Nasza walka z automatycznymi oszustwami
Jeśli sprzedajesz produkty cyfrowe na Shopify, istnieje spora szansa, że znasz już to uczucie: pojawia się powiadomienie o zamówieniu, a zamiast zwykłego dreszczyku emocji czujesz ścisk w żołądku. Czy to prawdziwy klient, czy kolejne oszukańcze zamówienie?
Taka była nasza rzeczywistość w CraftedCharts przez większą część marca i kwietnia tego roku. W najgorszym momencie odnotowaliśmy blisko 380 oszukańczych zamówień w ciągu jednego miesiąca, z czego 13 zakończyło się pełnym obciążeniem zwrotnym. Chcemy dokładnie opowiedzieć, co się wydarzyło, czego próbowaliśmy, co nie zadziałało i co ostatecznie pomogło — na wypadek gdybyś właśnie przechodził przez to samo.
Jak zaczęły się oszukańcze zamówienia
Zaczęliśmy zauważać schemat wyraźnie oszukańczych zamówień składanych w naszym sklepie. Dane karty niezgodne z adresem rozliczeniowym. Zamówienia składane jedno po drugim w odstępie zaledwie kilku minut. Klienci, którzy po dokonaniu zakupu nie otworzyli ani jednej wiadomości e-mail. Sytuacja eskalowała do tego stopnia, że otrzymywaliśmy kilka oszukańczych zamówień dziennie.
Zrobiliśmy wszystko, co zasugerowała pomoc techniczna Shopify. Filtry oszustw, wszystkie zalecane ustawienia — wszystko. Nic z tego nie przyniosło realnej różnicy. Dział pomocy potwierdził problem, powiedział, że przekaże go wewnętrznemu zespołowi, a potem… cisza. Mijały dni i nikt się z nami nie kontaktował.
Obejścia, które tak naprawdę nie działały
Ponieważ Shopify nie zapewniało nam pomocy, wypróbowaliśmy oczywiste rozwiązania:
-
Ręczna weryfikacja zamówień. Włączyliśmy ją, aby nic nie zostało wysłane (a w naszym przypadku — dostarczone), zanim osobiście tego nie sprawdzimy. Zatrzymało to problem, ale oznaczało konieczność sprawdzania i zatwierdzania zamówień każdego dnia, bez końca.
-
Blokowanie zamówień międzynarodowych. To częsta rekomendacja Shopify, ale w przypadku sklepu z produktami cyfrowymi jest zasadniczo bezużyteczna. Dotyczy wyłącznie wysyłki, a dóbr cyfrowych się nie wysyła.
-
Oznaczenie każdego produktu jako „wymaga wysyłki”. Ta sztuczka regularnie pojawia się na forach społeczności Shopify jako obejście pozwalające objąć blokadą międzynarodową również produkty cyfrowe. Rozważyliśmy ją i odrzuciliśmy. Przy setkach produktów w naszym katalogu zmiana oznaczeń wszystkiego tylko po to, aby załatać problem z oszustwami, który Shopify powinno rozwiązywać we własnym zakresie, nie miała sensu. Nie powinno to być konieczne.
Szukaliśmy też pomocy poza Shopify. Skontaktowaliśmy się z kilkoma freelancerami na Upwork, aby sprawdzić, czy ktoś z doświadczeniem w zapobieganiu oszustwom lub zabezpieczaniu Shopify może skonfigurować dla nas odpowiednie rozwiązanie. Żaden z nich nie był w stanie faktycznie rozwiązać naszego problemu. Odpowiedzi albo nie uwzględniały specyfiki oszustw związanych z produktami cyfrowymi i ruchu botów generowanego przez Tor/VPN, albo proponowały te same ogólne ustawienia, które już wcześniej sami wypróbowaliśmy. Ta droga również okazała się ślepym zaułkiem.
Najbardziej frustrowało nas szczerze mówiąc to, że Shopify akceptowało zamówienia, w których adres rozliczeniowy wyraźnie nie zgadzał się z kartą: błędny kod pocztowy, niekompletne pola, informacje, które ewidentnie do siebie nie pasowały. Jeśli taka podstawowa niezgodność nie jest sygnałem ostrzegawczym dla systemu Shopify, to stanowi poważny problem — i nie powinien być to problem, który pojedynczy właściciel sklepu musi samodzielnie kompensować.
Decyzja o opłaceniu aplikacji do zapobiegania oszustwom
Naprawdę nie chcieliśmy dodawać kolejnego miesięcznego wydatku tylko po to, aby naprawić coś, czym — naszym zdaniem — powinno zajmować się Shopify. Ręczna weryfikacja zamówień była jednak nie do utrzymania, a liczba oszustw nie malała. Dlatego przełamaliśmy się i zaczęliśmy testować dedykowane aplikacje do zapobiegania oszustwom. (Jeśli ciekawi Cię, ile kosztuje nas cały zestaw aplikacji Shopify, a nie tylko zapobieganie oszustwom, opisaliśmy wszystko szczegółowo w artykule Zalety i wady Shopify.)
Pierwsza próba: Blockify
Zainstalowaliśmy Blockify i skorzystaliśmy z funkcji blokowania krajów, początkowo blokując każdy kraj poza Stanami Zjednoczonymi. Wyglądało to obiecująco — analityka pokazała, że w ciągu pierwszej godziny zablokowano kilku odwiedzających.
Mimo to wpłynęło kolejne zamówienie. Gdy to przeanalizowaliśmy, okazało się, że odwiedzający używał Tora do maskowania i zmieniania adresu IP, więc proste blokowanie kraju/adresu IP nie wystarczało. Odpowiedzią Blockify była propozycja przejścia na pakiet enterprise (około 125 USD rocznie), obejmujący wykrywanie Tora.
Rozpoczęliśmy okres próbny wyższego pakietu, ale termin był niefortunny: dokładnie wtedy, gdy potrzebowaliśmy pomocy, dział wsparcia miał wolny weekend. Co gorsza, zorientowaliśmy się, że analityka odwiedzających w okresie próbnym nie pokazywała rzeczywistych danych, ponieważ korzystaliśmy z wersji testowej. Nie mogliśmy faktycznie sprawdzić, czy narzędzie działa, zanim poproszono nas o zobowiązanie się do pełnego roku. Zrezygnowaliśmy, zamiast ryzykować opłacanie czegoś, czego skuteczności nie mogliśmy potwierdzić.
Druga próba: inna aplikacja
Przeszliśmy do innej aplikacji blokującej oszustwa, oferowanej w ramach 7-dniowego bezpłatnego okresu próbnego i tańszej niż pakiet enterprise Blockify. Ta aplikacja od pierwszego dnia pokazywała rzeczywistą, wiarygodną analitykę: faktycznie zablokowane kraje, faktycznie wykryte sieci VPN/proxy oraz rzeczywiste dzienniki odwiedzin, które mogliśmy samodzielnie sprawdzać. Ustawiliśmy blokowanie całego ruchu spoza Stanów Zjednoczonych, a następnie ponownie zezwoliliśmy na ruch z Kanady, ponieważ chcieliśmy, aby kanadyjscy klienci mogli dokonywać zakupów.
Ta aplikacja wychwyciła również coś, czego panel Blockify nigdy wyraźnie nam nie pokazał: prawdziwych odwiedzających ze Stanów Zjednoczonych korzystających z VPN, w odróżnieniu od oszukańczego ruchu. Zaakceptowaliśmy możliwość zablokowania niewielkiej liczby prawdziwych klientów z USA używających VPN i uznaliśmy, że taki kompromis jest tego wart.
Jedna zmiana, która naprawdę rozwiązała problem
Oto część, która naszym zdaniem ma największe znaczenie dla każdego, kto zmaga się z podobnym problemem: największa poprawa nie wynikała z blokowania krajów ani wykrywania VPN. Była efektem sugestii, o której nigdy nie wspomniały ani pomoc techniczna Shopify, ani Blockify — wymagania utworzenia konta klienta w celu dokończenia płatności.
W przypadku sklepu z produktami cyfrowymi ma to zresztą sens: konto klienta pozwala kupującym ponownie pobierać pliki z historii zamówień. Z tego samego powodu klienci, którzy kupią na przykład nasz Biznesplan firmy z branży nieruchomości, zawsze mogą wrócić i ponownie pobrać plik bez przeszukiwania starych wiadomości e-mail. Okazało się jednak, że to ustawienie było również najskuteczniejszym środkiem odstraszającym od oszustw, jaki wdrożyliśmy. Niezależnie od tego, jaki zautomatyzowany proces składał oszukańcze zamówienia, najwyraźniej nie był przystosowany do obsługi etapu tworzenia konta. Po włączeniu tego ustawienia liczba oszukańczych zamówień niemal całkowicie spadła.
W połączeniu z blokowaniem botów oraz wykrywaniem VPN/proxy oferowanymi przez nową aplikację zeszliśmy z kilku oszukańczych zamówień dziennie do zaledwie kilku w ciągu całego tygodnia, a ostatecznie mieliśmy kilka kolejnych dni bez ani jednego takiego zamówienia.
Co powiedzielibyśmy innym właścicielom sklepów Shopify
Jeśli sprzedajesz produkty cyfrowe i zmagasz się z tym samym problemem, oto co zrobilibyśmy w pierwszej kolejności, opierając się na własnych doświadczeniach:
-
Wymagaj utworzenia konta klienta podczas składania zamówienia. To samo w sobie może odfiltrować dużą część zautomatyzowanych oszustw, a nic nie kosztuje.
-
Dodaj dedykowaną aplikację do blokowania oszustw/botów z rzeczywistą, możliwą do zweryfikowania analityką — nie tylko blokowaniem krajów, lecz przede wszystkim wykrywaniem VPN, proxy i botów, ponieważ zaawansowany ruch oszukańczy omija proste blokady adresów IP lub krajów.
-
Nie polegaj na oznaczaniu „produktów cyfrowych jako wymagających wysyłki” jako głównym rozwiązaniu. To obejście luki, którą Shopify powinno zamknąć, a nie prawdziwe rozwiązanie długoterminowe — szczególnie w przypadku dużego katalogu.
-
Naciskaj na pomoc techniczną Shopify, ale nie czekaj na jej działania. Nadal uważamy, że akceptowanie przez Shopify zamówień z wyraźnie niezgodnymi adresami rozliczeniowymi i danymi kart stanowi poważną lukę po stronie tej platformy. Zgłosiliśmy ten problem. Nie wierzymy, że zostanie wkrótce rozwiązany, dlatego nie czekaliśmy bezczynnie.
Jak wygląda sytuacja teraz
Nadal obserwujemy sytuację, ponieważ ruch oszukańczy ma to do siebie, że wraca, gdy tylko stracisz czujność. Jednak połączenie wymogu posiadania konta z prawidłowo działającą aplikacją blokującą boty/VPN dało nam coś, czego nie mieliśmy w marcu i kwietniu: możliwość prowadzenia sklepu bez sprawdzania go kilka razy dziennie.
Będziemy aktualizować ten artykuł, jeśli coś się zmieni, ale na razie to właśnie ta konfiguracja faktycznie się u nas sprawdziła.
