Nasza walka z automatycznymi oszustwami
Jeśli sprzedajesz produkty cyfrowe na Shopify, jest spora szansa, że znasz już to uczucie: wyskakuje powiadomienie o zamówieniu, a zamiast zwykłego dreszczyku ekscytacji czujesz ścisk w żołądku. Czy to prawdziwy klient, czy kolejne oszukańcze zamówienie?
Przez większą część marca i kwietnia tego roku tak wyglądała nasza rzeczywistość w CraftedCharts. W najgorszym momencie odnotowaliśmy prawie 380 oszukańczych zamówień w ciągu jednego miesiąca, z czego 13 zakończyło się pełnym obciążeniem zwrotnym. Chcemy dokładnie opowiedzieć, co się stało, czego próbowaliśmy, co nie zadziałało, a co w końcu pomogło, na wypadek gdybyście właśnie zmagali się z tym samym problemem.
Jak zaczęły się oszukańcze zamówienia
Zaczęliśmy zauważać w naszym sklepie wyraźny wzorzec oszukańczych zamówień. Dane karty niezgodne z adresem rozliczeniowym. Zamówienia składane jedno po drugim, w odstępie zaledwie kilku minut. Klienci, którzy po „zakupie” nie otworzyli ani jednego e-maila. Problem narastał, aż zaczęliśmy otrzymywać po kilka oszukańczych zamówień dziennie.
Zrobiliśmy wszystko, co zaleciła pomoc techniczna Shopify. Filtry oszustw, wszystkie zalecane ustawienia, wszystko. Nic nie przyniosło wyraźnej poprawy. Zespół pomocy technicznej przyznał, że problem istnieje, obiecał zaangażować wewnętrzny zespół, a potem... zapadła cisza. Mijały kolejne dni, a nikt się z nami nie kontaktował.
Obejścia, które nie do końca się sprawdziły
Ponieważ Shopify nie oferowało żadnej pomocy, wypróbowaliśmy oczywiste rozwiązania:
-
Ręczna weryfikacja zamówień. Włączyliśmy tę opcję, żeby nic nie zostało wysłane (a w naszym przypadku niczego nie dostarczono) bez wcześniejszego osobistego sprawdzenia. To powstrzymało falę oszustw, ale oznaczało, że musieliśmy sprawdzać i zatwierdzać zamówienia każdego dnia, bez końca.
-
Blokowanie zamówień międzynarodowych. To częsta rekomendacja Shopify, ale w przypadku sklepu z produktami cyfrowymi jest praktycznie bezużyteczna. Dotyczy tylko wysyłki, a produktów cyfrowych się nie wysyła.
-
Oznaczenie każdego produktu jako „wymaga wysyłki”. To rozwiązanie często pojawia się na forach społeczności Shopify jako sposób na wymuszenie blokowania zamówień międzynarodowych również w przypadku produktów cyfrowych. Rozważaliśmy je, ale z niego zrezygnowaliśmy. Przy setkach produktów w naszej ofercie zmienianie oznaczeń wszystkich pozycji tylko po to, by załatać problem z oszustwami, który Shopify powinno rozwiązać, nie miało sensu. Nie powinno też być konieczne.
Szukaliśmy też pomocy poza Shopify. Skontaktowaliśmy się z kilkoma freelancerami na Upwork, żeby sprawdzić, czy ktoś z doświadczeniem w zapobieganiu oszustwom lub zabezpieczeniach Shopify będzie w stanie skonfigurować dla nas odpowiednie rozwiązanie. Żadna z tych osób nie potrafiła rozwiązać naszego problemu: odpowiedzi albo wskazywały na niezrozumienie specyfiki oszustw dotyczących produktów cyfrowych i ruchu botów kierowanego przez Tor/VPN, albo zawierały propozycje tych samych ogólnych ustawień, które już sami wypróbowaliśmy. Ta droga również okazała się ślepą uliczką.
Najbardziej frustrowało nas obserwowanie, jak Shopify akceptuje zamówienia, w których adres rozliczeniowy wyraźnie nie zgadzał się z danymi karty: błędny kod pocztowy, niepełne pola, informacje, które ewidentnie do siebie nie pasowały. Jeśli taka podstawowa niezgodność nie jest sygnałem ostrzegawczym dla systemu Shopify, to jest to poważny problem, za który nie powinien odpowiadać samodzielnie właściciel sklepu.
Decyzja o płatnej aplikacji do zapobiegania oszustwom
Naprawdę nie chcieliśmy dodawać kolejnego miesięcznego wydatku tylko po to, by rozwiązać problem, którym — naszym zdaniem — powinno zająć się Shopify. Ręczna weryfikacja zamówień nie była jednak rozwiązaniem na dłuższą metę, a liczba oszustw nie malała. W końcu zdecydowaliśmy się przetestować specjalne aplikacje do zapobiegania oszustwom. (Jeśli zastanawiacie się, ile łącznie kosztuje nas cały zestaw aplikacji Shopify, nie tylko te do zapobiegania oszustwom, szczegółowo opisaliśmy to w artykule Zalety i wady Shopify.)
Pierwsza próba: Blockify
Zainstalowaliśmy Blockify i skorzystaliśmy z funkcji blokowania krajów, początkowo blokując wszystkie kraje poza USA. Wyglądało to obiecująco — analityka pokazała, że w ciągu pierwszej godziny zablokowano kilku odwiedzających.
Mimo to pojawiło się kolejne zamówienie. Gdy przyjrzeliśmy się sprawie, okazało się, że odwiedzający użył Tora, aby ukryć i zmieniać swój adres IP. Oznaczało to, że samo blokowanie krajów i adresów IP nie wystarczy. Blockify zaproponowało nam przejście na plan dla przedsiębiorstw (około 125 USD rocznie), który obejmował wykrywanie Tora.
Rozpoczęliśmy okres próbny wyższego planu, ale trafiliśmy na zły moment: akurat wtedy, gdy potrzebowaliśmy pomocy, zespół wsparcia nie pracował w weekend. Co gorsza, odkryliśmy, że analityka odwiedzających w okresie próbnym nie pokazywała rzeczywistych danych, ponieważ korzystaliśmy z wersji próbnej. Nie mogliśmy więc sprawdzić, czy narzędzie działa, zanim poproszono nas o zobowiązanie się do opłacenia całego roku. Zrezygnowaliśmy, zamiast ryzykować płacenie za coś, czego skuteczności nie mogliśmy potwierdzić.
Druga próba: inna aplikacja
Przeszliśmy do innej aplikacji blokującej oszustwa, oferującej 7-dniowy bezpłatny okres próbny i kosztującej mniej niż plan dla przedsiębiorstw Blockify. Od pierwszego dnia pokazywała rzeczywiste, wiarygodne dane analityczne: faktycznie zablokowane kraje, faktycznie wykryte sieci VPN/proxy oraz rzeczywiste dzienniki odwiedzin, które mogliśmy sami sprawdzić. Ustawiliśmy blokowanie całego ruchu spoza USA, a następnie dodaliśmy Kanadę do wyjątków, bo chcieliśmy, żeby kanadyjscy klienci mogli dokonywać zakupów.
Ta aplikacja wykryła również coś, czego panel Blockify nigdy wyraźnie nam nie pokazał: różnicę między prawdziwymi użytkownikami ze Stanów Zjednoczonych korzystającymi z VPN a oszukańczym ruchem. Zaakceptowaliśmy ryzyko, że niewielka liczba prawdziwych klientów z USA korzystających z VPN może zostać zablokowana, i uznaliśmy, że to rozsądny kompromis.
Jedna zmiana, która naprawdę rozwiązała problem
Oto, co naszym zdaniem jest najważniejsze dla innych osób zmagających się z tym problemem: największą poprawę przyniosło nie blokowanie krajów ani wykrywanie VPN. Pomogła sugestia, o której nie wspomniał ani zespół pomocy technicznej Shopify, ani Blockify: wymaganie od klientów założenia konta, aby mogli dokończyć zakupy.
W przypadku sklepu z produktami cyfrowymi to i tak ma sens: konto klienta umożliwia późniejsze ponowne pobranie plików z historii zamówień. Dzięki temu klienci, którzy kupią na przykład nasz Biznesplan dla agencji nieruchomości, mogą w każdej chwili wrócić i ponownie pobrać plik, nie przeszukując starych e-maili. Okazało się jednak, że to ustawienie było też najskuteczniejszym sposobem na powstrzymanie oszustw spośród wszystkich wdrożonych przez nas rozwiązań. Wygląda na to, że automatyczny proces składający oszukańcze zamówienia nie był przygotowany na etap tworzenia konta. Po włączeniu tego ustawienia liczba oszukańczych zamówień niemal całkowicie spadła.
W połączeniu z blokowaniem botów i wykrywaniem VPN/proxy w nowej aplikacji zeszliśmy z kilku oszukańczych zamówień dziennie do kilku w ciągu całego tygodnia, a w końcu przez kilka kolejnych dni nie było ani jednego.
Nasze rady dla innych właścicieli sklepów na Shopify
Jeśli sprzedajecie produkty cyfrowe i zmagacie się z podobnym problemem, oto od czego sami byśmy zaczęli, bazując na własnym doświadczeniu:
-
Wymagajcie konta klienta przy finalizacji zakupu. Samo to może odfiltrować dużą część automatycznych oszustw, a nic nie kosztuje.
-
Dodajcie specjalną aplikację do blokowania oszustw/botów z rzeczywistą, weryfikowalną analityką. Nie ograniczajcie się do blokowania krajów — ważne jest również wykrywanie VPN, proxy i botów, ponieważ zaawansowany ruch związany z oszustwami omija proste blokady adresów IP i krajów.
-
Nie polegajcie na oznaczaniu „produktów cyfrowych jako wymagających wysyłki” jako głównym rozwiązaniu. To obejście luki, którą Shopify powinno załatać, a nie prawdziwe rozwiązanie na dłuższą metę, szczególnie przy dużej ofercie.
-
Zgłaszajcie problem zespołowi pomocy technicznej Shopify, ale nie czekajcie na ich reakcję. Nadal uważamy, że akceptowanie przez Shopify zamówień, w których dane adresu rozliczeniowego wyraźnie nie zgadzają się z danymi karty, to poważna luka po ich stronie. Zgłosiliśmy ją. Nie mamy pewności, czy zostanie wkrótce naprawiona, więc nie czekaliśmy z założonymi rękami.
Jak wygląda sytuacja teraz
Nadal monitorujemy sytuację, bo ruch związany z oszustwami potrafi znów do ciebie dotrzeć, gdy tylko stracisz czujność. Jednak połączenie wymogu posiadania konta z prawidłowo działającą aplikacją blokującą boty i ruch VPN pozwoliło nam odzyskać coś, czego nie mieliśmy w marcu i kwietniu: możliwość prowadzenia sklepu bez sprawdzania go kilka razy dziennie.
Będziemy aktualizować ten artykuł, jeśli coś się zmieni, ale na razie właśnie to rozwiązanie naprawdę się u nas sprawdziło.
