Как защититься от мошенничества?

Question

У меня есть VoIP-компания для российского рынка с русским веб-сайтом, на котором люди могут зарегистрироваться, купить кредит и совершать звонки. Мой сервис даже не популярен, и у меня всего около 100 клиентов. Недавно у меня было около 10 мошеннических пользователей, которые использовали для совершения платежей украденные кредитные / дебетовые карты или счета PayPal. Несмотря на то, что мой сайт на русском языке, у меня были мошеннические клиенты из Сомали, которые приобрели кредит на 50 долларов с украденной информацией. Через два дня после того, как мошеннические пользователи зарегистрировались и использовали их кредит, я получил электронное письмо от PayPal, в котором говорилось, что эти транзакции были "неавторизованными (транзакциями)". PayPal дал мне 10 дней, чтобы разрешить этот спор и вернуть деньги, поговорив с людьми, чья финансовая информация была скомпрометирована. После нескольких часов споров и споров мне пришлось вернуть деньги и принять потерю. Но так ли это работает? Что если бы у меня было 100 мошеннических клиентов, которые приобрели кредит на сумму 1000 долларов? Как я могу застраховать себя от этого? Обратите внимание, что мой сервис был на русском языке, что если бы у меня был веб-сайт на английском для всех желающих зарегистрироваться? Как вы защищаете свой сервис от таких вещей?

Некоторые из мер, которые я могу придумать:

1. Клиент должен активировать свою учетную запись через подтверждение по электронной почте (уже реализовано)
2. Учетные записи по умолчанию не активированы, я должен активировать их вручную (клиентам это может не понравиться)
3. Позвонив новому клиенту по предоставленному номеру телефона, чтобы убедиться, что он действительно подписался (я ненавижу этот)

Все ваши советы и мнения приветствуются!

Answer 1

Я работал в аналогичной компании (без названий), и единственное, что мы могли сделать, чтобы на самом деле решить проблему, было заставить пользователей зарегистрироваться с помощью кредитной карты, выставляя счет на минимальную сумму со своей карты при создании кода, который был включен в их заявление (а-ля "VoipMaster (4711)")

Затем они должны были найти свой счет по кредитной карте (многие банки позволяют вам сделать это практически сразу же онлайн) и ввести этот код на нашем сайте. Другими словами, пользователь должен был иметь доступ к счету кредитной карты, чтобы зарегистрироваться, а не только к информации кредитной карты.

Я думаю, что это почти полностью остановило мошенничество, но без маркетинговых исследований сложно определить, сколько действительных пользователей не зарегистрировалось из-за этого.

Answer 2

Это просто ловушка приема онлайн-платежей. Вы не теряете сумму в 1000 долларов, когда вам нужно вернуть деньги. Paypal не должен взимать с вас никакой комиссии за возврат денег, и поэтому вы не потеряли ничего, кроме небольшого количества времени.

Есть некоторые вещи, которые вы могли бы сделать, чтобы попытаться предотвратить это в первую очередь. Самым важным было бы выбрать один или несколько векторов, а затем обнаружить любые изменения в этих векторах. Изменение тогда должно иметь вторичную авторизацию.

Например, вы можете сказать, что если вы попытаетесь использовать учетную запись PayPal, отличную от последней, которую вы использовали, вы должны пройти этап подтверждения.

Другим может быть то, что если вы покупаете больше определенного лимита, вы проходите этап подтверждения.

Если ваш IP-адрес меняется, вы проходите этап подтверждения (не очень хорошо, но, тем не менее, это идея).

Процесс / этап подтверждения может быть любым, что вы считаете подходящим, чтобы в меру своих возможностей убедиться, что они законны. Например, вы можете потребовать от них подтверждение по электронной почте или попросить их подождать 24 часа, чтобы получить кредит (возможно, укажите номер телефона, по которому они могут позвонить вам, чтобы ускорить процесс).

Там нет верного пути огня, но чем сложнее сделать это, тем меньше это случится. Есть сотни вещей, которые вы могли бы сделать, основываясь на простой теории, которую я опубликовал выше. Не берите в голову более сложные вещи, которые вы могли бы использовать. За 50 долларов я бы предположил, что они используют ваш сайт в качестве тестового сайта, чтобы все детали работали нормально, прежде чем переходить к использованию их для более крупных платежей в другом месте или переводить деньги на свои собственные счета. Так что, если вам будет труднее сделать это, они найдут где-нибудь еще, чтобы проверить их.