziałać oszustwom.

3. Używaj oprogramowania weryfikacyjnego

Oprogramowanie weryfikacyjne pomaga sprawdzić tożsamość kupującego oraz poprawność danych podanych podczas finalizacji zakupu. Po wdrożeniu takiego rozwiązania w sklepie możesz rozpoznawać ryzyko oszustwa dzięki mechanizmom wymagającym:

• weryfikacji tożsamości: czy osoba składająca zamówienie jest tym, za kogo się podaje? Ograniczaj ryzyko kradzieży tożsamości za pomocą oprogramowania, które wymaga od kupujących potwierdzenia danych przez uwierzytelnianie dwuskładnikowe lub identyfikację biometryczną;
• weryfikacji karty: numer karty i datę jej ważności można łatwo odczytać z przedniej strony. Kod CVV, znajdujący się na odwrocie, stanowi dodatkowe zabezpieczenie, które utrudnia użycie skradzionych danych karty;
• weryfikacji adresu: system AVS porównuje dane adresu rozliczeniowego podane przez kupującego z informacjami zapisanymi u wystawcy karty. Rozbieżności mogą wskazywać na ryzyko oszustwa.

To rozwiązanie zapobiegające oszustwom jest bardziej powszechne, niż mogłoby się wydawać. Według Cybersource przeciętna firma korzysta z pięciu narzędzi do wykrywania oszustw. Do najczęściej stosowanych należą weryfikacja karty kredytowej, weryfikacja tożsamości i uwierzytelnianie dwuskładnikowe.

W Shopify możesz ustawić reguły wymagające od klientów potwierdzenia tożsamości. Analiza oszustw automatycznie sprawdza między innymi wynik weryfikacji kodu CVV i AVS oraz rozbieżności między adresem rozliczeniowym a adresem dostawy. Takie rozbieżności mogą być sygnałem ryzyka, ale same w sobie nie dowodzą oszustwa.

4. Ogranicz liczbę zamawianych produktów

Oszuści korzystający ze skradzionych danych kart kredytowych często składają duże zamówienia. Liczą na to, że jeśli ograniczą się do niewielkiej liczby sprzedawców, ich nieuczciwe transakcje pozostaną niewykryte.

Chroń sklep przed takim oszustwem, ograniczając liczbę produktów w jednym zamówieniu. Jeśli kupujący mogą zamówić maksymalnie 10 sztuk, mają mniej możliwości przeprowadzenia dużej transakcji, która poważnie obciąży nieświadomego posiadacza karty.

Przeanalizuj dane z wcześniejszych zamówień i sprawdź, ile sztuk produktów klienci zwykle kupują w Twoim sklepie. Dzięki temu zniechęcisz oszustów, a jednocześnie nie utrudnisz uczciwym klientom składania zamówień o wysokiej wartości.

5. Doprecyzuj zasady obowiązujące w sklepie

Do oszustw często dochodzi wtedy, gdy klienci wykorzystują luki w zasadach sklepu, zwłaszcza w regulaminach programów lojalnościowych i polityce zwrotów. Dokładnie przejrzyj obowiązujące zasady, znajdź słabe punkty i regularnie je aktualizuj, jeśli klienci zaczną je wykorzystywać.

Załóżmy, że prowadzisz sklep odzieżowy i oferujesz elastyczne zasady zwrotów. Oprócz ustawowego prawa odstąpienia od umowy przy zakupach online przyznajesz klientom dodatkowy, dobrowolny zwrot, pod warunkiem że produkt nie był noszony ani uszkodzony.

Po pewnym czasie zauważasz jednak, że część klientów zwraca noszone produkty jako nieużywane. Aby ograniczyć ryzyko nadużyć, jasno opisz warunki dodatkowych, dobrowolnych zwrotów oraz sposób oceny stanu produktu. Nie możesz przy tym ograniczać ustawowych praw konsumenta, w tym prawa do odstąpienia od umowy zawartej na odległość.

Jeśli oferujesz dodatkowe, dobrowolne zwroty wykraczające poza ustawowe uprawnienia konsumenta, możesz określić ich warunki, na przykład oferować wymianę produktu lub środki do wykorzystania w sklepie. Zasady te nie mogą ograniczać praw wynikających z przepisów.

6. Sprawdzaj ryzykowne zamówienia

Nieuczciwe zamówienia często mają cechy, które ułatwiają ich rozpoznanie. Sygnałem ostrzegawczym może być znaczna rozbieżność między adresem dostawy a adresem rozliczeniowym posiadacza karty, wielokrotne próby sfinalizowania transakcji albo zamówienie o niewielkiej wartości, składane po to, by sprawdzić, czy skradziona karta nadal jest aktywna.

Pamiętaj, że zamówienia międzynarodowe mają zwykle wyższy wskaźnik odrzuceń. Według Cybersource średnio odrzuca się 2,7% zamówień krajowych i 5,3% zamówień międzynarodowych.

Ręczna weryfikacja ryzykownych zamówień może być czasochłonna, zwłaszcza gdy codziennie przetwarzasz ich wiele. W takim przypadku pomoże Ci Shopify Flow. To narzędzie automatyzuje procesy wykonywane ręcznie, dzięki czemu możesz sprawniej weryfikować zamówienia, zarządzać nimi i je realizować.

Możesz skonfigurować reguły wykrywania oszustw tak, aby automatycznie anulować określone zamówienia, pobierać płatności za zamówienia niskiego ryzyka, powiadamiać zespół o konieczności weryfikacji i wykonywać wiele innych działań. 

7. Przeszkól pracowników w zakresie zapobiegania oszustwom

Prowadząc firmę, nie jesteś w stanie samodzielnie nadzorować każdego obszaru jej działalności. Wraz z rozwojem prawdopodobnie zatrudnisz pracowników odpowiedzialnych za marketing, zarządzanie zapasami czy realizację zamówień. Każda z tych osób powinna umieć rozpoznawać próby oszustwa i zgłaszać podejrzane incydenty.

W szkoleniu dotyczącym rozpoznawania zagrożeń uwzględnij takie kwestie jak:

• znaczenie zapobiegania oszustwom;
• sposoby ochrony poufnych danych firmowych;
• powszechne schematy oszustw, z którymi mogą się zetknąć;
• narzędzia i metody, których mogą użyć do wykrywania oszustw;
• komu zgłaszać podejrzenia oszustwa.

8. Regularnie aktualizuj zabezpieczenia informatyczne

Handel internetowy jest szczególnie narażony na oszustwa. Zabezpieczenia informatyczne pomagają chronić firmę przed złośliwym oprogramowaniem, atakami ransomware i nieuprawnionym dostępem do ważnych kont.

Przeprowadź dokładny audyt i ocenę ryzyka, aby znaleźć słabe punkty w zabezpieczeniach informatycznych. Zacznij od włączenia uwierzytelniania dwuskładnikowego na wszystkich kontach i stosowania silnych haseł, których nie używasz w żadnym innym miejscu. Na urządzeniach pracowników powinny być także zainstalowane zapory sieciowe lub oprogramowanie antywirusowe.

Przestępcy nieustannie modyfikują swoje metody, aby omijać popularne strategie zapobiegania oszustwom w e-commerce. Działaj z wyprzedzeniem: regularnie powtarzaj audyt i obserwuj podejrzaną aktywność, aby w przyszłości móc ją blokować.

9. Prowadź dokładną dokumentację

Jeśli padniesz ofiarą oszustwa albo klient zainicjuje nieuczciwe obciążenie zwrotne, potrzebujesz dowodów, by zakwestionować roszczenie. Według Cybersource mniej więcej 9 na 10 firm przedstawia mocne dowody w sporach dotyczących takich nadużyć.

Shopify ułatwia zebranie potrzebnych informacji, zwłaszcza gdy korzystasz z Shopify Payments do przetwarzania płatności online. Wszystkie dane dotyczące płatności i zamówień są przechowywane w jednym miejscu. W przypadku nieuczciwych obciążeń zwrotnych dotyczących kwalifikujących się transakcji Shop Pay w USA automatycznie przekazujemy bankowi posiadacza karty dowody związane z zamówieniem. Jeśli masz dodatkowe informacje, możesz dołączyć je do odpowiedzi w sprawie obciążenia zwrotnego.

Najlepsze narzędzia do wykrywania oszustw i zapobiegania im

Shopify Protect

Obciążenia zwrotne niosą dla sprzedawców duże ryzyko. Ich obsługa jest nie tylko czasochłonna, lecz także kosztowna. Shopify Protect pomaga ograniczyć ten problem.

Sklepy Shopify z siedzibą w USA, które przyjmują płatności online przez Shop Pay, automatycznie otrzymują dostęp do Shopify Protect. Kwalifikujące się zamówienia Shop Pay w USA są chronione przed nieuczciwymi obciążeniami zwrotnymi. Jeśli takie obciążenie wystąpi, Shopify pokryje koszt zamówienia, zwracając Ci zakwestionowaną kwotę oraz opłatę za obciążenie zwrotne.

Wyllo (dawniej NoFraud)

Wyllo (dawniej NoFraud) to aplikacja Shopify, która integruje się z Twoim sklepem internetowym. Wykorzystuje sztuczną inteligencję, uczenie maszynowe i konfigurowalne reguły do wykrywania oraz blokowania zamówień wysokiego ryzyka. W razie potrzeby możesz skorzystać z opcjonalnej ręcznej weryfikacji przez ekspertów.

Wyllo oferuje również opcjonalną gwarancję finansową dotyczącą nieuczciwych obciążeń zwrotnych. Jeśli transakcja objęta taką gwarancją przejdzie weryfikację, a klient zainicjuje nieuczciwe obciążenie zwrotne, Wyllo zwróci Ci środki.