信用卡欺诈中的 IP 不匹配：为何信号很弱
信用卡欺诈中的 IP 不匹配，是指 IP 地址所映射的国家或城市与银行卡的账单地址不一致。单独来看这是一个很弱的信号，因为每天都有大量合法客户触发它。请将其视为风险决策的一项输入，而不是裁决。
人们很容易想直接依据不匹配进行硬性封锁：计算成本低，直觉上说得通，也便于向利益相关方解释。问题出在误报率上。任何拥有国际客户、移动端购物者或注重隐私的买家的商店，如果规则过于严格，都会拒绝真实订单，而它本想抓住的欺诈者却轻易绕过了它。
为什么账单地址与 IP 位置不一致
IP 地理定位描述的是地址所属的网络，而不是使用它的人，这就是为什么对诚实的买家来说两者经常出现偏差。最常见的无害原因有：
- 移动网络。使用蜂窝连接的手机，常常获得注册位置在另一个城市或地区的运营商网关地址。运营商查询会显示此类地址背后的运营商，但这是网络层面的答案，对具体用户毫无说明。
- VPN 与隐私工具。企业 VPN、消费级 VPN 和中继服务会把用户放在另一个国家的出口地址之后。使用它们是合法且常见的。
- 旅行与海外居住者。度假或在国外工作的人，其账单地址仍在国内。
- 礼物与共用账户。一国的买家用另一国发行的银行卡付款，在跨境电商中是家常便饭。
撇开用户不谈，数据库本身也有局限。城市级精度远低于国家级精度，正如我们在为什么 IP 地理定位的城市级精度有限中所解释的，因此城市粒度的不匹配往往只是噪声。
不匹配何时确实带有信息
当你不再问“这两个地方是否不同？”，而是问“这是什么类型的网络？”，这一信号就会变得更有价值。不匹配加上数据中心地址、Tor 出口或已知的滥用来源，远比来自正常住宅或移动网络的不匹配更值得关注。ipto 的 IP 查询在返回国家、城市、ASN 和组织的同时，还返回 is_vpn、is_tor、is_abuser 和 is_datacenter，因此一次请求就能同时提供位置和网络上下文。你可以用 VPN、Tor 与代理检查器手工检查某个地址。
幅度同样重要。德国的银行卡在奥地利使用，与德国的银行卡在一个客户从未发货到过的国家的地址使用、且账户全新并使用一次性邮箱，是完全不同的情况。不匹配这个布尔值相同，风险却不同。
值得与之结合的信号
好的欺诈判断来自多个相互独立、指向同一方向的信号。除了 IP，还可以考虑：
- 邮箱质量。一次性域名和没有可用 MX 记录的域名，在一次性账户中很常见。邮箱检查器会分别报告语法、MX 和一次性域名的结果。
- 电话的合理性。格式错误的号码，或在需要手机号进行短信验证的地方提供了固定电话，值得留意。
- 客户端细节。自称是机器人或自动化工具的 User-Agent，或与会话其余部分不一致的 User-Agent，是一项廉价的额外检查。
- 你自己的数据。订单历史、每张卡的尝试速率、收货地址变更和拒付记录，通常比任何外部查询所能提供的更有力，而这些是 ipto 无法提供的。
欺诈评分检查器将 IP、邮箱、电话和 User-Agent 信号合并为一个 0 到 100 的分数，并附带各信号的明细，这是观察不匹配与其他一切相比表现如何的便捷方式。任何输入都可以省略；缺失的信号会被忽略，而不是被算作干净。
实际处理不匹配
使用分级响应，而不是二元封锁。没有其他标记的不匹配可以直接放行，或记录下来供日后分析。不匹配加上一两个额外信号，则适合增加摩擦，例如 3-D Secure、一次性验证码，或短暂延迟以便人工审核。只有对真实客户中很少见的组合，例如同一订单上同时出现 Tor 出口、一次性邮箱和机器人 User-Agent，才直接拒绝。
测量也有帮助。随每个订单记录 IP 标记，然后在你自己的流量中比较不匹配订单与匹配订单的拒付率和已确认欺诈率。许多商家发现，单独的不匹配几乎不会改变该比率，而网络类型会显著改变，这些数据让你能设定适合自己客户的阈值，而不是照搬通用规则。由于地理定位和威胁数据会变化，请定期重新审视阈值；ipto 每 6 小时刷新威胁情报源，每天刷新 IP 和 ASN 数据集。
最后，增加摩擦时要向客户讲清楚。解释验证步骤的提示，转化率远高于无声的拒绝，也能避免恰好使用酒店网络的好客户流失。