Антифрод как защитить бизнес от мошенников и не потерять клиентов

Как работает антифрод-система

Антифрод (от англ. fraud — мошенничество) — это технологии и правила, которые помогают выявлять мошеннические действия и снижать потери бизнеса и клиентов. Система анализирует операции, поведение пользователей и сведения об их устройствах, чтобы оценить риск. При низком риске операция проходит без дополнительных проверок. Если система обнаруживает подозрительные признаки, она может запросить подтверждение, передать случай специалисту или отклонить операцию.

В зависимости от задач бизнеса система может сочетать несколько подходов к проверке.

Синхронный скоринг рискового действия. На этом уровне работает транзакционный антифрод: он изучает операцию в режиме реального времени и оценивает риск мошенничества. Например, пользователь оформляет заказ на большую сумму, а антифрод-система проверяет транзакцию и то, насколько она соответствует привычному поведению человека.

Асинхронный скоринг рискового действия. Антифрод анализирует операцию с задержкой, что позволяет провести дополнительные вычисления. Здесь система может использовать ML-модели, которые применяются и при проверках в реальном времени. Также сюда можно отнести сопровождающий ML-скоринг, при котором по мере действий пользователя накапливаются данные для принятия решения.

Сессионный антифрод. Анализирует поведение пользователя, данные устройства, геолокацию и другие параметры в рамках конкретной сессии на сайте, чтобы выявить подозрительную активность.

Мониторинг аномалий. Помогает выявлять отклонения от обычного поведения, например операции на аномально крупные суммы. Механизм можно сравнить с «ограждающим забором»: если операция пересекает заданный порог риска, её необходимо дополнительно проверить.

Асинхронный ручной анализ. Специалист отбирает операции по заданным критериям и проверяет их вручную. Подход используют, когда автоматической оценки недостаточно либо когда для принятия решения требуется накопить и проанализировать данные за определённый период. Например, так можно изучить выборку высокорисковых операций за прошедшие сутки.

Механизмы антифрод-системы

Набор инструментов зависит от того, с каким мошенничеством сталкивается компания. Для одних сценариев достаточно заранее заданного правила, в других приходится искать связи между действиями, которые по отдельности не вызывают подозрений.

Проверка по фильтрам и правилам

Антифрод-система собирает данные об операции и проверяет её по фильтрам и правилам. Правила задают условия, при которых операция считается подозрительной. Если они срабатывают, операцию могут отклонить или направить на дополнительную проверку.

Какие параметры могут учитывать правила:

• IP-адрес устройства;
• местоположение пользователя;
• страна выпуска банковской карты;
• банковский идентификатор карты (BIN);
• тип устройства и операционная система;
• слишком быстрое изменение геолокации;
• частота транзакций;
• сумма платежа;
• аномальная скорость печати;
• нетипичное поведение пользователя.

«Любая система может быть атакована. Вопрос в стоимости атаки и потенциальной прибыли от неё. Задача антифрода — сделать успешную атаку экономически нецелесообразной. Когда система включает технологии, контроль операций, разделение полномочий и подготовленного человека, злоумышленнику приходится обходить уже несколько разных уровней защиты. Сочетание человека и машины даёт наиболее устойчивую модель».

Евгений Семёнов Заместитель гендиректора ЦБТ - оператора ЕБС

Машинное обучение

Модели машинного обучения (ML-модели) позволяют антифрод-системе анализировать закономерности в данных и учитывать информацию, которая не представлена в проверяемой транзакции, например историю действий пользователя.

С помощью ML-модели можно сформировать профиль поведения пользователя на основе его действий на площадке. При каждой новой операции система будет сопоставлять её с профилем и оценивать, насколько это поведение привычно для пользователя. Благодаря этому можно выявлять подозрительные отклонения и снижать число ошибочных блокировок легитимных операций.

В данные, на которых обучается модель, могут входить:

Кластерный анализ

Кластерный анализ может присутствовать как вспомогательный инструмент антифрода, но не является его обязательным механизмом. С ним можно объединять пользователей, операции или другие объекты в группы по сходству характеристик операций, устройств, сессий и других признаков.

Благодаря кластерам специалисты выявляют взаимосвязи и потенциальные мошеннические схемы. Например, если антифрод-аналитик обнаруживает группу связанных аккаунтов, совершающих похожие подозрительные действия, это может указывать на попытку масштабировать мошенническую схему. Также кластерный анализ помогает выявлять потенциальные уязвимости в продукте и слабые места, которые нужно контролировать.

Поведенческая биометрия и решение

Поведенческая биометрия в антифрод-системах — это анализ привычек и поведения пользователя при работе с сайтом или приложением. Технология помогает отличить настоящего владельца аккаунта от робота или мошенника.

Система анализирует, как человек набирает текст, двигает мышью и взаимодействует с интерфейсом. Эти сведения вместе с другими параметрами могут учитываться при расчёте фрод-балла (fraud score) — числовой оценки риска мошенничества. Шкала оценки и пороги, при которых назначается дополнительная проверка или блокировка, зависят от конкретной системы и её настроек.

Например, постоянный клиент из Рязани покупает в интернет-магазине наушники стоимостью 30 000 рублей. Если сумма соответствует его обычным покупкам, а устройство и поведение знакомы системе, она может оценить риск как низкий.

Если с этого же аккаунта будет совершена покупка из Владивостока на непривычно высокую сумму, пользователь зайдёт с незнакомого устройства и сменит номер для уведомлений, антифрод-система может посчитать покупку подозрительной и отправить операцию на дополнительную проверку. Её результат повлияет на решение об одобрении или отказе.

Для наглядности оценку риска можно представить в виде цветных меток:

Это условная схема: конкретные статусы и действия зависят от продукта. Выбор между одобрением операции, проверкой и отказом определяется оценкой риска и заданными правилами. Нетипичное действие само по себе не обязательно приводит к блокировке.

Показатели FAR и FRR

FAR (False Acceptance Rate — коэффициент ложного одобрения) и FRR (False Rejection Rate — коэффициент ложного отказа) — показатели ошибок аутентификации, в том числе биометрической.

FAR отражает долю попыток посторонних пользователей, которых система ошибочно принимает за владельцев аккаунтов. FRR показывает долю попыток настоящих владельцев, которым система ошибочно отказывает в доступе.

При ужесточении порога проверки вероятность пропуска постороннего обычно снижается, но риск отказа настоящему владельцу растёт. При смягчении порога пользователям проще пройти проверку, однако возрастает вероятность ошибочного допуска.

Специалисты настраивают пороги проверки и оценивают, как меняются оба показателя. Приемлемое соотношение зависит от конкретного сервиса, проверяемого действия и возможного ущерба.

«При настройке антифрода важно управлять не только безопасностью, но и клиентским путём в целом», — отмечает Евгений Семёнов. По его словам, «задача в том, чтобы найти приемлемый уровень риска для конкретного сервиса и сделать качественным клиентский путь».

Основные угрозы для бизнеса и как антифрод борется с ними

Бизнес сталкивается с захватом аккаунтов, мошенничеством с банковскими картами, дружественным фродом и атаками на промокоды, а также сочетаниями этих схем. Для защиты могут потребоваться несколько инструментов: идентификация и аутентификация, анализ поведения и операций, контроль устройства и канала связи, разделение полномочий и обучение сотрудников.

«Информационная безопасность должна быть свойством самого продукта или бизнеса, если он работает в цифровом канале, а не отдельной надстройкой над ним. С антифродом то же самое: он должен становиться базовой гигиеной цифрового бизнеса — частью проектирования продукта и бизнес-процесса. Не системой, которую подключают после появления мошенничества, а свойством нормально работающего цифрового сервиса».

Евгений Семёнов Заместитель гендиректора ЦБТ - оператора ЕБС

Захват аккаунта

При захвате аккаунта (Account Takeover) злоумышленник получает доступ к личному кабинету и данным клиента. Мошенник может украсть деньги с привязанной карты, присвоить себе бонусные баллы или использовать личные данные в своих целях.

Антифрод анализирует цифровой отпечаток — совокупность характеристик устройства и его программного окружения, например операционную систему и версию браузера. Также система учитывает местоположение, использование VPN или прокси и сравнивает действия в аккаунте с привычными. Даже если мошенник вошёл с правильными логином и паролем, изменения в поведении и устройстве могут помочь обнаружить захват.

Защитой от захвата аккаунта может быть дополнительное подтверждение входа, например на другом доверенном устройстве, с помощью смс или пуш-уведомления. Если обязательная проверка не пройдена, сервис не предоставит доступ к аккаунту.

CNP-фрод

CNP (Card Not Present) — это операции без предъявления физической карты, например при оплате в интернет-магазине. CNP-фродом называют мошенничество при таких операциях, когда злоумышленники платят картой без разрешения её владельца. Реквизиты могут попасть к мошенникам из утечек данных или через вредоносное ПО.

Из-за CNP-фрода бизнес рискует потерять и товар, и оплату за него. Если владелец карты оспорит списание и спор решится в его пользу, деньги могут взыскать с продавца. Дополнительные комиссии и другие последствия зависят от условий обслуживания и правил платёжной системы.

Чтобы снизить риск использования чужой карты, антифрод анализирует транзакцию в реальном времени. Например, система может сопоставлять страну выпуска карты, определённую по BIN, с предполагаемым местоположением устройства по IP-адресу. Несовпадение — один из сигналов риска, но само по себе оно не доказывает мошенничество.

Для дополнительной проверки используется технология 3-D Secure: банк, выпустивший карту, оценивает данные операции и при необходимости запрашивает подтверждение у держателя. Это может быть одноразовый код из смс или подтверждение в банковском приложении, в том числе с помощью биометрии. Если дополнительных действий не требуется, проверка проходит без участия покупателя.

Дружественный фрод

При дружественном фроде владелец карты оспаривает действительный платёж через банк — намеренно или по ошибке. Например, человек купил компьютер в интернет-магазине, получил товар, а затем заявил банку, что покупку совершили мошенники, чтобы вернуть деньги и оставить компьютер себе.

Другой сценарий — покупку оплачивает родственник владельца карты, а тот, не узнав списание, обращается в банк. Либо человек забывает об оплаченной подписке и оспаривает регулярный платёж.

Такое обращение может привести к чарджбэку — возврату платежа через процедуру оспаривания по правилам платёжной системы. Продавец рискует потерять оплату за уже переданный товар или оказанную услугу. Однако он может представить доказательства обоснованности списания.

Антифрод может отметить операцию как подозрительную, если она заметно отличается от привычного поведения пользователя. Однако при дружественном фроде покупку нередко совершает сам владелец карты, и она выглядит обычной. Обнаружить потенциальное злоупотребление только с помощью проверки платежа сложно.

Снизить риск потерь помогают несколько мер.

Фиксация покупки и доставки. Компании важно хранить историю переписки с клиентом, сведения о заказе и подтверждение получения товара. Уведомления при оформлении заказа, передаче в доставку и получении помогают покупателю узнавать свои покупки. Сохранённые документы могут понадобиться продавцу для ответа на оспаривание платежа.

Использование 3-D Secure. Аутентификация держателя карты помогает защититься от претензий о несанкционированной покупке. При соблюдении условий платёжной системы ответственность за такую операцию может переходить к банку, выпустившему карту. Но это не защищает продавца от всех видов споров — например, претензий о неполучении товара.

Понятные дескрипторы платежа. Дескриптор — это название или описание продавца в банковской выписке. Оно должно быть узнаваемым: иногда покупатели не могут связать списание с магазином и оспаривают платёж по ошибке.

Атаки на промокоды

Мошенничество с промокодами — это злоупотребление кодами и акциями для получения выгоды в обход установленных ограничений. Например, злоумышленник создаёт несколько аккаунтов, чтобы многократно получить приветственный бонус, повторно использует одноразовые промокоды или автоматизирует подбор кодов. Из-за этого компания может нести убытки.

Чтобы защитить бизнес от таких атак, антифрод-системы анализируют цифровой след и ищут признаки работы ферм аккаунтов — множества учётных записей, которыми управляют для массового получения бонусов и скидок. Система учитывает сведения об устройствах, операционных системах и браузерах, местоположение, использование VPN или прокси.

Как выбрать систему под задачи бизнеса

Риск мошенничества возникает там, где пользователи оплачивают товары или услуги онлайн, регистрируются в личных кабинетах, используют бонусы и сохраняют данные банковских карт. Но необходимый набор защиты зависит от того, какие действия могут принести злоумышленнику выгоду и какие потери понесёт компания.

С такими рисками сталкиваются:

Встроенный антифрод банка или платёжного сервиса уже проверяет платежи компании. Однако его возможности не обязательно распространяются на другие действия пользователей — например, создание аккаунтов и получение бонусов.

В отдельных случаях бизнесу может понадобиться дополнительная защита. Если компания сталкивается с подозрительными заказами, можно настроить их оценку по признакам риска — скоринг. Если проблема связана с массовыми регистрациями, могут помочь ограничения частоты запросов и анализ связанных аккаунтов.

«Сигналом к усилению защиты может быть рост объёма транзакций и усложнение бизнес-процессов. Например, когда встроенные фильтры банка или эквайринга перестают учитывать специфику конкретной компании. Поводом для усиления могут быть повторяющиеся инциденты, которые не отлавливает встроенная защита, или высокий процент ложных блокировок. Если бизнес-процессы уникальны и требуют адаптации методологии, стоит рассмотреть отдельное решение».

Алексей Коробченко Начальник отдела «Код Безопасности»

Крупные организации, например финтех-компании, банки или маркетплейсы, могут внедрять собственные антифрод-системы, чтобы учитывать особенности своих операций и бизнес-процессов. Но не каждому бизнесу нужна полноценная отдельная система. Если у продукта ограниченное количество функций и низкие риски фрода, может быть достаточно встроенной защиты и дополнительных технических или организационных мер.

«Для стандартных операций встроенные решения банка, эквайера или платформы прекрасно работают. Создавать собственную систему просто ради наличия собственной системы смысла нет. Но крупный бизнес обычно сталкивается уже не с типовым риском, а со своим конкретным бизнес-процессом: собственными каналами, клиентским путём, устройствами, полномочиями сотрудников, нестандартными операциями. Большой компании нужен комплекс методов: внешний антифрод плюс собственные данные, контекст, правила и процедуры компании».

Евгений Семёнов Заместитель гендиректора ЦБТ - оператора ЕБС

Как подобрать антифрод-решение

Чтобы выбрать решение, важно провести анализ рисков и определить, какие механизмы необходимы для защиты конкретного продукта или процесса.

Шаг 1. Анализ продукта и возможных потерь. Вначале стоит определить, какие действия мошенников могут привести к потерям бизнеса и насколько велик возможный ущерб. Это поможет оценить, оправданы ли расходы на дополнительную защиту.

Важно проанализировать продукт и услуги, которые компания предлагает клиентам, и способы их использования. Часто злоумышленники пытаются извлечь выгоду из предусмотренных функций продукта и применяют их не по назначению. Например, если компания предлагает скидки или промокоды, злоумышленники ищут способы использовать их многократно, в обход ограничений.

Шаг 2. Анализ поведения клиентов. Нужно изучить, как клиенты пользуются продуктом или услугой, и выделить действия, которые могут указывать на злоупотребления. Для этого полезны сведения о спорных платежах, повторных регистрациях, использовании бонусов и жалобах клиентов.

Отклонение от привычного сценария ещё не доказывает мошенничество. Важно установить, какие признаки связаны с реальными потерями, а какие встречаются и у добросовестных покупателей. Это поможет определить, что именно должна выявлять дополнительная защита.

Шаг 3. Определение баланса защиты и удобства для клиентов. Лишние проверки могут мешать оплате и снижать конверсию. Слишком мягкие ограничения, напротив, увеличивают риск пропустить мошенническую операцию. На этом этапе важно определить, какие потери бизнес готов принять и в каких случаях дополнительные проверки оправданны.

«Ни одна антифрод-система не даёт стопроцентной защиты. Зато система значительно усложняет жизнь мошенникам и повышает их затраты на атаку. Если настроить слишком агрессивные фильтры, компания рискует получить много ложных срабатываний. Это ударит по обычным клиентам и снизит конверсию. Идеальный вариант — управлять риском и найти баланс между безопасностью и удобством бизнеса».

Алексей Коробченко Начальник отдела «Код Безопасности»

Шаг 4. Выбор решения и пилотный запуск. Можно запросить демонстрацию продукта у разных разработчиков и выяснить, подходит ли решение под выявленные угрозы и процессы компании. До пилотного запуска важно согласовать, какие данные потребуются, как система будет взаимодействовать с действующими сервисами и по каким результатам компания оценит её эффективность.

Шаг 5. Анализ эффективности антифрод-системы. По итогам пилота необходимо проверить, какую долю мошеннических действий система обнаружила, сколько пропустила и как часто ошибочно считала действия добросовестных клиентов подозрительными. Отдельно оцениваются последствия проверок: отказы в оплате, незавершённые покупки и обращения в поддержку.

Эти результаты важно анализировать и в количестве операций, и в деньгах: сколько потерь удалось предотвратить, какой ущерб остался и во сколько бизнесу обходятся ошибочные отказы и сама защита.

Шаг 6. Анализ опыта работы с решением. В ходе пилота также важно оценить, насколько легко настраивать и поддерживать антифрод-решение, интегрировать его в существующие процессы и изучать результаты работы. Компании нужно понимать, какие задачи сотрудники смогут выполнять самостоятельно, а для каких потребуются разработчики или помощь поставщика.

Сравнение антифрод-решений

Юридические нюансы

Даже законный платёж может вызвать подозрения у банка. Для бизнеса важно понимать, что именно произошло: остановлен отдельный перевод или ограничен доступ к карте и онлайн-банку. От основания ограничения зависит, как его можно снять.

Федеральный закон №161-ФЗ

Закон «О национальной платёжной системе» обязывает банки выявлять переводы без добровольного согласия клиента. К ним относятся и операции, которые человек подтвердил под влиянием обмана.

При проверке банки учитывают признаки мошенничества, установленные Банком России. Например, сведения о получателе или устройстве, с которого совершается перевод, могут находиться в базе ЦБ о случаях и попытках переводов без добровольного согласия клиента.

Когда банк останавливает перевод

Если операция соответствует признакам мошенничества, действия банка зависят от способа перевода. При оплате картой, переводе электронных денег или через СБП банк отказывает в операции. В остальных предусмотренных законом случаях — приостанавливает приём распоряжения к исполнению на два дня.

Банк уведомляет клиента и сообщает, как подтвердить распоряжение или повторить операцию. Если клиент этого не делает, перевод не выполняется, а деньги остаются на его счёте.

Если сведения о получателе находятся в базе ЦБ, одного подтверждения недостаточно для немедленного перевода. Для подтверждённого распоряжения предусмотрена двухдневная приостановка, а для повторной операции — отказ. После установленного законом периода перевод возможен, если нет других законных оснований его не выполнять.

Когда ограничивают использование карты и онлайн-банка

Банк вправе приостановить использование карты, онлайн-банкинга и других электронных средств платежа, если сведения о клиенте или его платёжных средствах находятся в базе Банка России. Если информация поступила от МВД, такое ограничение обязательно.

Банк должен уведомить клиента и сообщить о праве обжаловать включение сведений в базу. Ограничение карты или онлайн-банкинга само по себе не означает блокировки счёта: порядок проведения операций через отделение можно уточнить в банке.

Что делать бизнесу при ограничении

Сначала необходимо выяснить у банка основание ограничения и порядок его пересмотра. Подтверждение отдельного перевода и исключение реквизитов из базы ЦБ — разные процедуры.

Если ограничение связано с включением сведений в антифрод-базу, заявление об их исключении можно направить в Банк России напрямую или через обслуживающий банк. Регулятор рассматривает заявление в течение 15 рабочих дней. После исключения сведений банк обязан незамедлительно возобновить использование карты или онлайн-банкинга.

Договоры, счета, акты и переписку по операциям полезно сохранять: они могут понадобиться при разборе обстоятельств. Но предоставление документов само по себе не гарантирует снятия ограничений.

Проверка контрагента через платформу ЦБ «Знай своего клиента» относится к антиотмывочному законодательству. Она не заменяет проверку по антифрод-базе и не позволяет гарантировать, что перевод не будет остановлен.

ГИС «Антифрод»

Государственная система «Антифрод» предназначена для обмена сведениями о признаках противоправных действий между госорганами, банками, операторами связи и другими участниками. Оператор системы — Минцифры. Такой обмен помогает сопоставлять информацию, которую разные организации получают о мошеннических схемах.

ГИС «Антифрод» — дополнительная защита, она не заменяет антифрод-решение конкретной организации. Полученные извне сведения помогают участникам оценивать риски и принимать меры в своих сервисах.

«Мошенник почти никогда не существует внутри контура одной организации: оператор связи видит одно, банк — другое, цифровая платформа — третье, государство — четвёртое. Задача ГИС — объединить эти сигналы и обеспечить обмен ими между участниками».

Евгений Семёнов Заместитель гендиректора ЦБТ - оператора ЕБС

Отдельный вопрос — возмещение украденных денег. По части 3.13 статьи 8 закона № 161-ФЗ банк обязан возместить физическому лицу сумму перевода без добровольного согласия, если получил соответствующую информацию из базы ЦБ, но провёл операцию с нарушением предусмотренных законом требований. Срок — 30 дней после дня получения заявления клиента. Эта норма не означает автоматического возмещения потерь юридическому лицу и не связывает компенсацию с любым сигналом из ГИС.

Частые ошибки внедрения

После запуска важно следить не только за обнаруженным мошенничеством, но и за тем, как проверки влияют на реальные покупки. Даже подходящее решение может создавать проблемы из-за слишком строгих настроек или устаревших данных.

Слишком жёсткие правила. Агрессивные фильтры могут давать высокий процент ложных срабатываний и отсекать часть покупателей. Консалтинговая компания McKinsey отмечает: чрезмерный акцент на предотвращении мошенничества способен ухудшать клиентский опыт и ограничивать выручку — в том числе из-за роста числа брошенных корзин.

Последствия ошибочных отказов показывает и исследование поставщика антифрод-решений ClearSale за 2023–2024 годы. Компания опросила более 750 онлайн-покупателей из США, Канады, Мексики, Колумбии и Аргентины. 41% респондентов заявили, что после ошибочного отклонения платежа больше не будут покупать у соответствующего бренда. Это заявленное намерение участников зарубежного опроса, а не измеренная доля потерянных клиентов российских магазинов.

«Задача антифрода – управлять риском с приемлемым балансом между безопасностью и удобством бизнеса».

Алексей Коробченко Начальник отдела «Код Безопасности»

Отсутствие контроля качества и обновления моделей. Мошенники находят новые схемы и методы, поэтому эффективность ML-моделей необходимо регулярно проверять и при необходимости дообучать их на актуальных данных. Меняется и поведение добросовестных пользователей: модель, обученная на старых примерах, может чаще принимать обычные действия за подозрительные. Это увеличивает риск финансовых потерь от ошибочных отказов.

«Арсенал методов постоянно расширяется. Мошенники подделывают устройства, крадут cookies и имитируют доверенные среды, чтобы обойти проверки на основе отпечатка устройства. Антифрод — это постоянная „гонка вооружений“, а не разовое внедрение»

Алексей Коробченко Начальник отдела «Код Безопасности»

Антифрод-система помогает компании управлять рисками. Она не защищает бизнес от мошенников на 100%, но позволяет снижать потери. Слишком слабая защита пропускает мошеннические операции, слишком жёсткая — мешает реальным клиентам.

Поэтому работа не заканчивается подключением сервиса: правила и модели требуют проверки и обновления. Оценивать результат стоит по тому, сколько денег бизнес сохранил и сколько честных покупателей смогли завершить покупку. Сам по себе рост числа блокировок ещё не означает, что защита стала лучше.