La nostra battaglia contro le frodi automatizzate
Se vendi prodotti digitali su Shopify, è molto probabile che tu conosca già questa sensazione: compare una notifica di nuovo ordine e, invece della solita piccola emozione, ti si gela lo stomaco. È un cliente reale o un altro ordine fraudolento?
Questa era la nostra realtà da CraftedCharts per gran parte di marzo e aprile di quest'anno. Nel momento peggiore, abbiamo registrato quasi 380 ordini fraudolenti in un solo mese, 13 dei quali si sono trasformati in storni completi. Vogliamo raccontarti esattamente cosa è successo, cosa abbiamo provato, cosa non ha funzionato e cosa ha funzionato alla fine, nel caso tu stia vivendo la stessa situazione proprio ora.
Come sono iniziati gli ordini fraudolenti
Abbiamo iniziato a notare uno schema di ordini chiaramente fraudolenti che arrivavano nel nostro negozio. Dati della carta che non corrispondevano all'indirizzo di fatturazione. Ordini effettuati a pochi minuti di distanza l'uno dall'altro. Clienti che non avevano mai aperto una singola email dopo aver effettuato l'acquisto. La situazione è peggiorata al punto che ricevevamo diversi ordini fraudolenti al giorno.
Abbiamo fatto tutto ciò che ci aveva suggerito l'assistenza di Shopify. Filtri antifrode, ogni impostazione consigliata, tutto quanto. Nulla ha fatto una vera differenza. L'assistenza ha riconosciuto il problema, ha detto che avrebbe coinvolto un team interno e poi... silenzio. Passavano i giorni senza alcun aggiornamento.
Le soluzioni alternative che non hanno funzionato davvero
Non ricevendo aiuto da Shopify, abbiamo provato le soluzioni più ovvie:
-
Revisione manuale degli ordini. L'abbiamo attivata in modo che nulla venisse spedito (o, nel nostro caso, consegnato) senza un nostro controllo personale. Ha fermato l'emorragia, ma significava controllare e approvare gli ordini ogni singolo giorno, a tempo indeterminato.
-
Blocco degli ordini internazionali. È una raccomandazione comune di Shopify, ma è sostanzialmente inutile per un negozio di prodotti digitali. Influisce solo sulle spedizioni e i prodotti digitali non vengono spediti.
-
Impostare ogni prodotto come "richiede spedizione". Questo trucco compare continuamente nei forum della community di Shopify come soluzione alternativa per fare in modo che il blocco internazionale si applichi anche ai prodotti digitali. L'abbiamo preso in considerazione e poi scartato. Con centinaia di prodotti nel catalogo, rietichettare tutto solo per correggere un problema di frodi che Shopify dovrebbe risolvere direttamente non aveva senso e non dovrebbe essere questa la risposta.
Abbiamo cercato aiuto anche al di fuori di Shopify. Abbiamo contattato diversi freelance su Upwork per capire se qualcuno con esperienza nella prevenzione delle frodi o nella sicurezza di Shopify potesse configurare una soluzione adeguata per noi. Nessuno è riuscito ad affrontare concretamente ciò di cui avevamo bisogno: le risposte non comprendevano il problema specifico delle frodi legate ai prodotti digitali e del traffico automatizzato proveniente da Tor/VPN, oppure proponevano le stesse impostazioni generiche che avevamo già provato da soli. Anche questa strada si è rivelata un vicolo cieco.
Ciò che ci frustrava di più, onestamente, era vedere Shopify accettare ordini in cui l'indirizzo di fatturazione non corrispondeva chiaramente alla carta: codice postale errato, campi incompleti, informazioni palesemente incoerenti. Se questa discrepanza di base non è un campanello d'allarme per il sistema di Shopify, è un problema serio e non qualcosa che il singolo proprietario di un negozio dovrebbe essere costretto a compensare da solo.
La decisione di pagare per un'app di prevenzione delle frodi
Non volevamo proprio aggiungere un'altra spesa mensile solo per risolvere qualcosa che ci sembrava dovesse essere compito di Shopify. Ma la revisione manuale degli ordini non era sostenibile e le frodi non rallentavano. Così ci siamo rassegnati e abbiamo iniziato a testare app dedicate alla prevenzione delle frodi. (Se ti interessa sapere quanto ci costa l'intero insieme di app Shopify, non solo quelle per la prevenzione delle frodi, abbiamo analizzato tutto nel nostro articolo Pro e contro di Shopify.)
Primo tentativo: Blockify
Abbiamo installato Blockify e utilizzato la sua funzione di blocco per paese, bloccando inizialmente ogni paese tranne gli Stati Uniti. Sembrava promettente: gli analytics mostravano un paio di visitatori bloccati già nella prima ora.
Poi è arrivato comunque un ordine. Analizzandolo, abbiamo scoperto che il visitatore aveva usato Tor per nascondere e cambiare il proprio indirizzo IP, il che significava che il semplice blocco per paese o IP non sarebbe bastato. La risposta di Blockify è stata proporci il passaggio al piano enterprise (circa 125 $ all'anno) per il rilevamento di Tor.
Abbiamo iniziato una prova del piano superiore, ma il momento era pessimo: l'assistenza non era disponibile per il fine settimana proprio quando avevamo bisogno di aiuto e, cosa peggiore, ci siamo resi conto che gli analytics dei visitatori durante la prova non mostravano dati reali, perché eravamo su un piano di prova. Non potevamo verificare concretamente se lo strumento funzionasse prima che ci venisse chiesto di impegnarci per un anno intero. Abbiamo annullato il servizio invece di rischiare di pagare per qualcosa di cui non potevamo confermare l'efficacia.
Secondo tentativo: un'altra app
Siamo passati a un'altra app per il blocco delle frodi, con una prova gratuita di 7 giorni e a un prezzo inferiore rispetto al piano enterprise di Blockify. Questa app mostrava analytics reali e affidabili fin dal primo giorno: paesi effettivamente bloccati, rilevamenti effettivi di VPN/proxy e registri dei visitatori che potevamo consultare personalmente. L'abbiamo configurata per bloccare tutto il traffico non statunitense, consentendo poi nuovamente l'accesso al Canada perché volevamo permettere ai clienti canadesi di acquistare.
Questa app ha inoltre rilevato qualcosa che la dashboard di Blockify non ci aveva mai mostrato chiaramente: la differenza tra visitatori statunitensi legittimi che usavano una VPN e traffico fraudolento. Abbiamo accettato che un piccolo numero di clienti statunitensi autentici connessi tramite VPN potesse essere bloccato e abbiamo deciso che il compromesso ne valeva la pena.
L'unica modifica che ha risolto davvero il problema
Questa è la parte che riteniamo più importante per chiunque stia affrontando una situazione simile: il miglioramento più significativo non è arrivato dal blocco per paese o dal rilevamento delle VPN. È arrivato da un suggerimento che né l'assistenza di Shopify né Blockify ci avevano mai dato: richiedere la creazione di un account cliente per completare il checkout.
Per un negozio di prodotti digitali, questa impostazione ha comunque senso: un account cliente permette agli acquirenti di scaricare nuovamente i propri file in seguito dalla cronologia degli ordini. È lo stesso motivo per cui i clienti che acquistano qualcosa come il nostro Business plan immobiliare possono sempre tornare a recuperare il file senza dover cercare tra le vecchie email. Ma si è scoperto che questa impostazione era anche il singolo deterrente antifrode più efficace che avessimo implementato. Qualunque processo automatizzato stesse effettuando gli ordini fraudolenti, evidentemente non era progettato per gestire il passaggio di creazione di un account. Dopo aver attivato questa impostazione, gli ordini fraudolenti sono diminuiti quasi del tutto.
In combinazione con il blocco dei bot e il rilevamento di VPN/proxy della nuova app, siamo passati da diversi ordini fraudolenti al giorno a pochi casi nell'arco di un'intera settimana e, alla fine, a diversi giorni consecutivi senza alcun ordine fraudolento.
Cosa diremmo agli altri proprietari di negozi Shopify
Se vendi prodotti digitali e stai affrontando lo stesso problema, ecco cosa faremmo per prima cosa, sulla base della nostra esperienza:
-
Richiedi un account cliente per completare il checkout. Questo da solo potrebbe filtrare una larga parte delle frodi automatizzate ed è gratuito.
-
Aggiungi un'app dedicata al blocco di frodi e bot con analytics reali e verificabili: non solo il blocco per paese, ma soprattutto il rilevamento di VPN, proxy e bot, perché il traffico fraudolento più sofisticato aggira i semplici blocchi per IP o paese.
-
Non fare affidamento sull'impostazione "imposta i prodotti digitali come soggetti a spedizione" come soluzione principale. È una soluzione alternativa a una lacuna che Shopify dovrebbe colmare, non una vera soluzione a lungo termine, soprattutto in presenza di un catalogo ampio.
-
Insisti con l'assistenza di Shopify, ma non aspettare che intervenga. Riteniamo ancora che il fatto che Shopify accetti ordini con indirizzi di fatturazione e carte chiaramente non corrispondenti rappresenti una vera lacuna da parte sua. L'abbiamo segnalata. Non siamo fiduciosi che verrà risolta a breve, quindi non siamo rimasti ad aspettare.
La situazione attuale
Continuiamo a tenere d'occhio la situazione, perché il traffico fraudolento tende a tornare non appena abbassi la guardia. Ma la combinazione tra l'obbligo di creare un account e un'app correttamente funzionante per il blocco di bot e VPN ci ha dato qualcosa che non avevamo a marzo e aprile: la possibilità di gestire il nostro negozio senza controllarlo più volte al giorno.
Continueremo ad aggiornare questo articolo se qualcosa cambierà, ma per ora questa è la configurazione che ha funzionato davvero per noi.
