信用卡詐欺 IP 不符:為何是薄弱訊號
信用卡詐欺的 IP 不符,是指 IP 位址對應到的國家或城市與卡片的帳單地址不一致,單獨來看這是個薄弱的訊號,因為每天都有大量合法客戶觸發它。請將它視為風險決策的其中一項輸入,而不是判決。
想根據不符情況直接封鎖是可以理解的:它運算成本低、直覺上說得通,也容易向利害關係人說明。麻煩出現在誤判率上。任何有國際客戶、行動購物者或注重隱私買家的商店,如果規則太嚴格,都會拒絕真實的訂單,而它原本要攔截的詐欺者,卻只是繞過它。
為何帳單地址與 IP 位置不一致
IP 地理定位描述的是位址所屬的網路,而不是使用它的人,這就是為何對誠實的買家而言,兩者經常出現差異。最常見的無害原因包括:
- 行動網路。使用行動數據連線的手機,常取得登記位置為另一個城市或地區電信業者閘道的位址。電信業者查詢會顯示此類位址背後的營運者,但這是網路層級的答案,對個別用戶隻字未提。
- VPN 與隱私工具。企業 VPN、消費性 VPN 與中繼服務,會讓使用者位於另一個國家的出口位址之後。使用它們是合法且常見的。
- 旅行與海外僑民。度假或在海外工作的人,帳單地址仍在老家。
- 禮物與共用帳號。在一個國家的買家,使用另一個國家發行的卡片付款,對跨境電商而言是例行情況。
撇開使用者不談,資料庫本身也有限制。城市層級的準確度遠低於國家層級,正如我們在為何 IP 地理定位的城市準確度有限中所說明的,因此城市粒度的不符往往只是雜訊。
不符何時真的帶有資訊
當你不再問「這兩個地方是否不同?」,而是改問「這是什麼類型的網路?」時,這個訊號就會改善。不符再加上資料中心位址、Tor 出口或已知的濫用來源,遠比來自一般住宅或行動網路的不符來得耐人尋味。ipto 的 IP 查詢會在 country、city、ASN 與 org 之外,回傳 is_vpn、is_tor、is_abuser 和 is_datacenter,因此一次請求就能同時取得位置與網路情境。你可以用 VPN、Tor 與 Proxy 檢查工具手動檢視位址。
差異的幅度也很重要。來自德國的卡片在奧地利使用,與來自德國的卡片在客戶從未寄送過的國家的位址上使用,而且是全新帳號搭配拋棄式電子郵件,是截然不同的情況。不符是同一個布林值;風險則不是。
值得與之結合的訊號
良好的詐欺決策來自多個獨立訊號指向同一個方向。除了 IP 之外,還可以考慮:
- 電子郵件品質。拋棄式網域與沒有可用 MX 記錄的網域,在用完即丟的帳號中很常見。電子郵件檢查工具會分別回報語法、MX 與拋棄式網域的結果。
- 電話合理性。格式錯誤的號碼,或在需要行動電話進行簡訊驗證的地方提供了市話,都值得留意。
- 用戶端細節。自稱為機器人或自動化工具,或與工作階段其他部分不一致的 User-Agent,是一項低成本的額外檢查。
- 你自己的資料。訂單歷史、每張卡片的嘗試頻率、運送地址變更與拒付紀錄,通常比任何外部查詢所能提供的都更強,而這些是 ipto 不提供的。
詐欺分數檢查工具將 IP、電子郵件、電話與 User-Agent 訊號合併成單一的 0 到 100 分數,並附上各訊號的明細,這是觀察不符情況與其他一切放在一起時是什麼樣子的便利方式。任何輸入都可以省略;缺漏的訊號會被排除,而不是算作乾淨。
實務上處理不符
使用分級回應,而不是二元封鎖。沒有其他旗標的不符可以直接放行,或記錄下來供日後分析。不符再加上一兩個額外訊號,就適合施加摩擦,例如 3-D Secure、一次性驗證碼,或短暫延遲以進行人工審查。將直接拒絕保留給在真實客戶中罕見的組合,例如同一筆訂單同時出現 Tor 出口、拋棄式電子郵件與機器人 User-Agent。
測量也很有幫助。隨每筆訂單記錄 IP 旗標,然後在你自己的流量中,比較不符與相符訂單的拒付率及確認詐欺率。許多商家發現,光是不符幾乎不會改變比率,而網路類型卻會大幅改變,這些資料讓你可以設定符合自家客戶的門檻,而不是照抄通用規則。由於地理定位與威脅資料會變動,請定期重新檢視門檻;ipto 每 6 小時更新威脅情資來源,每日更新 IP 與 ASN 資料集。
最後,在增加摩擦時,請向客戶說明清楚。解釋驗證步驟的訊息,轉換率遠高於無聲的拒絕,也能讓碰巧使用飯店網路的好客戶不致轉身離開。