クレジットカード不正とIP不一致:弱いシグナルである理由
クレジットカード不正におけるIP不一致とは、IPアドレスから導かれる国や都市が、カードの請求先住所と一致しない状況を指します。それ単独では弱いシグナルです。正当な顧客の多くが、毎日この条件に該当するからです。リスク判断への入力の一つとして扱い、判定とは見なさないでください。
不一致を理由に即座にブロックしたくなる気持ちは理解できます。計算が安価で、直感的で、関係者にも説明しやすいからです。問題は誤検知率に表れます。海外の顧客、モバイルで買い物をする人、プライバシーを重視する購入者がいる店では、ルールが厳しすぎれば本物の注文を拒否することになり、捕まえるはずの不正者は単に迂回します。
請求先住所とIPの位置が一致しない理由
IPジオロケーションが表すのは、アドレスが属するネットワークであって、それを使っている人ではありません。そのため、正直な購入者でも両者がしばしば食い違います。もっとも一般的な無害な原因は次のとおりです。
- モバイルネットワーク。携帯回線のスマートフォンには、登録上の位置が別の市区町村や地域にあるキャリアのゲートウェイであるアドレスが割り当てられることがよくあります。キャリア検索はそのアドレスの背後にある事業者を示しますが、ネットワークレベルの答えであり、個々の契約者については何も語りません。
- VPNとプライバシーツール。企業のVPN、一般消費者向けVPN、リレーサービスは、ユーザーを別の国にある出口アドレスの背後に置きます。利用は合法で、一般的です。
- 旅行者と海外在住者。休暇中や海外で働いている人も、請求先住所は母国のままです。
- 贈り物と共有アカウント。ある国の購入者が別の国で発行されたカードで支払うのは、越境ECでは日常的なことです。
ユーザーとは別に、データベース自体にも限界があります。IPジオロケーションの都市レベルの精度に限界がある理由で説明しているとおり、都市レベルの精度は国レベルよりもはるかに低いため、都市の粒度での不一致は、単なるノイズであることが少なくありません。
不一致が情報を持つ場合
「この2つの場所は違うか?」と問うのをやめ、「これはどのような種類のネットワークか?」と問い始めると、シグナルは改善します。データセンターのアドレス、Tor出口、既知の不正利用元を伴う不一致は、通常の住宅用やモバイルのネットワークからの不一致よりも、はるかに注目に値します。ipto のIP検索は、国、都市、ASN、orgと並べて is_vpn、is_tor、is_abuser、is_datacenter を返すので、1回のリクエストで位置とネットワークの文脈の両方が得られます。VPN・Tor・プロキシチェッカーを使えば、アドレスを手動で調べることもできます。
大きさも重要です。ドイツのカードをオーストリアから使うのと、ドイツのカードを、顧客が一度も配送したことのない国のアドレスから、作ったばかりのアカウントと使い捨てメールで使うのとでは、話が違います。不一致は同じブール値ですが、リスクは同じではありません。
組み合わせる価値のあるシグナル
優れた不正判断は、同じ方向を指す複数の独立したシグナルから生まれます。IPと並べて、次のものを検討してください。
- メールの品質。使い捨てドメインや、有効なMXレコードのないドメインは、使い捨てアカウントによく見られます。メールチェッカーは、構文、MX、使い捨てドメインの結果を個別に報告します。
- 電話番号のもっともらしさ。不正な形式の番号や、SMS認証に携帯電話が必要なのに固定電話が入力されている場合は、記録に値します。
- クライアントの詳細。ボットや自動化ツールを名乗る、あるいはセッションの他の部分と食い違うUser-Agentは、手軽な追加チェックです。
- 自社のデータ。注文履歴、カードごとの試行の速度、配送先住所の変更、チャージバックの記録は、通常、外部の検索が提供できるどんなものよりも強力であり、ipto はこれらを提供しません。
不正スコアチェッカーは、IP、メール、電話番号、User-Agentのシグナルを、シグナルごとの内訳付きの0〜100の1つのスコアにまとめるため、不一致が他のすべてと並んでどう見えるかを確認するのに便利です。どの入力も省略でき、欠けているシグナルは問題なしとして数えられるのではなく、除外されます。
実際の不一致への対処
二者択一のブロックではなく、段階的な対応を使ってください。他にフラグのない不一致は、そのまま通すか、後の分析のためにログに残せばよいでしょう。1つか2つの追加シグナルを伴う不一致は、3-Dセキュア、ワンタイムコード、手動レビューのための短い遅延といった摩擦の候補になります。完全な拒否は、同じ注文にTor出口、使い捨てメール、ボットのUser-Agentが揃うなど、本物の顧客にはまれな組み合わせにとどめてください。
計測することも有益です。注文ごとにIPのフラグを記録し、自社のトラフィックで、不一致の注文と一致する注文のチャージバック率や確認済みの不正率を比較します。多くの加盟店は、不一致だけでは率がほとんど動かず、ネットワークの種類が大きく動かすことを発見します。そのデータがあれば、汎用的なルールをそのまま真似るのではなく、自社の顧客に合ったしきい値を設定できます。ジオロケーションや脅威のデータは変化するため、しきい値は定期的に見直してください。ipto は脅威フィードを6時間ごとに、IPとASNのデータセットを毎日更新しています。
最後に、摩擦を加えるときは顧客に明確に伝えてください。認証ステップを説明するメッセージは、無言の拒否よりもはるかによく成約に結び付き、たまたまホテルのネットワークにいた良い顧客が離れていくのを防ぎます。