Как компания MasterCard Nudata проверяет онлайн-транзакции

С постоянным потоком клиентов, заходящих в магазины и проверяющих на торговых сайтах, как продавцы узнают, что клиент является законным или мошенническим? В мире электронной коммерции эмитенты кредитных карт предпринимают шаги от имени продавцов для проверки учетных данных покупателей в условиях угроз мошенничества и кражи личных данных.

Одним из шагов в последние годы стало внедрение чиповых карт, чтобы сделать обработку кредитных карт более безопасной. Но даже этого недостаточно, согласно исследованию «Состояние розничных платежей», проведенному Национальной федерацией розничной торговли и Forrester Research. Это связано с тем, что платежи в магазине стали более безопасными благодаря платежам с помощью чип-карт, и идентифицированные воры перешли в пространство онлайн-платежей, чтобы воспользоваться уязвимостями. Не удивительно, что из 55 процентов розничных сетей, опрошенных NRF и Forrester, мошенничество было их главной проблемой, связанной с платежами.

NuData Security, компания Mastercard, помогает продавцам выяснить, является ли пользователь онлайн-транзакции мошенническим или реальным. Подозрительные действия могут включать в себя неавторизованный пользователь, захвативший учетную запись, создающий фальшивый логин или стремящийся приобрести продукт через Интернет обманным путем. Мошенник, возможно, украл библиотеку идентификаторов пользователей и паролей, например, коллекцию учетных записей у продавца.

«Ритейлеры, продавцы и эмитенты сталкиваются с вопросом, как определить, входит ли настоящий пользователь в систему или кто-то выдает себя за этого пользователя, пытающегося совершить мошенничество», - сказал Дон Дункан, директор по развитию бизнеса NuData.

В процессе проверки NuData может определить, является ли устройство устройством iOS или Android и откуда пользователь подключается. После сбора телеметрии с устройства, такого как ПК или мобильный телефон, NuData затем синтезирует его и сообщает продавцам. Хотя продавцы не получают личную информацию, они получают бизнес-аналитику на уровне риска, который несет покупатель.

«То, что мы делаем, мы предоставляем ритейлерам и торговцам такую ​​наглядность в форме оценки риска, причем не только при входе в систему и создании учетной записи, но и во всех платежах», - сказал Дункан.

Эти данные включают в себя информацию об устройстве клиента, IP-адресе и подключении. Если эмитенты считают, что им нужно больше информации о пользователе, чтобы решить, является ли личность клиента законной, они могут запросить «повышение», сказал Дункан. «Этот продавец или продавец может определить в веб-приложении или мобильном приложении, как им следует взаимодействовать с этим пользователем в будущем», - сказал Дункан.

Как работает EMV 3DS

Когда клиенты совершают покупку, эмитенты кредитных карт могут использовать спецификацию EMV 3-D Secure (3DS) для проверки транзакции. EMV 3DS предоставляет пользователям протокол обмена сообщениями для проверки подлинности при совершении онлайн-покупки без физической карты, которая называется «карта отсутствует». Этот процесс включает в себя проверку подлинности покупателей в режиме реального времени, прежде чем транзакция проходит в точке продажи. В 2016 году EMVCo представила EMV 3-D Secure 2.0 (3DS 2.0), которую продавцы и эмитенты должны включить в Европе, начиная с апреля 2019 года. Протокол 3DS 2.0 позволяет эмитентам собирать до 150 точек данных для оценки транзакции по сравнению с 15 точками данных EMV 3DS используется.

Одно из преимуществ использования EMV 3DS состоит в том, чтобы избежать ложных отклонений, когда покупателям отказывают в покупках по ошибке, согласно отчету под названием «3-D Secure 2.0: ключевые аспекты для продавцов» от NuData и исследовательской фирмы Aite Group. И ложные отклонения приводят к тому, что покупатели уходят в другое место. 42% опрошенных сообщили, что из числа опрошенных Riskified, поставщика услуг по борьбе с мошенничеством в электронной торговле, покупатели полностью откажутся от своей корзины покупок или приобретут товар у другой компании после отклоненного платежа.

Процесс проверки включает телеметрию с использованием приложения, такого как NuDetect NuData. «Когда вы используете мобильное приложение, из приложения поступает телеметрия, которая может быть использована для подтверждения того, кто вы есть», - объяснил Дункан. «Когда вы заходите в магазин, я, возможно, не знаю вашего имени, но я узнаю, как вы идете, как разговариваете и как вы взаимодействуете».

Дункан продолжил: «Мы смотрим на это взаимодействие пользователя с устройством, и это взаимодействие дает нам возможность определить, действительно ли это тот пользователь или это может быть кто-то, выдающий себя за этого пользователя в форме автоматизации».

Протокол EMV 3DS помогает эмитентам добиться прозрачности в возможном мошенничестве с платежами. Кредит: NuData Security

Биометрия и поведенческая аналитика

Такие издатели, как NuData, предоставляют информацию о поведении продавцу или продавцу практически в реальном времени. С другой стороны, эмитент платежной карты использует EMV 3DS для проверки пользователей и определения необходимости дальнейшей проверки, пояснил Дункан. Если банк замечает, что что-то кажется другим, когда покупатели возвращаются, чтобы что-то купить, продавец запросит биометрический отпечаток пальца или какой-либо другой тип проверки.

Эксперты по безопасности могут также отслеживать частоту того, как пользователь вводит информацию, чтобы определить, пытается ли автоматизированная система выдать себя за пользователя. Это называется пассивной биометрией. Эмитенты также изучают поведенческую аналитику, используя такие показатели, как скорость серфинга и время, которое пользователь проводит на веб-странице.

«Мы возвращаем эту информацию торговцам или розничным торговцам, и затем они могут использовать ее в качестве средства для определения, особенно когда вы получаете платежи, есть ли вероятность того, что кто-то пытается совершить мошенничество или нет», - сказал Дункан.

Дункан привел пример того, как вы можете изучить, как водитель управляет автомобилем, чтобы узнать, действительно ли он управляет этим человеком. Он работает так же, как с покупками. Как часть этого процесса проверки, после того, как компания проверила пользователя, она может сделать процесс покупки меньшим количеством шагов, чтобы потребитель мог совершить покупку. «Чем больше я вас понимаю, я знаю, что вам нравится, я знаю, что вам не нравится, и в конечном итоге вы начнете делать этот процесс покупки очень эффективным», - сказал Дункан. «И это то, что мы пытаемся сделать онлайн».

Проводя некоторую предварительную проверку покупателей перед тем, как они совершают покупки, фактический опыт покупок может быть более плавным для потребителей, и они могут не получить запрос на ввод кода при оформлении покупки. по словам Дункана. Поскольку клиенты проходят проверку с помощью идентификатора своего устройства, браузера и IP-адреса, им будет требоваться меньше аутентификации в следующий раз, когда они вернутся на сайт покупок, и им не нужно будет запускать и получать свою кредитную карту для проверки транзакции.

В дальнейшем ключевая задача для продавцов заключается в том, чтобы сохранить опыт покупок легальным для законных покупателей и одновременно «расстроить мошенников».

«Потому что сейчас для многих продавцов и продавцов, - говорит Дункан, - они не могут отличить хорошего пользователя от плохого».