Kreditkartenbetrug und IP-Abweichung: Ein schwaches Signal
Eine IP-Abweichung bei Kreditkartenbetrug liegt vor, wenn das Land oder die Stadt, auf die eine IP-Adresse abgebildet wird, nicht zur Rechnungsadresse einer Karte passt. Für sich genommen ist sie ein schwaches Signal, weil sie täglich bei vielen legitimen Kunden auftritt. Betrachten Sie sie als eine Eingabe für eine Risikoentscheidung, nicht als Urteil.
Die Versuchung, bei einer Abweichung hart zu blockieren, ist verständlich: Sie ist günstig zu berechnen, wirkt intuitiv und lässt sich einem Stakeholder leicht erklären. Das Problem zeigt sich in der Fehlalarmquote. Jeder Shop mit internationalen Kunden, Mobilnutzern oder datenschutzbewussten Käufern lehnt echte Bestellungen ab, wenn die Regel zu streng ist, und die Betrüger, die sie fangen soll, umgehen sie einfach.
Warum Rechnungsadresse und IP-Standort voneinander abweichen
IP-Geolokalisierung beschreibt das Netz, zu dem eine Adresse gehört, nicht die Person, die sie nutzt, weshalb beide bei ehrlichen Käufern so oft auseinanderfallen. Die häufigsten harmlosen Ursachen sind:
- Mobilfunknetze. Ein Telefon im Mobilfunknetz erhält häufig eine Adresse, deren registrierter Standort ein Carrier-Gateway in einer anderen Stadt oder Region ist. Die Carrier-Abfrage zeigt den Betreiber hinter einer solchen Adresse, ist aber eine Antwort auf Netzebene und sagt nichts über den einzelnen Teilnehmer.
- VPNs und Datenschutzwerkzeuge. Unternehmens-VPNs, Verbraucher-VPNs und Relay-Dienste stellen den Nutzer hinter eine Exit-Adresse in einem anderen Land. Ihre Nutzung ist legal und verbreitet.
- Reisen und Expats. Wer im Urlaub ist oder im Ausland arbeitet, hat weiterhin eine Rechnungsadresse in der Heimat.
- Geschenke und geteilte Konten. Ein Käufer in einem Land, der mit einer in einem anderen Land ausgestellten Karte zahlt, ist im grenzüberschreitenden Handel Routine.
Unabhängig vom Nutzer hat auch die Datenbank selbst Grenzen. Die Genauigkeit auf Stadtebene ist deutlich geringer als auf Länderebene, wie wir unter Warum die Stadtgenauigkeit der IP-Geolokalisierung begrenzt ist erläutern, eine Abweichung auf Stadtebene ist daher oft nur Rauschen.
Wo eine Abweichung Information trägt
Das Signal verbessert sich, wenn Sie nicht mehr fragen „Unterscheiden sich diese beiden Orte?“, sondern „Was für ein Netz ist das?“. Eine Abweichung plus Datacenter-Adresse, Tor-Exit oder bekannte missbräuchliche Quelle ist weit interessanter als eine Abweichung aus einem normalen Privat- oder Mobilfunknetz. Die IP-Abfrage von ipto liefert is_vpn, is_tor, is_abuser und is_datacenter neben Land, Stadt, ASN und Organisation, sodass eine Anfrage sowohl den Standort als auch den Netzkontext liefert. Eine Adresse können Sie von Hand mit dem VPN-, Tor- und Proxy-Checker prüfen.
Auch das Ausmaß zählt. Eine Karte aus Deutschland, die aus Österreich genutzt wird, ist etwas anderes als eine Karte aus Deutschland, die von einer Adresse in einem Land genutzt wird, in das der Kunde nie geliefert hat, mit einem brandneuen Konto und einer Wegwerf-E-Mail. Die Abweichung ist derselbe Boolean; das Risiko nicht.
Signale, die sich damit kombinieren lassen
Gute Betrugsentscheidungen entstehen aus mehreren unabhängigen Signalen, die in dieselbe Richtung zeigen. Berücksichtigen Sie neben der IP:
- E-Mail-Qualität. Wegwerf-Domains und Domains ohne funktionierende MX-Einträge sind bei Wegwerfkonten häufig. Der E-Mail-Checker meldet Syntax-, MX- und Wegwerf-Domain-Ergebnisse getrennt.
- Plausibilität der Telefonnummer. Eine fehlerhafte Nummer oder ein Festnetzanschluss, wo für die SMS-Verifizierung ein Mobilanschluss nötig ist, ist bemerkenswert.
- Client-Details. Ein User-Agent, der sich als Bot oder Automatisierungswerkzeug ausgibt oder nicht zum Rest der Sitzung passt, ist eine günstige Zusatzprüfung.
- Ihre eigenen Daten. Bestellhistorie, Geschwindigkeit der Versuche pro Karte, Änderungen der Lieferadresse und Rückbuchungsdaten sind meist stärker als alles, was eine externe Abfrage bieten kann, und ipto stellt sie nicht bereit.
Der Fraud-Score-Checker kombiniert die Signale aus IP, E-Mail, Telefon und User-Agent zu einem einzigen Wert von 0 bis 100 mit einer Aufschlüsselung pro Signal, ein bequemer Weg zu sehen, wie eine Abweichung neben allem anderen aussieht. Jede Eingabe kann weggelassen werden; fehlende Signale werden ausgelassen statt als sauber gezählt.
Eine Abweichung in der Praxis behandeln
Nutzen Sie abgestufte Reaktionen statt einer binären Sperre. Eine Abweichung ohne weitere Flags kann unberührt durchgehen oder zur späteren Analyse protokolliert werden. Eine Abweichung plus ein oder zwei weitere Signale ist ein guter Kandidat für Reibung wie 3-D Secure, einen Einmalcode oder eine kurze Verzögerung für die manuelle Prüfung. Reservieren Sie endgültige Ablehnungen für Kombinationen, die unter echten Kunden selten sind, etwa ein Tor-Exit, eine Wegwerf-E-Mail und ein Bot-User-Agent bei derselben Bestellung.
Hilfreich ist auch zu messen. Protokollieren Sie die IP-Flags bei jeder Bestellung und vergleichen Sie dann in Ihrem eigenen Traffic die Raten von Rückbuchungen und bestätigtem Betrug bei abweichenden und übereinstimmenden Bestellungen. Viele Händler stellen fest, dass die Abweichung allein die Rate kaum bewegt, während der Netztyp sie erheblich bewegt, und diese Daten erlauben Schwellenwerte, die zu Ihren Kunden passen, statt eine generische Regel zu kopieren. Da sich Geolokalisierungs- und Bedrohungsdaten ändern, überprüfen Sie die Schwellenwerte regelmäßig; ipto aktualisiert seine Threat Feeds alle 6 Stunden und seine IP- und ASN-Datensätze täglich.
Seien Sie schließlich gegenüber Kunden klar, wenn Sie Reibung hinzufügen. Eine Meldung, die einen Verifizierungsschritt erklärt, konvertiert weit besser als eine stille Ablehnung und hält gute Kunden, die zufällig in einem Hotelnetz waren, davon ab abzuspringen.