Fraude carte bancaire : l’écart d’IP, un signal faible
Un écart d’IP dans la fraude à la carte bancaire est la situation où le pays ou la ville auquel correspond une adresse IP ne coïncide pas avec l’adresse de facturation d’une carte ; pris isolément, c’est un signal faible, car de nombreux clients légitimes le déclenchent chaque jour. Traitez-le comme une entrée d’une décision de risque, non comme un verdict.
La tentation de bloquer systématiquement sur un écart est compréhensible : c’est peu coûteux à calculer, intuitif et facile à expliquer à une partie prenante. Le problème apparaît dans le taux de faux positifs. Toute boutique ayant des clients internationaux, des acheteurs mobiles ou des acheteurs soucieux de leur vie privée refusera de vraies commandes si la règle est trop stricte, et les fraudeurs qu’elle vise la contournent simplement.
Pourquoi une adresse de facturation et une localisation IP divergent
La géolocalisation IP décrit le réseau auquel appartient une adresse, pas la personne qui l’utilise, ce qui explique que les deux divergent si souvent pour des acheteurs honnêtes. Les causes innocentes les plus courantes sont :
- Les réseaux mobiles. Un téléphone sur une connexion cellulaire obtient fréquemment une adresse dont la localisation enregistrée est une passerelle d’opérateur située dans une autre ville ou région. La recherche d’opérateur montre l’opérateur derrière une telle adresse, mais c’est une réponse au niveau du réseau qui ne dit rien de l’abonné individuel.
- Les VPN et outils de confidentialité. Les VPN d’entreprise, les VPN grand public et les services de relais placent l’utilisateur derrière une adresse de sortie dans un autre pays. En utiliser un est légal et courant.
- Les voyages et les expatriés. Une personne en vacances ou travaillant à l’étranger a toujours une adresse de facturation dans son pays d’origine.
- Les cadeaux et comptes partagés. Un acheteur dans un pays payant avec une carte émise dans un autre est courant dans le commerce transfrontalier.
Indépendamment de l’utilisateur, la base de données elle-même a ses limites. La précision au niveau de la ville est bien inférieure à celle du niveau du pays, comme nous l’expliquons dans pourquoi la précision de la géolocalisation IP au niveau de la ville est limitée ; un écart à la granularité de la ville n’est donc souvent que du bruit.
Quand un écart porte de l’information
Le signal s’améliore lorsque l’on cesse de demander « ces deux lieux diffèrent-ils ? » pour demander « quel type de réseau est-ce ? ». Un écart accompagné d’une adresse de datacenter, d’une sortie Tor ou d’une source abusive connue est bien plus intéressant qu’un écart provenant d’un réseau résidentiel ou mobile normal. La recherche d’IP d’ipto renvoie is_vpn, is_tor, is_abuser et is_datacenter à côté du pays, de la ville, de l’ASN et de l’org ; une seule requête vous donne donc à la fois la localisation et le contexte réseau. Vous pouvez examiner une adresse à la main avec le vérificateur de VPN, Tor et proxy.
L’ampleur compte aussi. Une carte allemande utilisée depuis l’Autriche est une tout autre histoire qu’une carte allemande utilisée depuis une adresse dans un pays où le client n’a jamais fait livrer, avec un compte tout neuf et un e-mail jetable. L’écart est le même booléen ; le risque ne l’est pas.
Signaux à lui associer
Les bonnes décisions antifraude viennent de plusieurs signaux indépendants allant dans le même sens. Outre l’IP, considérez :
- La qualité de l’e-mail. Les domaines jetables et les domaines sans enregistrements MX fonctionnels sont courants dans les comptes éphémères. Le vérificateur d’e-mail indique séparément les résultats de syntaxe, de MX et de domaine jetable.
- La vraisemblance du téléphone. Un numéro malformé, ou un numéro fixe fourni là où un mobile est nécessaire pour la vérification par SMS, mérite d’être noté.
- Les détails du client. Un User-Agent qui s’identifie comme un bot ou un outil d’automatisation, ou qui contredit le reste de la session, est un contrôle supplémentaire peu coûteux.
- Vos propres données. L’historique des commandes, la vélocité des tentatives par carte, les changements d’adresse de livraison et les enregistrements de rétrofacturation sont généralement plus forts que tout ce qu’une recherche externe peut offrir, et ipto ne les fournit pas.
Le vérificateur de score de fraude combine les signaux d’IP, d’e-mail, de téléphone et de User-Agent en un seul score de 0 à 100 avec un détail par signal, ce qui permet de voir commodément à quoi ressemble un écart à côté de tout le reste. Toute entrée peut être omise ; les signaux absents sont écartés plutôt que comptés comme propres.
Gérer un écart en pratique
Utilisez des réponses graduées plutôt qu’un blocage binaire. Un écart sans autre indicateur peut passer sans intervention ou être journalisé pour une analyse ultérieure. Un écart plus un ou deux signaux supplémentaires est un bon candidat à une friction telle que 3-D Secure, un code à usage unique ou un court délai pour examen manuel. Réservez les refus catégoriques aux combinaisons rares chez les vrais clients, comme une sortie Tor, un e-mail jetable et un User-Agent de bot sur une même commande.
Il est aussi utile de mesurer. Journalisez les indicateurs d’IP avec chaque commande, puis comparez les taux de rétrofacturation et de fraude confirmée pour les commandes avec écart et celles sans écart dans votre propre trafic. De nombreux commerçants découvrent que l’écart seul change à peine le taux alors que le type de réseau le change considérablement, et ces données vous permettent de fixer des seuils adaptés à vos clients au lieu de copier une règle générique. Les données de géolocalisation et de menaces évoluant, revoyez périodiquement les seuils ; ipto actualise ses flux de menaces toutes les 6 heures et ses jeux de données d’IP et d’ASN quotidiennement.
Enfin, soyez clair avec les clients lorsque vous ajoutez de la friction. Un message qui explique une étape de vérification convertit bien mieux qu’un refus silencieux, et il évite de perdre de bons clients qui se trouvaient simplement sur un réseau d’hôtel.