Onderwerp: Frauduleuze aanvragen

Oorspronkelijk geplaatst door Apoc

Is al meerdere malen in het verleden gedaan. Heeft weinig tot geen nut kan ik je bij voorbaat zeggen.

Dat is jammer. Zijn ze nog wel online?

Oorspronkelijk geplaatst door Xolphin

Dat is jammer. Zijn ze nog wel online?

Ik wil wel een poging wagen met ichosting. Het hoeft geen uitgebreid systeem te worden toch? Database + website + api.

Oorspronkelijk geplaatst door Xolphin

Dat is jammer. Zijn ze nog wel online?

Niet dat ik weet.

Wat betreft SMS verificatie; je kan hetzelfde doen met telefonische verificiatie. Telefoonstem leest de code op en die moet ingevoerd worden. Zelf ervaringen met varilogix.com - werkt prima. Als je het in-house wilt houden kun je natuurlijk ook zelf iets ontwikkelen.

Oorspronkelijk geplaatst door Apoc

Niet dat ik weet.

Wat betreft SMS verificatie; je kan hetzelfde doen met telefonische verificiatie. Telefoonstem leest de code op en die moet ingevoerd worden. Zelf ervaringen met varilogix.com - werkt prima. Als je het in-house wilt houden kun je natuurlijk ook zelf iets ontwikkelen.

Sms is ook niet totaal betrouwbaar, sim kaartjes zijn al voor nog geen 5 euro te koop. Op samenkopen.net worden ze voor 2 euro aangeboden dacht ik.

Oorspronkelijk geplaatst door mauer

Sms is ook niet totaal betrouwbaar, sim kaartjes zijn al voor nog geen 5 euro te koop. Op samenkopen.net worden ze voor 2 euro aangeboden dacht ik.

Tuurlijk - het is zelfs nog makkelijker, het is niet zo lastig om een nummer via VOIP aan te vragen. Het punt is echter dat over het algemeen fraudeurs niet al te veel moeite steken in dit soort dingen, waardoor je op deze manier toch 99% van de fraudeurs op deze wijze eruit zult kunnen filteren.

Uiteraard moet je dit niet stand-alone gebruiken als algehele fraud preventie methode, maar het kan er wel een goed onderdeel van uitmaken.

Het is hetzelfde als met server beveiliging; als je iets klantvriendelijk wilt houden kun je nooit iets 100% hackerproof maken (dat kan alleen door een server uit te laten staan). Hetzelfde geldt voor online verkopen. Enerzijds wil je natuurlijk 100% van de frauduleuze aanvragen filteren, maar anderzijds wil je ook het orderproces niet te lastig maken, dat jaagt ook potentiele klanten weg.

Naar mijn ervaring is de beste methode om orders zelf te screenen - dat is altijd beter en effectiever dan automatische screening.

Wat je zou kunnen doen (dat is wat wij zelf doen), is om eerst automatische screening toe te passen, en als de uitslag daarvan twijfelachtig is, een handmatige screening. Ons systeem doet feitelijk het volgende:

Eerst automatische screening. Daarvan worden de orders in 3 categorieen verdeeld:

1. Lage kans op fraude - automatische goedkeuring
2. Twijfelgeval - geen automatische goedkeuring, handmatige screening volgt
3. Zeer grote kans op fraude - automatische afwijzing

Andre, wat zijn de criteria die worden gehanteerd om in een categorie te belanden? Of hou je dit liever geheim?

Dit is gebaseerd op een score, die wordt opgemaakt op basis van zaken zoals:

- Komt IP locatie overeen met billing adres? Zo ja, in hoeverre komt dit overeen?
- Is het IP adres een proxy?
- Komt het telefoonadres overeen met het land+regio?
- Wordt er gebruik gemaakt van een gratis email adres?
- Zo nee; hoe lang bestaat de domeinnaam al en draait er een echte website op, of een parked page?
- Heeft de aanvrager alvorens te bestellen al eens contact met ons opgenomen, en hoe vaak?
- Is de aanvrager afkomstig uit een "high risk" country (Rusland, Afrikaanse landen, etc)?
- Welke betalingsmethode wordt gebruikt?
- Bij PayPal; is het een verified PayPal account, en zo ja, hoe lang al?
- Bij creditcard; hoe betrouwbaar is de maatschappij (Verified by Visa e.d.)

Enzovoorts. Er zijn nog andere factoren die meespelen maar die kan ik helaas niet posten. Aan de hand hiervan wordt een score berekend. Is de score hoger dan een bepaalde treshold, dan wordt overgegaan op afhandeling 1, is die nog hoger dan die score, afhandeling 2, etc.

Je kan natuurlijk nooit 100% vertrouwen op een dergelijke screening, daarom wordt bij twijfelgevallen overgegaan op handmatige screening. Als voorbeeld; iemand kan op zakenreis zijn naar India, en daardoor een IP adres uit India hebben op dat moment.

Bij handmatige screening komt het nogal eens voor dat een fraudeur het echte telefoonnummer van degene waarvan de creditcard is gestolen opgeeft (met als doel het telefoonnummer te laten overeenkomen met de creditcard houder). Dat is natuurlijk ook weer makkelijk op te sporen; dat is een kwestie van het telefoonnummer te bellen en te vragen of die persoon ook daadwerkelijk de bestelling geplaatst heeft.

Wij zijn overigens sterk internationaal georienteerd en hebben daardoor naast lokale (Nederland/Belgie) ook veel te maken met klanten uit verweggistan. Als je enkel richt op de Nederland/Belgische markt heb je sowieso een stuk minder met fraude te maken. Wij komen er sowieso niet omheen. Het heeft ons inmiddels al vele tonnen bespaard (exacte bedragen zijn niet vast te stellen want je weet nooit hoeveel schade een fraudeur aanricht - dat ligt er namelijk vooral aan hoe lang het duurt voordat je erachter komt dat je belazerd wordt).

Er zijn overigens genoeg anti-fraud screening programma's beschikbaar, maar die zijn er vooral voor Amerikaanse billing systemen zoals Modernbill en dergelijke. De een werkt natuurlijk ook beter dan de andere.

Zoals elders in dit topic vermeld, heeft Maxmind een aardig product die er behoorlijk wat uitfiltert. De anti-fraud module is zeker niet alleen voor credit card betalingen bedoeld, maar wordt door sommige van onze klanten ook gebruikt om te achterhalen hoe betrouwbaar een bestelling is.

Soms schiet er weleens een bestelling doorheen die niet ok is, maar vaak mailt Maxmind dan binnen een dag dat er nieuwe gegevens beschikbaar zijn, waardoor bestelling X nu aangemerkt dient te worden als fraude.

Maar is het nu echt nodig om daar een enkele maanden oud topic voor te kicken?