La nostra battaglia contro le frodi automatizzate
Se vendi prodotti digitali su Shopify, probabilmente conosci già quella sensazione: arriva una notifica di un ordine e, invece della solita piccola emozione, ti si chiude lo stomaco. È un cliente vero o l’ennesimo ordine fraudolento?
Questa è stata la nostra realtà da CraftedCharts per gran parte di marzo e aprile di quest’anno. Nel momento peggiore, abbiamo registrato quasi 380 ordini fraudolenti in un solo mese, 13 dei quali si sono trasformati in contestazioni di addebito vere e proprie. Vogliamo raccontarvi esattamente cos’è successo, cosa abbiamo provato, cosa non ha funzionato e cosa invece ha dato risultati, nel caso stiate affrontando la stessa situazione proprio ora.
Come sono iniziati gli ordini fraudolenti
Abbiamo cominciato a notare uno schema: nel nostro negozio arrivavano ordini palesemente fraudolenti. I dati della carta non corrispondevano all’indirizzo di fatturazione. Gli ordini venivano effettuati a raffica, a pochi minuti di distanza l’uno dall’altro. I clienti non aprivano mai nemmeno una singola email dopo l’«acquisto». La situazione è peggiorata, fino a farci ricevere più ordini fraudolenti al giorno.
Abbiamo fatto tutto quello che ci aveva suggerito l’assistenza Shopify: filtri antifrode, tutte le impostazioni consigliate, tutto. Niente ha fatto davvero la differenza. L’assistenza ha riconosciuto il problema, ha detto che avrebbe coinvolto un team interno e poi... silenzio. Sono passati giorni senza alcun aggiornamento.
Le soluzioni provvisorie che non hanno funzionato davvero
Non ricevendo aiuto da Shopify, abbiamo provato le soluzioni più ovvie:
-
Revisione manuale degli ordini. L’abbiamo attivata per evitare che qualcosa venisse spedito (o, nel nostro caso, consegnato) senza averlo controllato personalmente. Ha fermato l’emorragia, ma significava dover controllare e approvare gli ordini ogni singolo giorno, senza una scadenza.
-
Blocco degli ordini internazionali. È una raccomandazione comune di Shopify, ma per un negozio di prodotti digitali è praticamente inutile. Incide solo sulle spedizioni, e i prodotti digitali non vengono spediti.
-
Impostare ogni prodotto come «richiede la spedizione». Questo stratagemma viene suggerito di continuo nei forum della community di Shopify come soluzione per estendere il blocco degli ordini internazionali anche ai prodotti digitali. L’abbiamo preso in considerazione, ma poi scartato. Nel nostro catalogo ci sono centinaia di prodotti: rietichettarli tutti solo per aggirare un problema di frodi che Shopify stessa dovrebbe risolvere non aveva senso, e non avrebbe dovuto essere la soluzione.
Abbiamo cercato aiuto anche al di fuori di Shopify. Abbiamo contattato diversi freelance su Upwork per capire se qualcuno con esperienza nella prevenzione delle frodi o nella sicurezza di Shopify potesse configurare una soluzione adeguata. Nessuno è riuscito a risolvere il problema di cui avevamo bisogno: le risposte o non coglievano le specificità delle frodi legate ai prodotti digitali e del traffico bot instradato tramite Tor/VPN, oppure proponevano le stesse impostazioni generiche che avevamo già provato. Anche questa strada si è rivelata un vicolo cieco.
La cosa che ci ha frustrato di più, a dire il vero, è stato vedere Shopify accettare ordini in cui l’indirizzo di fatturazione chiaramente non corrispondeva ai dati della carta: CAP errato, campi incompleti, informazioni palesemente incoerenti. Se questa discrepanza basilare non è un campanello d’allarme per il sistema di Shopify stessa, allora c’è un problema serio, e non dovrebbe spettare al singolo proprietario di un negozio porvi rimedio da solo.
La decisione di pagare per un’app di prevenzione delle frodi
Non volevamo proprio aggiungere un’altra spesa mensile solo per risolvere qualcosa che ci sembrava dovesse essere compito di Shopify. Ma la revisione manuale degli ordini non era sostenibile e le frodi non diminuivano. Così ci siamo rassegnati e abbiamo iniziato a provare app specifiche per la prevenzione delle frodi. (Se vi interessa sapere quanto spendiamo in totale per tutte le app del nostro stack Shopify, non solo per la prevenzione delle frodi, abbiamo analizzato tutto nel nostro articolo Pro e contro di Shopify.)
Primo tentativo: Blockify
Abbiamo installato Blockify e usato la funzione di blocco per Paese, bloccando inizialmente tutti i Paesi tranne gli Stati Uniti. Sembrava promettente: le statistiche mostravano che un paio di visitatori erano stati bloccati già nella prima ora.
Poi è arrivato comunque un ordine. Approfondendo, abbiamo scoperto che il visitatore aveva usato Tor per mascherare e cambiare il proprio indirizzo IP: il semplice blocco per Paese o IP non sarebbe bastato. La soluzione proposta da Blockify è stata passare al piano Enterprise (circa 125 $ all’anno) per rilevare l’uso di Tor.
Abbiamo avviato una prova del piano superiore, ma il momento non era dei migliori: l’assistenza non era disponibile per il fine settimana proprio quando avevamo bisogno di aiuto. E, peggio ancora, ci siamo accorti che le statistiche sui visitatori della versione di prova non mostravano dati reali, dato che eravamo su un piano di prova. Non potevamo verificare se lo strumento funzionasse davvero prima che ci chiedessero di impegnarci per un anno intero. Abbiamo annullato la prova, invece di rischiare di pagare per qualcosa di cui non potevamo confermare l’efficacia.
Secondo tentativo: un’altra app
Siamo passati a un’altra app per bloccare le frodi, con una prova gratuita di 7 giorni e un prezzo inferiore rispetto al piano Enterprise di Blockify. Questa app ha mostrato fin dal primo giorno statistiche reali e affidabili: Paesi effettivamente bloccati, VPN/proxy effettivamente rilevati e registri dei visitatori che potevamo consultare direttamente. L’abbiamo configurata per bloccare tutto il traffico non statunitense, consentendo poi specificamente l’accesso al Canada, perché volevamo che i clienti canadesi potessero acquistare.
Questa app ha anche rilevato una distinzione che la dashboard di Blockify non ci aveva mai mostrato chiaramente: quella tra i visitatori legittimi dagli Stati Uniti che usavano una VPN e il traffico fraudolento. Abbiamo accettato che un piccolo numero di veri clienti statunitensi con una VPN potesse essere bloccato e abbiamo deciso che il compromesso ne valeva la pena.
L’unica modifica che ha davvero risolto il problema
Ecco il punto che riteniamo più importante per chiunque stia affrontando una situazione simile: il miglioramento più significativo non è arrivato dal blocco per Paese o dal rilevamento delle VPN. È nato da un suggerimento che non ci era mai stato dato né dall’assistenza Shopify né da Blockify: richiedere ai clienti di creare un account per completare il checkout.
Per un negozio di prodotti digitali, ha senso anche a prescindere: con un account, i clienti possono scaricare di nuovo i propri file in un secondo momento dalla cronologia degli ordini. Per questo chi acquista, per esempio, il nostro piano aziendale immobiliare può sempre tornare a scaricare il file senza doverlo cercare tra le vecchie email. Ma abbiamo scoperto che questa impostazione era anche il deterrente antifrode più efficace che avessimo implementato. A quanto pare, qualunque processo automatizzato stesse effettuando gli ordini fraudolenti non era in grado di gestire la fase di creazione dell’account. Dopo aver attivato questa impostazione, gli ordini fraudolenti sono quasi del tutto scomparsi.
Grazie anche al blocco dei bot e al rilevamento di VPN/proxy della nuova app, siamo passati da più ordini fraudolenti al giorno a pochi casi nell’arco di un’intera settimana e, alla fine, a diversi giorni consecutivi senza alcun ordine fraudolento.
Cosa consiglieremmo ad altri proprietari di negozi Shopify
Se vendete prodotti digitali e vi trovate nella stessa situazione, ecco da dove partiremmo, dopo averla vissuta in prima persona:
-
Richiedete ai clienti di creare un account per completare il checkout. Già questo potrebbe filtrare una buona parte delle frodi automatizzate, ed è gratuito.
-
Installate un’app specifica per il blocco delle frodi e dei bot con statistiche reali e verificabili. Non basta bloccare per Paese: servono soprattutto il rilevamento di VPN, proxy e bot, perché il traffico fraudolento sofisticato aggira i semplici blocchi per IP o Paese.
-
Non affidatevi all’impostazione «i prodotti digitali richiedono la spedizione» come soluzione principale. È un ripiego per colmare una lacuna che Shopify dovrebbe risolvere, non una vera soluzione a lungo termine, soprattutto se avete un catalogo ampio.
-
Insistete con l’assistenza Shopify, ma non aspettatela. Continuiamo a credere che accettare ordini con indirizzi di fatturazione e dati delle carte palesemente discordanti sia una vera lacuna da parte di Shopify. L’abbiamo segnalata, ma non siamo fiduciosi che verrà risolta a breve; quindi non siamo rimasti con le mani in mano.
La situazione attuale
Continuiamo a tenere d’occhio la situazione, perché il traffico fraudolento tende a tornare appena abbassi la guardia. Ma la combinazione tra l’obbligo di creare un account e un’app per bloccare bot e VPN che funziona davvero ci ha dato qualcosa che a marzo e aprile non avevamo: la possibilità di gestire il nostro negozio senza controllarlo più volte al giorno.
Continueremo ad aggiornare questo articolo se qualcosa cambia, ma per ora questa è la configurazione che ha funzionato davvero per noi.
