Onze strijd tegen geautomatiseerde fraude
Als je digitale producten verkoopt op Shopify, is de kans groot dat je dit gevoel al kent: er verschijnt een melding over een bestelling en in plaats van dat je er blij van wordt, slaat de schrik je om het hart. Is dit een echte klant, of weer een frauduleuze bestelling?
Dat was in maart en april van dit jaar het dagelijkse beeld bij CraftedCharts. Op het dieptepunt telden we in één maand bijna 380 frauduleuze bestellingen, waarvan er 13 uitmondden in volledige terugboekingen. We willen precies vertellen wat er is gebeurd, wat we hebben geprobeerd, wat niet werkte en wat uiteindelijk wel hielp, voor het geval jij nu hetzelfde meemaakt.
Hoe de frauduleuze bestellingen begonnen
We begonnen een patroon te zien van duidelijk frauduleuze bestellingen in onze webshop. Kaartgegevens die niet overeenkwamen met het factuuradres. Bestellingen die binnen enkele minuten na elkaar werden geplaatst. Klanten die na hun 'aankoop' geen enkele e-mail openden. Het escaleerde zo ver dat we meerdere frauduleuze bestellingen per dag kregen.
We deden alles wat Shopify Support voorstelde. Fraudecontrolefilters, alle aanbevolen instellingen, alles. Niets maakte echt verschil. De support erkende het probleem, zei dat ze een intern team erbij zouden betrekken en toen... bleef het stil. Dagen gingen voorbij zonder enige opvolging.
De oplossingen die niet echt werkten
Omdat we geen hulp van Shopify zelf kregen, probeerden we de voor de hand liggende oplossingen:
-
Bestellingen handmatig controleren. We schakelden deze optie in, zodat er niets werd verzonden (of in ons geval, niets werd geleverd) voordat we het persoonlijk hadden gecontroleerd. Dat stopte het bloeden, maar betekende ook dat we elke dag, voor onbepaalde tijd, bestellingen moesten controleren en goedkeuren.
-
Internationale bestellingen blokkeren. Dit is een veelgebruikte aanbeveling van Shopify, maar voor een webshop met digitale producten is het in feite nutteloos. Het geldt alleen voor verzending, en digitale goederen worden niet verzonden.
-
Elk product markeren als 'verzending vereist'. Deze truc komt steeds weer terug op de communityforums van Shopify als oplossing om internationale blokkades ook voor digitale producten te laten gelden. We hebben het overwogen, maar afgewezen. Met honderden producten in ons assortiment was alles opnieuw labelen om een fraudeprobleem op te lossen dat Shopify zelf zou moeten aanpakken geen logische oplossing. Dat zou ook niet nodig moeten zijn.
We zochten ook buiten Shopify naar hulp. We benaderden verschillende freelancers op Upwork om te kijken of iemand met ervaring in fraudepreventie of Shopify-beveiliging een goede oplossing voor ons kon opzetten. Niemand kon daadwerkelijk aanpakken wat we nodig hadden. De reacties lieten óf zien dat men het specifieke probleem van fraude met digitale producten en door Tor/VPN aangedreven botverkeer niet begreep, óf stelden dezelfde algemene instellingen voor die we zelf al hadden geprobeerd. Ook die route liep dus dood.
Wat ons eerlijk gezegd het meest frustreerde, was dat Shopify bestellingen bleef accepteren waarvan het factuuradres duidelijk niet overeenkwam met de kaart: een verkeerde postcode, onvolledige velden, gegevens die duidelijk niet klopten. Als zo'n eenvoudige afwijking geen waarschuwingssignaal is voor het systeem van Shopify zelf, is dat een serieus probleem. Een individuele winkeleigenaar zou dat niet zelf hoeven op te vangen.
Besluiten te betalen voor een app voor fraudepreventie
We wilden er eigenlijk geen extra maandelijkse kosten bij nemen om iets op te lossen waarvan we vonden dat Shopify dat zou moeten regelen. Maar bestellingen handmatig controleren was niet vol te houden en de fraude nam niet af. Dus zetten we ons eroverheen en begonnen we speciale apps voor fraudepreventie te testen. (Benieuwd naar de totale kosten van onze Shopify-apps, niet alleen voor fraudepreventie? We hebben alles uitgesplitst in ons artikel De voor- en nadelen van Shopify.)
Eerste poging: Blockify
We installeerden Blockify en gebruikten de functie voor het blokkeren van landen. In eerste instantie blokkeerden we elk land behalve de VS. Dat zag er veelbelovend uit: de analyses lieten zien dat er binnen het eerste uur een paar bezoekers waren geblokkeerd.
Toch kwam er een bestelling doorheen. Toen we dit onderzochten, bleek dat de bezoeker Tor had gebruikt om het IP-adres te verbergen en te wisselen. Eenvoudig blokkeren op land of IP-adres was dus niet voldoende. Blockify bood als oplossing een upgrade naar het Enterprise-abonnement aan (ongeveer $125 per jaar) voor Tor-detectie.
We begonnen een proefperiode van het hogere abonnement, maar de timing was ongelukkig: precies toen we hulp nodig hadden, was de support in het weekend niet beschikbaar. Erger nog, we ontdekten dat de bezoekersanalyses tijdens de proefperiode geen echte gegevens toonden, omdat we een proefabonnement hadden. We konden niet controleren of de tool werkte voordat ons werd gevraagd om een volledig jaar af te nemen. In plaats van het risico te lopen te betalen voor iets waarvan we de werking niet konden bevestigen, zegden we op.
Tweede poging: een andere app
We stapten over op een andere app voor fraudeblokkering, met een gratis proefperiode van 7 dagen en een lagere prijs dan het Enterprise-abonnement van Blockify. Deze app liet vanaf dag één echte, betrouwbare analyses zien: daadwerkelijk geblokkeerde landen, daadwerkelijke VPN-/proxy-detecties en echte bezoekerslogboeken die we zelf konden bekijken. We stelden de app in om al het verkeer van buiten de VS te blokkeren. Daarna gaven we Canada specifiek weer toegang, zodat Canadese klanten konden blijven kopen.
Deze app ontdekte ook iets wat het dashboard van Blockify ons nooit duidelijk liet zien: het verschil tussen legitieme bezoekers uit de VS die een VPN gebruikten en frauduleus verkeer. We accepteerden dat een klein aantal echte Amerikaanse klanten met een VPN mogelijk geblokkeerd zou worden en besloten dat die afweging het waard was.
De ene verandering die het probleem echt oploste
Dit is volgens ons het belangrijkste voor iedereen die hiermee te maken heeft: de grootste verbetering kwam niet door landen te blokkeren of VPN's te detecteren. Die kwam door een suggestie die noch Shopify Support, noch Blockify ooit had genoemd: klanten verplichten een account aan te maken om af te rekenen.
Voor een webshop met digitale producten is dat sowieso logisch: met een klantaccount kunnen kopers hun bestanden later opnieuw downloaden via hun bestelgeschiedenis. Zo kunnen klanten die iets kopen zoals ons ondernemingsplan voor vastgoed altijd terugkomen en hun bestand opnieuw ophalen, zonder oude e-mails te hoeven doorzoeken. Maar deze instelling bleek ook de effectiefste maatregel tegen fraude die we hebben ingevoerd. Welk geautomatiseerd proces de frauduleuze bestellingen ook plaatste, het was blijkbaar niet ingericht op een stap waarin een account moest worden aangemaakt. Nadat we deze instelling inschakelden, verdwenen de frauduleuze bestellingen vrijwel helemaal.
In combinatie met de nieuwe app, die bots blokkeert en VPN's/proxy's detecteert, gingen we van meerdere frauduleuze bestellingen per dag naar slechts een handjevol in een hele week en uiteindelijk naar meerdere dagen achter elkaar zonder ook maar één frauduleuze bestelling.
Wat we andere Shopify-winkeleigenaren zouden aanraden
Verkoop je digitale producten en heb je met hetzelfde probleem te maken? Dan zouden we, op basis van onze eigen ervaring, dit als eerste doen:
-
Verplicht klanten om een account aan te maken voordat ze afrekenen. Dit kan op zichzelf al een groot deel van geautomatiseerde fraude filteren en is gratis.
-
Voeg een speciale app toe die fraude en bots blokkeert en echte, controleerbare analyses biedt. Kies niet alleen voor het blokkeren van landen, maar ook specifiek voor detectie van VPN's, proxy's en bots, want geavanceerd fraudeverkeer omzeilt eenvoudige blokkades op basis van IP-adres of land.
-
Vertrouw er niet op dat je digitale producten markeert als producten waarvoor verzending vereist is. Het is een omweg om een tekortkoming op te vangen die Shopify zou moeten oplossen, geen echte oplossing voor de lange termijn, zeker niet bij een groot assortiment.
-
Blijf Shopify Support aan de bel trekken, maar wacht niet op hen. We vinden nog steeds dat Shopify een probleem heeft als het bestellingen accepteert waarbij het factuuradres en de kaartgegevens duidelijk niet overeenkomen. We hebben het gemeld, maar verwachten niet dat het snel wordt opgelost. Daarom hebben we er niet op gewacht.
Hoe het er nu voor staat
We houden de situatie nog steeds in de gaten, want frauduleus verkeer weet je altijd weer te vinden zodra je je waakzaamheid laat verslappen. Maar de combinatie van de accountverplichting en een goed werkende app die bots en VPN's blokkeert, heeft ons iets gegeven wat we in maart en april niet hadden: de mogelijkheid om onze webshop te runnen zonder die meerdere keren per dag te controleren.
We blijven dit artikel bijwerken als er iets verandert, maar voorlopig werkt deze aanpak voor ons.
