Ten artykuł opisuje rodzaje oszustw, z którymi mierzą się sklepy internetowe, jak rozpoznać i zapobiec każdemu z nich oraz jak reagować, gdy do oszustwa dojdzie.
Oszustwo płatnicze to nie kwestia „czy”, ale „kiedy”. Większość sklepów internetowych doświadcza próby oszustwa już w pierwszym roku. Dobra wiadomość: ryzyko możesz radykalnie zmniejszyć dzięki weryfikacji, monitorowaniu i mądrym zasadom.
Trzy najczęstsze rodzaje oszustw płatniczych wymierzonych w sklepy internetowe
Obciążenia zwrotne (chargebacki)
Chargeback ma miejsce, gdy klient twierdzi, że nie autoryzował transakcji, i prosi firmę kartową lub bank o cofnięcie obciążenia. Klient dostaje pieniądze z powrotem, Ty tracisz produkt i płatność, a do tego płacisz opłatę za chargeback (zwykle 15-100 USD). Kilka chargebacków to w e-commerce normalne, ale zbyt wiele (zwykle 1% wolumenu transakcji lub więcej) może skutkować zamknięciem Twojego konta przez operatora płatności.
Chargebacki dzielą się na dwie kategorie: uzasadnione (konto klienta rzeczywiście zostało zhakowane albo produkt nigdy nie dotarł) i fałszywe (klient otrzymał produkt, ale twierdzi nieprawdziwie, że nie). Nie zapobiegniesz wszystkim chargebackom, ale możesz bronić się przed fałszywymi, prowadząc jasną dokumentację wysyłki, potwierdzenia dostawy i komunikacji z klientem.
Transakcje skradzioną kartą
Przestępca używa skradzionego numeru karty kredytowej do zakupu w Twoim sklepie. Może kupować hurtowo albo składać wiele małych zamówień, aby uniknąć wykrycia. Posiadacz karty w końcu zauważa nieautoryzowane obciążenia na wyciągu, wszczyna chargeback, a stratę ponosisz Ty. Wskaźnik chargebacków gwałtownie rośnie, a jeśli przekroczy 1% miesięcznego wolumenu, operator płatności może cofnąć Twoje konto.
Przejęcie konta i „przyjazne oszustwo”
Przestępca uzyskuje dostęp do konta prawdziwego klienta (przez phishing, powtarzanie haseł lub wycieki danych) i używa zapisanych danych płatniczych do nieautoryzowanych zakupów. Klient zauważa obciążenie, twierdzi, że go nie autoryzował, wszczyna chargeback, a Ty tracisz pieniądze podwójnie: raz na rzecz oszusta, a raz przez opłatę za chargeback. Nazywa się to czasem „przyjaznym oszustwem”, bo transakcja z początku wygląda wiarygodnie.
Jak rozpoznać oszustwo, zanim zacznie kosztować
Zwracaj uwagę na wzorce zamówień wysokiego ryzyka
Pewne wzorce wskazują na duże prawdopodobieństwo oszustwa. Zamówienia łączące kilka takich sygnałów ostrzegawczych warto sprawdzić przed wysyłką:
- Duże ilości lub wysoka wartość zamówienia od nowego klienta bez historii zakupów
- Adres rozliczeniowy i adres dostawy w różnych krajach
- Wiele zamówień tą samą kartą, ale na różne imiona i nazwiska
- Zamówienia składane o nietypowych porach (poza typowym czasem ruchu)
- Prośby o ekspresową dostawę z dostarczeniem w nocy lub następnego dnia
- Całkowicie różne adresy dostawy i rozliczeniowy (niezgodność adresów)
- Wiele zamówień na ten sam adres dostawy w krótkim czasie
- Nieprawidłowe lub niespójne dane klienta (format imienia i nazwiska, niezgodności w adresie e-mail)
Żaden pojedynczy sygnał nie oznacza na pewno oszustwa, ale ich połączenie uzasadnia wstrzymanie zamówienia. Skontaktuj się z klientem, aby zweryfikować zamówienie przed realizacją. Prawdziwi klienci potwierdzą. Oszuści często porzucają zamówienia, gdy poproszono ich o weryfikację.
Monitoruj nagłe skoki chargebacków
Operator płatności wysyła powiadomienie przy każdym chargebacku. Śledź je regularnie. Nagły skok chargebacków (nawet 3-5 w tydzień) może oznaczać, że Twój sklep stał się celem albo że dane dostępowe do konta zostały przejęte. Zbadaj zamówienia powiązane z chargebackami, aby znaleźć wzorce: czy to ten sam produkt? Ten sam region? Ta sama metoda płatności? Zrozumienie wzorca pomaga zablokować podobne oszustwo, zanim się powtórzy.
Narzędzia zapobiegania oszustwom i metody weryfikacji
System weryfikacji adresu (AVS)
AVS sprawdza, czy adres rozliczeniowy wpisany przez klienta zgadza się z adresem, który firma kartowa ma w systemie. Większość operatorów płatności uruchamia AVS automatycznie przy każdej transakcji. Niezgodność adresu nie zawsze oznacza oszustwo (ludzie się przeprowadzają, używają skrytek pocztowych albo wpisują adresy niespójnie), ale to sygnał do sprawdzenia. Jeśli dostajesz wiele zamówień z niezgodnością AVS, możesz odrzucać transakcje, które nie przechodzą tej kontroli, choć odrzucisz też część prawdziwych klientów.
Weryfikacja CVV
CVV (Card Verification Value) to trzy- lub czterocyfrowy kod bezpieczeństwa z tyłu karty. Wymaganie CVV przy finalizacji zamówienia potwierdza, że klient ma kartę w ręku (albo jej zdjęcie), i zmniejsza ryzyko oszustw z samym skradzionym numerem karty. Wszyscy najwięksi operatorzy płatności wymagają weryfikacji CVV jako standardu.
Uwierzytelnianie 3D Secure (3DS)
3D Secure dodaje dodatkowy krok do finalizacji zamówienia: po wpisaniu danych płatniczych klient jest przekierowywany do swojego banku, aby potwierdzić tożsamość (zwykle hasłem lub jednorazowym kodem). Zmniejsza to odpowiedzialność sklepu za oszustwa i chargebacki, przenosząc ją na bank posiadacza karty. Wielu operatorów płatności stosuje teraz 3DS domyślnie dla niektórych transakcji lub regionów. Nawet jeśli wydłuża to finalizację o kilka sekund, ochrona przed oszustwami jest warta tej drobnej niedogodności.
Usługi wykrywania oszustw
Wiele usług wykrywania oszustw wykorzystuje uczenie maszynowe do analizy wzorców transakcji i oznaczania podejrzanych zamówień w czasie rzeczywistym. Takie usługi kosztują (zwykle 500-2000 USD lub więcej miesięcznie dla rosnącego sklepu), ale jeśli dostajesz setki zamówień miesięcznie, koszt chargebacków często przewyższa koszt wykrywania oszustw. Sklepy WEMASY mają dostęp do podstawowego monitoringu oszustw przez swojego operatora płatności i mogą zintegrować dodatkowe usługi wykrywania oszustw, jeśli sklep tego potrzebuje.
Strategie zapobiegania, które działają
Wymagaj weryfikacji telefonicznej przy zamówieniach wysokiego ryzyka
Zanim wyślesz zamówienie z kilkoma sygnałami oszustwa (duża kwota, nowy klient, niezgodność adresów), zadzwoń do klienta, aby potwierdzić zamówienie. Prawdziwi klienci się tego spodziewają i chętnie potwierdzą. Oszuści rzadko odbierają, a jeśli już, często przyznają, że nie rozpoznają zamówienia, gdy zapytać wprost.
Korzystaj z potwierdzenia dostawy i śledzenia
Zawsze wysyłaj przesyłki przez przewoźnika, który zapewnia śledzenie i potwierdzenie dostawy. Gdy klient wszczyna chargeback, twierdząc, że nie otrzymał produktu, możesz udowodnić dostawę, przekazując operatorowi płatności numer przesyłki i podpis przy odbiorze. To Twoja najsilniejsza obrona przed chargebackami. Nigdy nie wysyłaj bez śledzenia, nawet jeśli klient o to prosi.
Prowadź jasną dokumentację komunikacji
Jeśli klient pisze z pytaniami przed złożeniem zamówienia lub po nim, zachowaj te wiadomości. Jeśli później twierdzi, że nie autoryzował transakcji, te wiadomości (w których potwierdzał zamówienie, pytał o rozmiar lub śledził dostawę) dowodzą, że transakcja była autoryzowana. Dokumentuj wszystko w systemie obsługi klienta.
Ustaw ograniczenia wysyłki i limity
Możesz zmniejszyć ekspozycję na oszustwa, ograniczając kwotę, jaką nowy klient może wydać w pierwszym zamówieniu. Na przykład pozwól nowym klientom wydać do 200 USD, ale wymagaj ręcznej weryfikacji zamówień powyżej tego progu. Podobnie ogranicz wysyłkę do adresów w regionach wysokiego ryzyka (krajach ze znanymi grupami oszustów) albo na adresy znacznie różniące się od rozliczeniowego. Takie limity nieco spowalniają prawdziwych klientów, ale też radykalnie zmniejszają straty z oszustw.
Co zrobić, gdy dostaniesz chargeback
Działaj natychmiast
Operatorzy płatności zwykle dają 10-30 dni na odpowiedź na chargeback. Zacznij zbierać dowody od razu. Pierwszy krok to pobranie pełnego zapisu transakcji: szczegółów zamówienia, danych płatności, adresów rozliczeniowego i dostawy, adresu e-mail klienta oraz całej komunikacji z klientem. Jeśli zamówienie zostało wysłane, pobierz od przewoźnika numer przesyłki i potwierdzenie dostawy.
Ustal, czy chargeback jest uzasadniony, czy fałszywy
Przeczytaj kod przyczyny podany przez operatora. Typowe kody to „klient kwestionuje transakcję” (niejasny), „produkt nie został odebrany” (produkt fizyczny), „transakcja bez obecności karty” (klient twierdzi, że jej nie autoryzował) lub „zduplikowana transakcja” (klient twierdzi, że obciążono go dwa razy). Kod przyczyny mówi, co twierdził posiadacz karty, i kształtuje Twoją odpowiedź.
Zbierz dowody
Operator płatności poprosi o dowód, że transakcja była autoryzowana, a produkt dostarczony. Zbierz:
- Dowód autoryzacji: pierwotny kod autoryzacji od operatora płatności, potwierdzenie, że weryfikacja CVV przeszła, dowód uwierzytelnienia 3DS albo kopie komunikacji z klientem potwierdzającej zamówienie
- Dowód dostawy: informacje o wysyłce i śledzeniu pokazujące, że produkt dostarczono na adres podany przez klienta, z podpisem, jeśli jest dostępny
- Dowód komunikacji z klientem: wszelkie e-maile, wiadomości lub zgłoszenia, w których klient potwierdził zamówienie albo nie kwestionował go aż do chargebacku
Złóż odpowiedź na chargeback
Zaloguj się na konto u operatora płatności i prześlij dowody w odpowiedzi na chargeback. Pisz jasno i konkretnie. Nie wrzucaj samych plików, dołącz pisemne wyjaśnienie, co dowodzi każdy z nich. Na przykład: „Śledzenie przesyłki pokazuje potwierdzenie dostawy na adres podany przy finalizacji zamówienia w dniu [data].” Operator przekaże to bankowi wystawcy do rozpatrzenia.
Wiedz, kiedy zaakceptować stratę
Jeśli chargeback jest uzasadniony (klient naprawdę nie otrzymał produktu albo jego konto zostało przejęte bez Twojej winy), możesz nie wygrać sporu. Przyjmij opłatę za chargeback jako koszt prowadzenia działalności, zwróć pieniądze klientowi, jeśli relacja jest dla Ciebie wartościowa, i idź dalej. Walka o chargeback, który przegrasz, to strata czasu i szkoda dla relacji z klientami. Oszczędzaj siły na walkę z fałszywymi chargebackami, w których masz solidne dowody.
Jak WEMASY chroni Twój sklep
System e-commerce WEMASY integruje się z głównymi operatorami płatności i zawiera wbudowane zabezpieczenia: bezpieczne strony płatności zgodne ze standardami PCI, weryfikację CVV przy każdej transakcji oraz narzędzia monitorowania oszustw oznaczające zamówienia wysokiego ryzyka. Sklep WEMASY prowadzi też szczegółowe zapisy wszystkich transakcji, adresów klientów i informacji o dostawie. To wszystko, czego potrzebujesz, aby bronić się przed chargebackami.
W złożonych scenariuszach oszustw lub gdy rośnie Twój wskaźnik chargebacków, zespół wsparcia WEMASY pomoże przejrzeć wzorce i zaleci dodatkowe zabezpieczenia. Zobacz, co zawiera Twój pakiet.
Najczęściej zadawane pytania
Co zrobić, jeśli klient twierdzi, że nie otrzymał zamówionego produktu?
Najpierw sprawdź dokumentację wysyłki. Jeśli śledzenie pokazuje, że paczka została dostarczona, to Twoja główna obrona przed chargebackiem. Wyślij klientowi wiadomość z linkiem do śledzenia i poproś, aby zapytał w firmie kurierskiej lub u sąsiadów. Jeśli naprawdę jej nie dostał, a Ty masz dowód dostawy, masz dowody na wygranie sporu o chargeback. Jeśli paczka nigdy nie została dostarczona, natychmiast zwróć klientowi pieniądze i złóż reklamację u przewoźnika. Przewoźnik odpowiada za zagubione przesyłki i powinien zwrócić koszt wysyłki.
Skąd wiem, czy mój sklep został naruszony?
Zwróć uwagę na takie sygnały: nagły wzrost chargebacków (więcej niż 2-3 w tygodniu), wiele zamówień z tego samego adresu IP lub domeny e-mail, zamówienia z nietypowymi wzorcami (wszystkie do jednego regionu, wszystkie ten sam produkt, wszystkie z ekspresową dostawą) albo skok nieudanych prób płatności. Jeśli zauważysz którykolwiek z nich, od razu zmień hasło administratora, przejrzyj logi dostępu użytkowników i skontaktuj się z operatorem płatności, aby zgłosić podejrzenie oszustwa. Operator może oznaczyć podejrzaną aktywność na Twoim koncie i pomóc ustalić jej źródło.
Ile kosztuje chargeback?
Chargeback zwykle kosztuje trzy rzeczy: produkt lub usługę, którą dostarczono (przepadły), kwotę płatności (cofniętą i zwróconą klientowi) oraz opłatę za chargeback (zwykle 15-100 USD, zależnie od operatora płatności). Przy zamówieniu za 100 USD opłata za chargeback w wysokości 25 USD oznacza łączną stratę 125 USD. Wiele chargebacków pogarsza też status konta u operatora płatności, a zbyt wiele może skutkować jego zamknięciem. Dlatego zapobieganie jest kluczowe.
Czy można odmówić wysyłki do niektórych krajów, aby zmniejszyć ryzyko oszustw?
Tak, w pewnych granicach. Możesz ograniczyć wysyłkę do regionów geograficznych, jeśli masz uzasadnione obawy o oszustwa. Blokowanie całych krajów na podstawie założeń może jednak wykluczyć prawdziwych klientów i zaszkodzić przychodom. Lepsze podejście to wymaganie dodatkowej weryfikacji (jak 3D Secure lub ręczna kontrola) dla zamówień do regionów wyższego ryzyka zamiast blokowania ich całkowicie. Dzięki temu obsłużysz więcej klientów, nadal zarządzając ryzykiem oszustw.
Czym różni się chargeback od zwrotu pieniędzy?
Zwrot pieniędzy to sytuacja, gdy Ty (właściciel sklepu) oddajesz klientowi pieniądze. Zachowujesz część marży lub zmniejszasz stratę, a klient jest zadowolony. Chargeback to sytuacja, gdy klient pomija Ciebie i prosi bank o cofnięcie obciążenia. Tracisz produkt, pełną płatność i opłatę, a Twój wskaźnik chargebacków rośnie. Zawsze proponuj zwrot, zanim klient dojdzie do wszczęcia chargebacku. Zwrot kosztuje mniej niż chargeback.
Jak ustawić bezpieczną finalizację zamówień w sklepie internetowym?
Zacznij od szyfrowanych stron finalizacji zamówienia, weryfikacji CVV i potwierdzenia dostawy przy każdej przesyłce. Kreator stron WEMASY zawiera bezpieczną finalizację zamówień e-commerce z wbudowaną ochroną płatności, dzięki czemu możesz skupić się na monitorowaniu oszustw, a nie na konfiguracji technicznej.