Блок антифрод что это такое
Ваш перевод заблокировали. Как банки России вычисляют подозрительные операции
Антифрод – это технологии и сервисы, которые помогают бороться с мошенничеством при совершении оплаты. Разбираемся, где их используют и как они работают.
Что такое фрод
Фрод – это действия, с помощью которых злоумышленники хотят обманным путем завладеть чужими деньгами. Чаще всего воруют с банковских карт: снимают в банкоматах, заказывают подарочные сертификаты или товары в интернет-магазинах.
Могут позариться и на аккаунты электронных платёжных систем. PayPal, Webmoney, Яндекс.Деньги, Qiwi, счета на биржах – вариантов великое множество.
Антифрод – проверка на вшивость
Антифрод-система оценивает транзакции – преимущественно те, что были сделаны через интернет. Она выясняет, насколько подозрительной была транзакция, как высока вероятность того, что её выполнили мошенники.
В каждом антифрод-сервисе есть набор правил, списков и фильтров. Все они задействуются для расчёта рейтинга транзакции. Кроме того, система может предлагать рекомендации по дальнейшей обработке транзакции.
Антифрод-системы разрабатывают в основном банковские департаменты, которые отвечают за безопасность. Visa, MasterCard, PayPal и другие платёжные гиганты также имеют свои антифрод-сервисы.
Собственный антифрод есть у российского Управления К. Его используют, чтобы предупредить мошенничество в сфере информационных технологий.
Как вычисляют подозрительные транзакции
Представьте себе ситуацию: вы зашли в интернет-магазин, выбрали товар, положили в корзину. Следующий шаг – оплата. Вы вводите данные, подтверждаете оплату, и в этом месте активируется антифрод-система.
Обычно антифрод оценивает всё, что может получить:
Отдельные системы могут запрашивать и другие данные и учитывать в анализе разные факторы: к примеру, с какой попытки был введён пароль, использовался ли отпечаток пальца или другие форматы биометрической аутентификации, платил ли пользователь ранее с этой карты в данном магазине и др.
Если степень риска фрода достаточно высока, транзакции отправляют на ручную проверку или дополнительную идентификацию. Здесь возможны три варианта:
«Под капотом» антифрода: как работает система
Сначала транзакции проходят самую грубую и поверхностную проверку с помощью стоп-листов. Система ищет номер карты, ФИО плательщика, IP-адрес и другие данные в своей базе.
Если информация есть в «черном списке», транзакция не пройдёт. К примеру, сразу заблокируют транзакции с украденных карт, подозрительных IP-адресов, мошеннических магазинов.
Эксперты признают: антифрод не лишен расизма.
Например, системы многих американских магазинов не пропускают платежи из Китая, Латинской Америки, африканских стран. Да и покупателей из стран СНГ в США и Европе не любят. Мошенников там очень много, поэтому магазину проще работать только на тех рынках, где вероятность обмана куда ниже.
Второй этап – проверка дополнительных сведений о держателе карты. Это данные карты, история расчётов, сведения о похожих операциях. Здесь транзакция получает основные баллы и рейтинг: от «красного» (практически наверняка фрод) до «зелёного» (скорее всего, не фрод).
Дальше в ход идут правила. Обычно в антифрод-системе установлены лимиты:
Рейтинг транзакции «заминусуют», если:
Подчеркнём: если хотя бы одно правило нарушается, транзакцию не обязательно отменят. Но чем больше факторов, тем выше вероятность, что её «завернут».
Как обходят антифрод
Кардеры, которые используют данные краденных кредитных карт для обнала или заказов в зарубежных интернет-магазинах, способны обойти даже самую надёжную систему – к примеру, антифрод eBay, Amazon, Visa, MasterCard и т.п. На каждую гайку найдётся свой болт с левой резьбой, и это позволит сымитировать легальную транзакцию.
К примеру, если поднять на тоннеле firewall или настроить его на dedicate-сервере, система не будет видеть, какие порты открыты. Если в цепочку перед dedicate-сервером или туннелем добавить Tor, то двусторонний пинг не выдаст, что IP принадлежит хостинг-провайдеру из «черного списка», туннелю, VPN или SOCKS. Если предварительно просмотреть десяток-другой сайтов из выдачи Google, пообщаться в Facebook и открыть 100500 фото «ВКонтакте», история браузера и открытые вкладки не вызовут подозрений.
Сами карты «раскачивают» мелкими транзакциями – они вызывают меньше подозрений и формируют добротный рейтинг. Крупные суммы с украденных карт «сливают» на пенсионные и зарплатные карты небольшими порциями.
Мошенники звонят и представляются сотрудниками банка, чтобы узнать ответы на вопросы из стандартного списка. Часто пользователи всё им рассказывают, ничего не подозревая.
Наконец, те, кто обходят антифрод, имитируют поведение типичных покупателей. Если найти магазин через поиск, посмотреть там пару десятков товаров, что-то добавить в корзину, затем что-то убрать, пообщаться с консультантом и т.п., антифрод будет лояльнее.
Выводы
Антифрод – системы, которые не дают мошенникам украсть ваши деньги, в основном при оплате картой в интернете. Например, купить iPhone на eBay с кредитки, украденной в США.
Обход антифрода – ст. 159.3 «Мошенничество с использованием платежных карт». Наказание — до 120 тыс. рублей, до 4 месяцев тюрьмы или до 2 лет условно, до 2 лет принудительных или исправительных работ. Многовато будет.
Ксения Шестакова
Живу в будущем. Разбираю сложные технологии на простые составляющие.
У нас сгорела беспроводная зарядка с AliExpress. Вот так
Хакеры научились получать доступ к данным ПК через Cortana
Apple выпустила новую прошивку для AirPods, AirPods Pro и AirPods Max
10 самых лучших Stories в Instagram за 2021 год. Появился персональный рейтинг
Первый взгляд на подписку Apple Music Voice. Как управлять музыкой
В Apple TV впервые появилась русская Siri
Почти 60% iPhone и iPad обновились на iOS 15
ФБР признало, что следит за пользователями WhatsApp в реальном времени. iMessage тоже досталось
Почему iPhone так долго живёт на 1% заряда?
10 самых маленьких домов в мире. Один из них стоит на камне в реке
🙈 Комментарии 30
Ура, полезная статья.
В россии правда не совсем актуально в виду того, что во первых установлены жесткие лимиты, а во вторых, проплаты идут через виртуальные карты.
Ктогда будет статья по 115-Ф3 и как снять десяток миллионов не попав под мониторинг?? шутка
пс. Верните Ирину Чернову)
Первое правило антифрода — никому не рассказывать про антифрод
На самом деле, правило фиговое. Но понятное дело, почему оно работает. В среде безопасников считается, что антифрод должен быть такой суперсекретной штуковиной за семью печатями с парой голодных Церберов поблизости. Чтобы никто-никто не мог заглянуть в щель и узнать, как этот антифрод работает и вообще, чего там внутри. Безопасникам это добавляет важности, а самому механизму антифрода — иллюзорную защиту.
Принцип security through obscurity не работает. Если пойти погуглить насчет новостей в разрезе «Клиента банка Х взломали и увели Y рублей», то такие новости будут всегда. Почти каждый день (почти — потому что не всегда об этом пишут).
Реализации всех известных протоколов шифрования открыты и доступны для изучения. Все криптографические и математические алгоритмы тоже описаны, причем весьма подробно. То есть садись, запасайся кофе или энергетиками, изучай все это добро да ломай себе потихоньку.
Поэтому система, которая считается защищенной только потому, что люди не знают, как она работает — вообще ни разу не защищенная. А вот чем такая система открытее, тем быстрее въедливое сообщество укажет своим критически настроенным перстом на все косяки в реализации. Что позволит эти косяки устранить.
Я работаю именно в парадигме открытости протоколов и систем, и в этом посте я хочу рассказать про устройство стандартного антифрода, о работе нашего в RBK.money, почему будущее за OpenSource, а также о том, как всё это может работать в идеальном мире.
Который мы с вами и можем приблизить.
Антифрод под капотом
Начнем с самых простых примеров. Антифрод — это совокупность двух машин. Первая работает по каким-то правилам, которые вы знаете и которые вам понятны. Вторая — черный ящик, в котором творится магия, постичь которую не помогут даже канистра энергетика и томик Ницше.
То есть в первой машине у нас лежит набор правил, написанный человеком. Правила выглядят довольно просто и всего-навсего отражают определенный набор действий, который должен триггерить систему на распознание фрода. Например, если с такой-то карты внезапно понеслось по 10 платежей в минуту, это неслабый такой повод насторожиться. Или если транзакция по карте прошла в Питере, а 5 минут назад хозяин по ней снимал деньги в Москве — тут тоже что-то странное.
Я повторюсь, я сейчас сильно образно, потому что такое поведение может быть и в нормальной ситуации. Например, Амазон любит снимать деньги не за весь ваш заказ из 15 позиций, а за каждую позицию по отдельности. Причем в разное время, это нормально. А в случае с географической разницей — хозяин карты может быть в Москве, а в Питере что-то на эту же карту в Apple Pay покупает его мама. Да, на картах пишут, что их не стоит передавать третьим лицам и вот это всё, но жизнь обычно немного сложнее.
Про вторую коробку. Там лежит большой кусок machine learning, и тут конкретно показать на пальцах в простой структуре, как там чего с чем соотносится для выводов, уже не так просто.
И вот из этого базиса можно вывести критерии хорошего антифрода.
Три кита
Во-первых, это интерфейс написания правил. Удобный, красивый и понятный. Об этом будет чуть ниже.
Во-вторых, специальный язык написания этих правил.
В-третьих, быстрая обработка этих написанных правил.
Почему быстро — потому что скорость тут реально важна. Антифрод как сущность ставится в разрыв платежной системы. И тут есть два подхода подобной реализации.
Здесь в приоритете именно скорость проведения платежей. Бизнес обычно в такой ситуации принимает решения, что приоритет по скорости терять не стоит, поэтому если вдруг антифрод будет что-то долго обдумывать, анализировать и в целом немного тормозить процесс — пофиг, пляшем, игнорируем показания антифрода и просто проводим платеж.
2) Минимизация рисков
В этой ситуации бизнес понимает, что антифрод, в общем-то, не просто так поставили в систему, и прислушивается к его показаниям. Если есть подозрение на фрод, то бизнес тормозится, разбираются в ситуации, и только потом платеж проводится. Или не проводится.
Поэтому антифрод должен быть быстрым, максимально быстрым, и при этом адекватно конфигурироваться.
Внутри самого антифрода, на самом деле, довольно несложные колоночные вещи, там уйма задач на агрегацию данных. Вот смотрите, что собирается в системе:
И есть задача вида схлопнуть в окне движущееся сейчас количество платежей с конкретным значением. Например, посмотреть прямо сейчас, что проводится с определенного фингерпринта. Или уточнить проходящие платежи по конкретной карте. Это очень помогает работе.
Да, кстати, важно понимать, что антифрод — это не вещь в себе. Он не может быть плохим или хорошим, это инструмент, требующий настройки. И если антифрод работает хреново, это не потому, что антифрод хреновый — это его хреново настроили, вписали не те правила или не учли еще кучу важных штук.
А настраивать его правильно важно для бизнеса. Не только потому, что из банка, где антифрод хреновый, все клиенты разбегутся, а потому, что отрасль тут сильно зарегулирована. Если в банк приходит слишком много фродового чарджбека, это повод для штрафов и дополнительных проверок. Ну а если совсем все грустно, то отключат нафиг от платежной системы.
И это правильно. Если ты оперируешь чужими деньгами, люди тебе их доверяют, а ты не в состоянии их защитить — на кой ты вообще на рынке? Открой шиномонтаж, например.
Поэтому у тебя или хорошо настроенный антифрод, или никакого вообще, ибо тебя выкинули с рынка и он тебе больше не нужен.
Своя рубаха
Когда мы писали свой антифрод, мы смотрели на все это, проверяли работоспособность, и поставили в итоге ClickHouse.
Работает это так. У нас есть платёжная система, которой активно пользуются. Соответственно, генерится большое количество событий. Все эти события мы единым потоком сливаем в ClickHouse, где они успешно агрегируются и обрабатываются. И обрабатываются быстро.
Некоторое время назад у нас был вендорский антифрод. Вполне себе решение, работало по подписке, особых неудобств не доставляло. Но когда мы вывели для себя критерии правильного антифрода, мы стали писать свой. Писали мы его суммарно месяца два, внешняя апишечка описана swagger-ом. Когда закончили, стали тестить, сначала пускали почти весь трафик на старый, а небольшую часть — на новый. Ну а вдруг там навернется чего.
Не навернулось. Мы его активно отлаживали, использовали на старте как такую добавочную рекомендалочку. А на днях мы полностью перетащили все на него, он ощутимо быстрее старого, шустро отрабатывает все правила, в общем — полет нормальный. Но старый пока лежит как запаска.
Антифрод — это отличная почва для использования возможностей машинного обучения. Ведь на входе есть база (сами платежи), есть определенный датасет, есть модель, которая легко описывается уже известными имеющимися фродами. То есть можно для модели просто взять и на старом потоке платежей отметить — вот, зацени, тут был фрод, ату его, ату. В общем, для полноценной тренировки нейросети тут есть все, бери и пользуйся.
Уютного интерфейса мы пока не сделали, так как пока мы на этапе отлаживания протокола и правил (их у нас штук 200+, новые пишем ежедневно). Система управляется бодрым curl напрямую из консоли. И тут уже главная задача антифродера (да, есть такой специально обученный человек, который именно этим занимается) — сидеть, внимательно смотреть на трафик, получать чарджбеки из-за фрода, корректировать правила. Как видите, роботам пока не удалось полностью спихнуть с работы кожаных мешков.
В общем, новый сейчас хорош. Но пока не прямо отличный-отличный. Хотим впилить туда dry run — это когда ты написал правило, а потом прогнал через него какой-то конкретный платеж с пометкой «А что было бы с платежом, если бы к нему применилось это правило». Это вот ощутимо прокачает его возможности.
А ещё интерфейсы моделирования хочется строить. Ну знаете, как в фильмах, когда бравые ФБР-овцы отслеживают беглеца по кредитке — ага, смотри, вот тут он заправился на кредитку, вон там кофе купил, а в том городе наличку снял. И все это с привязкой к карте, прочим данным, с красивой визуализацией. Дело времени.
Идеальная система
Когда мы допишем наш антифрод, он станет отличным. А вот идеал, как обычно, достижим не так легко.
Идеал, как по мне, построен на абсолютном OpenSource. То есть опенсорсный антифрод на опенсорсном языке и удобный обмен правилами.
Давайте на примере про подобную идеальную систему защиты от DDoS.
Представим, что всех текущих операторов мамкины дудосеры достали так сильно, что они объединились и стали использовать единую базу засранцев. Если на ресурсе какого-то маленького оператора начинается DDoS, он оперативненько смотрит, какому оленю не спится, добавляет айпишники негодяя в блеклист. Обновление блеклиста расходится по единой системе, и все, что связано с этой атакой, блокируется на уровне клиентских подключений.
Вопрос доверия и надежности такой системы решается блокчейном.
С банками можно работать по такой же схеме. Есть общий список антифрод-шаблонов, который расходится по всем банкам. Зафродили, например, зеленый банк, спец среагировали и добавили новый набор правил в список, список обновился, и все, конкретная атака по такой механике больше не работает. Ни в зеленом банке, ни в других ярких цветах.
Система распределенная, у нас же блокчейн, взломать ее нельзя. ОК, если представить, что взломали сам антифрод у одного банка — это все еще проблема банка. Потому что общий у нас только список правил. А сами движки антифрода в каждом банке свои.
Как на самом деле сейчас. Банки — очень консервативные структуры. Очень. Сейчас у них есть небольшая рассылка, приходит письмо на определенных спецов, мол, зацените, а вот тут карта дропа, вот параметры. Но это рассылка. Про оперативность и вовлеченность можно вообще забыть сразу. Но лучше, чем вообще ничего, да.
Так что такую идеальную историю банки вряд ли осилят. Финтех вот вполне себе может потянуть, именно платежные системы и стартапы.
Machine learning вкупе с OpenSource — это будущее антифрода. кто хорошо научится с этим работать, тот сможет взять неплохой куш — индустрия огромна, там миллиарды. Но идеально решения пока нет.
А раз его нет — то есть хорошие возможности выйти на рынок.
Что предлагает RBKmoney
А предлагаем мы вам готовый антифрод. Он уже в опенсорсе и абсолютно свободен. Без всяких подводных камней, я прямо сейчас готов отдать все исходники нашего антифрода любому желающему и помочь с его интеграцией в любую платежную систему.
Общее опенсорсное решение позволяет совместно обмениваться экспертизой, обмениваться правилами защиты.
Не говоря уже о комьюнити, которое совместно может допиливать движок, делать какие-то новые вещи, про которые мы или не подумали или не успели сделать.
Это переводит уровень защиты в совершенно новую плоскость. Множество участников платежной индустрии сейчас разрабатывает свои собственные решения, еще больше — покупают какие-то готовые из тех что есть на рынке.
Не покупайте. Наше решение выиграет любой тендер как минимум по стоимости — с опенсорсным решением трудно конкурировать.
Давайте разрабатывать вместе. Репозитории открыты, исходники есть у вас уже сейчас. Комьюнити всегда лучше, чем что-то делать в одиночку.
Представление RBKmoney Fraudbusters как отдельного продукта, с мануалами по сборке и интеграции будет темой следующей статьи и это будет скоро.
Как не ошибиться в выборе антифрода
Для защиты от мошеннических действий давно и с успехом применяются системы класса «антифрод». Однако мало кто знает, что существуют разные типы таких продуктов, причём каждый из них отличается определёнными особенностями. Мы попробуем разобраться в том, для каких ситуаций необходимо использовать тот или иной вариант антифрода, и узнаем, чем хорош продукт браузерного типа Web Antifraud.
Введение
Система «антифрод» (от англ. anti-fraud — «против мошенничества») разрабатывается, как следует из названия, для обнаружения и предотвращения мошеннических действий. Первоначально такие системы стали активно применяться российскими банками в 2011–2012 годах, после того как произошли первые крупномасштабные кибератаки на системы дистанционного банковского обслуживания. Впоследствии механизмы антифрода оказались востребованными и в других сферах, например в розничной и электронной торговле, системах клиентской лояльности, игровых сервисах, контекстной рекламе, страховании, ЖКХ и т. д. В целом, подобные платформы актуальны там, где происходят транзакции и товарообмен в онлайн-режиме.
Антифрод-системы имеют механизмы предназначенные для оценки финансовых или других видов транзакций в интернете на предмет подозрительности с точки зрения мошенничества и предлагающие различные варианты реагирования. Как правило, антифрод состоит из стандартных и уникальных правил, фильтров и списков, по которым и проверяется каждая транзакция, т. е. используется сигнатурное выявление нелегитимных операций. Также активно применяется технология машинного обучения, позволяющая обучать антифрод на данных от заказчиков и выявлять закономерности.
Классы антифрод-систем
Существуют два типа антифрод-систем. Первый предназначен для анализа транзакций (платежей). Чаще всего его называют транзакционным антифродом. Основной особенностью такой системы является использование сигнатурного метода выявления мошеннических действий и / или применение машинного обучения на огромном количестве финансовых операций или действий сотрудников.
Сигнатурный метод основан на использовании определённых правил. Данный подход базируется на срабатывании триггеров в соответствии с заранее описанной логикой. К подобным фильтрам относятся слишком крупные или частые транзакции, транзакции в нетипичных и нелогичных местах геолокации и другие сомнительные действия, которые, очевидно, нуждаются в дополнительной проверке. Для выявления мошеннической операции нередко применяются комбинации сигнатур. Современная антифрод-система имеет в своём арсенале несколько сотен подобных правил. Однако у подобного метода есть недостатки — например, необходимость постоянной доработки старых правил и создания новых.
Подход основанный на машинном обучении заключается в обработке больших массивов данных и в реализации алгоритмов, которые выявляют скрытые корреляции между действиями пользователя и вероятностью мошенничества. Например, в банках берётся база прошлых транзакций с отмеченными в ней операциями, которые были заблокированы (скажем, переводы денежных средств без согласия клиента), и в ходе обучения антифрод выявляет закономерности, которые привели к блокировке. В дальнейшем он сможет самостоятельно выявлять и блокировать аналогичные транзакции.
Рисунок 1. Пример работы транзакционного антифрода
Второй класс систем — это так называемый браузерный, или сессионный, антифрод. В отличие от первого типа он не выявляет аномалии среди транзакций или других операций. Сессионный антифрод собирает различную техническую информацию о сеансе работы пользователя, например сведения об устройстве, с которого был произведён платёж, данные о соединении, по которому передавалась информация, параметры поведения пользователя (каким образом были произведены нажатия на клавиши, как перемещался курсор и как делались щелчки мышью, положение смартфона в руках и другие действия).
Кроме того, браузерный антифрод в отличие от транзакционного позволяет выявить кражу учётных записей, например в результате фишинговой атаки или утечки данных, а также определить, что аккаунт принадлежит злоумышленнику, ещё на самом раннем этапе, когда кибермошенник только делает попытку зарегистрироваться в системе.
Рисунок 2. Перечень технических сведений о пользователе в браузерном антифроде
Данный тип антифрода анализирует большое количество технических данных и различных нюансов поведения пользователя с использованием устройств. Все эти процедуры не реализованы в транзакционных антифрод-системах. Из-за сложности при разработке механизмов работы сессионных антифродов данный класс систем меньше представлен на рынке.
Критерии выбора антифрод-системы
Каждый класс антифрод-систем анализирует свой набор данных, а значит, для того чтобы добиться максимально полной защиты от мошенничества на основе поведения пользователя, сбора информации об его устройстве и транзакциях, следует использовать оба вида антифрод-систем одновременно.
К числу заказчиков, для которых будет актуально использование обоих видов антифрода (браузерного и транзакционного), могут относиться банки, платёжные сервисы, криптобиржи, брокеры, сервисы обмена электронных валют, сервисы бонусных программ, другие финансовые платформы — то есть те компании, у которых есть системы внутренних переводов денег или управления бонусами.
Однако не всем компаниям обязательно использовать тандем из двух видов. Есть типы заказчиков, которые могут обойтись одним лишь браузерным (сессионным) антифродом, например микрофинансовые и микрокредитные организации (МФО / МКО), устроители промоакций (CRM-агентства), интернет-магазины. Это — те компании, которые предлагают клиентам личный кабинет на сайте, но в то же время не имеют систем внутренних платежей. Также это — предприятия, которые получают запросы от новых клиентов: заявки на получение займов, заказы в интернет-магазине.
Продукт Web Antifraud, разработанный одноимённой компанией, является представителем класса браузерных антифрод-систем и позволяет реализовать механизм мониторинга и анализа действий пользователей для выявления мошенничества на сайтах заказчиков, т. е. при использовании личного кабинета, а также при управлении заявками и заказами от новых клиентов.
Давайте теперь попробуем разобраться в том, по каким критериям следует выбирать антифрод-систему. Пожалуй, большое внимание следует обратить на цену. Несомненно, что в эту сумму помимо стоимости самого продукта должны входить работы по внедрению, обучение администраторов системы и другие сопутствующие расходы. Антифрод не должен стоить дороже, чем ущерб от мошеннических действий, иначе его применение будет невыгодным. Например, если подписка на систему приобретена на год, то потенциальная сумма ущерба также оценивается за этот срок.
Если оценивать антифрод-системы по функциональным возможностям, которые используются для определения уровня риска, то наиболее объективными показателями будут те, по которым можно сделать конкретные выводы об инциденте — например, используется ли прокси-сервер при доступе к сайту, возможен ли удалённый доступ к устройству, то есть те показатели, о которых можно судить вполне точно.
Если используется механизм для расчёта оценки (скоринговая модель), то на основе подсчитанных цифр трудно сделать вывод о реальности инцидента. Обычно принцип подсчёта баллов недоступен пользователю, в связи с чем нет возможности определить, из чего складывается конкретная сумма. С одной стороны, это упрощает процесс реагирования (например, если больше 75 баллов из 100, то это мошенник, если ниже, то нет), но точность принятия решений и анализа рисков будет ниже, а следовательно, будет сложнее проводить расследования.
Ещё одним фактором, влияющим на выбор антифрода, является использование машинного обучения в системе. Это позволяет выявлять риски на основе анализа большого объёма данных и выявлять закономерности с помощью искусственного интеллекта.
Также важным параметром антифрод-системы является отсутствие необходимости сбора конфиденциальных и персональных данных клиентов. Это позволит предотвратить потенциальную утечку критически важных данных в открытый доступ в результате возможных несанкционированных действий или по другим причинам, что обезопасит от имиджевого и финансового ущерба, а также избавит от необходимости получать согласие клиента для обработки его персональных данных третьей стороной.
Однако при выборе антифрода любому заказчику необходимо отдавать себе отчёт в том, что ни одна система не может защитить ото всех атак. Основная задача эффективной антифрод-системы — сделать атаку настолько сложной и затратной, чтобы злоумышленник отказался от данной цели и переключился на другие, более доступные системы.
На данный момент на рынке существуют разные продукты, подходящие подо все или большинство из вышеуказанных критериев. Очень часто эффективность работы того или иного антифрода зависит от внутренних алгоритмов системы, которые разработчики не раскрывают. При этом нужно понимать, что разные продукты на разных сайтах и в разных информационных системах будут показывать разную эффективность. Поэтому очень важным для заказчика моментом является проведение сравнительного пилотного тестирования нескольких продуктов в собственной инфраструктуре перед тем, как сделать окончательный выбор.
Архитектура антифрод-системы
Web Antifraud, как уже было сказано, является сессионной (браузерной) антифрод-системой, которая рассчитана главным образом на следующие категории заказчиков:
Также данный продукт подойдёт и для других платформ, в которых аккаунты клиентов представляют ценность для мошенников.
Web Antifraud сочетает в себе несколько ключевых функций: анализ устройства, анализ поведения, выявление вредоносных программ, проверку возможной связи между аккаунтами пользователей.
Анализ устройств заключается в сборе более чем 100 технических характеристик устройства пользователя; на основе 60 различных проверок рассчитывается вероятность совершения мошеннических действий на сайте. Также выявляются попытки эмулировать устройства других пользователей или избежать проверок.
Второй ключевой особенностью этого продукта является анализ поведения, позволяющий выявлять аномалии в поведении пользователя. Не секрет, что каждый человек отличается индивидуальностью; соответственно, и с сайтом он также взаимодействует уникальным образом — совершает присущие только ему движения мышью, с определённой скоростью набирает текст на клавиатуре, заходит на сайт из определённых геолокаций, по своим правилам перемещается по сайту и т. д. Подобное поведение состоит изо множества привычек, которые принадлежат только этому человеку. Если были замечены существенные изменения в поведении пользователя, то, скорее всего, аккаунтом пользуется другой человек, и это — сигнал для проведения дополнительной проверки. У мошенников тоже есть свои шаблоны поведения, которые также выявляются и служат поводом для повышенного внимания к пользователям.
Рисунок 3. Карта в Web Antifraud с отмеченной геолокацией пользователей
Ещё одной существенной функцией Web Antifraud является защита от вредоносных программ, в том числе троянов. Работа данного механизма заключается в определении попыток повлиять на функциональность и работоспособность сайта. Чаще всего такие попытки связаны с инъекцией вредоносного JavaScript-кода, который запускается на компьютере пользователя. Web Antifraud выявляет подобные атаки и собирает всю доступную информацию по ним для дополнительного анализа.
Web Antifraud также позволяет обнаруживать неявные связи между аккаунтами, которые используют общие устройства и IP-адреса, а также по некоторым другим факторам. Это позволяет выявлять группы аккаунтов, которые могут использоваться в мошеннических действиях.
В дополнение к вышеперечисленному Web Antifraud обладает функцией проверки целостности и актуальности пользовательских сессий. В результате работы механизма детектируются попытки перехвата или подмены сеанса. Антифрод обладает защитой от повторения предыдущих запросов (replay-атак). Web Antifraud способен определять включённый режим инкогнито в браузерах и модификации стандартных интернет-обозревателей (антидетекты), а также оценивать доверенность среды (устройства, IP-адреса и другие признаки), из которой заходит пользователь.
Для повышения уровня безопасности антифрод-система дополнительно предлагает функцию 2FA (двухфакторной аутентификации). В случае подозрения на неправомерность доступа к аккаунту Web Antifraud может запросить дополнительный способ подтверждения с помощью тех инструментов, которыми владеет пользователь (например, посредством получения кода на электронный адрес, SMS-сообщения на мобильный телефон, использования аппаратного токена, отпечатка пальца и другой биометрии).
Для того чтобы можно было удобно и оперативно управлять аналитикой, в антифроде применяется веб-приложение «Web Antifraud Аналитика». Данный инструмент позволяет получать в режиме реального времени отчёты о работе системы, об инцидентах и активности пользователей, осуществлять поиск, получать по каждой учётной записи подробную аналитику с визуальными геометками на карте и найденными связанными аккаунтами.
Рисунок 4. Консоль управления аналитикой в Web Antifraud
Особенности интеграции системы
Работы по внедрению Web Antifraud в инфраструктуру не отличаются большой сложностью.
Для интеграции антифрод-системы с сайтом заказчика необходимо добавить JavaScript-код в критически важные страницы, которые следует контролировать, и подключить серверную часть (бэкенд) сайта к API разработчика. Для того чтобы при интеграции не возникало трудностей, клиенту предоставляется подробное описание работы API Web Antifraud. Также можно привлечь для консультаций службу технической поддержки.
Следует отметить, что антифрод-система собирает только данные из браузеров пользователей при посещении сайта заказчика и получает уведомления о выполнении определённых действий (например, входа в аккаунт, регистрации, перевода денежных средств). Таким образом, интеграция с сайтом получается вполне поверхностной и не требует изменения логики его работы.
Выводы
Системы класса «антифрод» являются крайне эффективными и действенными инструментами для борьбы с мошенническими действиями в цифровом пространстве. Тем не менее необходимо отметить, что в зависимости от специфики деятельности организации можно использовать либо один из двух типов антифрод-продуктов, либо оба сразу. Как мы выяснили, транзакционный антифрод лучше всего подойдёт заказчикам, которые выполняют различные финансовые операции, например платёжным шлюзам. Браузерный антифрод будет актуален для организаций, в которых критически важными являются манипуляции с личным кабинетом или другие подобные процедуры, выполняемые пользователями сервиса. Кроме того, возможны ситуации, когда можно использовать оба класса систем, например в банках, криптобиржах, брокерских системах, сервисах бонусных программ.
Также не стоит забывать о дополнительных критериях, по которым следует оценивать данные продукты, таких как конечная стоимость, функциональные возможности, система оценки уровня риска, защита конфиденциальных данных и т. д.
Продукт Web Antifraud относится к классу браузерных антифрод-систем и, судя по рассмотренным функциональным возможностям, вполне эффективно решает задачи борьбы с мошенничеством благодаря анализу устройств и поведения пользователей, выявлению вредоносных программ и проверке связи между аккаунтами. Также необходимо отметить информативный аналитический модуль и относительную простоту интеграции Web Antifraud в инфраструктуру заказчика.