Nuestra batalla contra el fraude automatizado
Si vendes productos digitales en Shopify, es muy probable que ya conozcas la sensación: aparece una notificación de pedido y, en lugar de la emoción habitual, se te revuelve el estómago. ¿Es un cliente real o es otro pedido fraudulento?
Esa fue nuestra realidad en CraftedCharts durante la mayor parte de marzo y abril de este año. En el peor momento, rastreamos cerca de 380 pedidos fraudulentos en un solo mes, 13 de los cuales se convirtieron en devoluciones de cargo completas. Queremos guiarte por lo que sucedió exactamente, lo que intentamos, lo que no funcionó y lo que finalmente sí lo hizo, en caso de que estés pasando por lo mismo en este momento.
Cómo comenzaron los pedidos fraudulentos
Empezamos a notar un patrón de pedidos claramente fraudulentos que llegaban a nuestra tienda. Datos de tarjetas que no coincidían con la dirección de facturación. Pedidos realizados consecutivamente con minutos de diferencia. Clientes que nunca abrieron un solo correo electrónico después de "comprar". Se intensificó hasta el punto en que recibíamos varios pedidos fraudulentos al día.
Hicimos todo lo que sugirió el soporte de Shopify. Filtros de fraude, todas las configuraciones recomendadas, todo. Nada de eso marcó una diferencia real. El soporte reconoció el problema, dijo que involucrarían a un equipo interno y luego... silencio. Pasaron días sin seguimiento.
Las soluciones que realmente no funcionaron
Sin ayuda de Shopify, probamos las soluciones obvias:
-
Revisión manual de pedidos. Activamos esto para que nada se enviara (o, en nuestro caso, nada se entregara) sin que nosotros lo revisáramos personalmente primero. Detuvo la sangría, pero significaba revisar y aprobar pedidos todos los días, indefinidamente.
-
Bloqueo de pedidos internacionales. Esta es una recomendación común de Shopify, pero es esencialmente inútil para una tienda de productos digitales. Solo afecta el envío, y los productos digitales no se envían.
-
Marcar cada producto como "requiere envío". Este truco aparece constantemente en los foros de la comunidad de Shopify como una solución alternativa para forzar que el bloqueo internacional se aplique también a los productos digitales. Lo consideramos y lo rechazamos. Con cientos de productos en nuestro catálogo, volver a etiquetar todo solo para parchear un problema de fraude que Shopify debería estar resolviendo no tenía sentido, y no debería ser la respuesta.
También buscamos ayuda fuera de Shopify. Nos pusimos en contacto con varios trabajadores independientes en Upwork para ver si alguien con experiencia en prevención de fraude o seguridad de Shopify podía establecer una solución adecuada para nosotros. Ninguno de ellos pudo abordar realmente lo que necesitábamos; las respuestas no entendían el problema específico del fraude de productos digitales y el tráfico de bots impulsado por Tor/VPN, o proponían las mismas configuraciones genéricas que ya habíamos probado nosotros mismos. Ese camino también resultó ser un callejón sin salida.
Lo que más nos frustró, sinceramente, fue ver a Shopify aceptar pedidos donde la dirección de facturación obviamente no coincidía con la tarjeta: código postal incorrecto, campos incompletos, información que claramente no coincidía. Si ese desajuste básico no es una señal de alerta para el propio sistema de Shopify, eso es un problema real, y no uno que el propietario de una tienda individual debería tener que compensar por sí mismo.
Decidiendo pagar por una aplicación de prevención de fraude
Realmente no queríamos añadir otro gasto mensual solo para arreglar algo que parecía que debería ser trabajo de Shopify. Pero la revisión manual de pedidos no era sostenible, y el fraude no disminuía. Así que nos armamos de valor y empezamos a probar aplicaciones dedicadas a la prevención de fraude. (Si tienes curiosidad por saber cuánto nos cuesta toda nuestra pila de aplicaciones de Shopify en general, no solo la prevención de fraude, lo desglosamos todo en nuestro artículo Pros y Contras de Shopify).
Primer intento: Blockify
Instalamos Blockify y usamos su función de bloqueo por país, bloqueando inicialmente todos los países excepto EE. UU. Parecía prometedor, los análisis mostraron un par de visitantes bloqueados en la primera hora.
Luego, un pedido llegó de todos modos. Cuando investigamos, el visitante había usado Tor para enmascarar y rotar su dirección IP, lo que significaba que el simple bloqueo por país/IP no sería suficiente. La respuesta de Blockify fue vendernos su nivel empresarial (alrededor de $125 al año) para la detección de Tor.
Comenzamos una prueba del nivel superior, pero el momento fue malo, el soporte estuvo ausente durante el fin de semana justo cuando necesitábamos ayuda, y lo que es peor, nos dimos cuenta de que los análisis de visitantes de la prueba no mostraban datos reales, ya que estábamos en un nivel de prueba. No pudimos verificar si la herramienta funcionaba antes de que se nos pidiera que nos comprometiéramos por un año completo. Cancelamos en lugar de arriesgarnos a pagar por algo que no podíamos confirmar que fuera efectivo.
Segundo intento: Otra aplicación
Pasamos a otra aplicación de bloqueo de fraude, con una prueba gratuita de 7 días, a un precio más bajo que el plan empresarial de Blockify. Esta mostró análisis reales y confiables desde el primer día, países bloqueados reales, detecciones reales de VPN/proxy, registros de visitantes reales que podíamos inspeccionar nosotros mismos. La configuramos para bloquear todo el tráfico que no fuera de EE. UU., luego permitimos específicamente el tráfico de Canadá ya que queríamos que los clientes canadienses pudieran comprar.
Esta aplicación también detectó algo que el panel de Blockify nunca nos mostró claramente: visitantes legítimos de EE. UU. usando una VPN, versus tráfico fraudulento. Aceptamos que un pequeño número de clientes genuinos de EE. UU. con VPN podrían ser bloqueados, y decidimos que esa compensación valía la pena.
El único cambio que realmente lo arregló
Aquí está la parte que creemos que más importa para cualquiera que esté lidiando con esto: la mayor mejora no provino del bloqueo de países o la detección de VPN. Vino de una sugerencia que ni el soporte de Shopify ni Blockify habían mencionado jamás: requerir una cuenta de cliente para completar el proceso de compra.
Para una tienda de productos digitales, esto tiene sentido de todos modos: una cuenta de cliente permite a los compradores volver a descargar sus archivos más tarde desde el historial de pedidos. Es la misma razón por la que los clientes que compran algo como nuestro Plan de Negocio de Bienes Raíces siempre pueden volver a obtener su archivo sin tener que buscar en correos electrónicos antiguos. Pero resultó que esta configuración también fue el disuasivo de fraude más efectivo que implementamos. Cualquiera que fuera el proceso automatizado que realizaba los pedidos fraudulentos, aparentemente no estaba diseñado para manejar un paso de creación de cuenta. Después de activar esta configuración, los pedidos fraudulentos disminuyeron casi por completo.
Combinado con el bloqueo de bots de la nueva aplicación y la detección de VPN/proxy, pasamos de varios pedidos fraudulentos al día a un pequeño puñado en una semana entera, y finalmente, varios días consecutivos sin ninguno.
Lo que les diríamos a otros propietarios de tiendas Shopify
Si eres un vendedor de productos digitales y estás lidiando con lo mismo, esto es lo que haríamos primero, basándonos en nuestra propia experiencia:
-
Requiere una cuenta de cliente para finalizar la compra. Esto por sí solo puede filtrar una gran parte del fraude automatizado, y es gratuito.
-
Agrega una aplicación dedicada de bloqueo de fraude/bots con análisis reales y verificables, no solo bloqueo por país, sino detección específica de VPN y proxy/bots, ya que el tráfico de fraude sofisticado elude los simples bloqueos de IP o de país.
-
No confíes en "marcar los productos digitales como que requieren envío" como tu solución principal. Es una solución temporal para una laguna que Shopify debería estar cerrando, no una solución real a largo plazo, especialmente con un catálogo grande.
-
Presiona al soporte de Shopify, pero no los esperes. Seguimos creyendo que el hecho de que Shopify acepte pedidos con direcciones de facturación y tarjetas claramente no coincidentes es una verdadera laguna por su parte. Lo reportamos. No estamos seguros de que se solucione pronto, así que no nos quedamos esperando.
Dónde estamos ahora
Seguimos vigilando las cosas, porque el tráfico fraudulento tiene una forma de volver a encontrarte en el momento en que bajas la guardia. Pero la combinación del requisito de la cuenta más una aplicación de bloqueo de bots/VPN que funciona correctamente nos ha dado algo que no teníamos en marzo y abril: la capacidad de administrar nuestra tienda sin revisarla varias veces al día.
Seguiremos actualizando esto si algo cambia, pero por ahora, esta es la configuración que realmente nos ha funcionado.
