E-commerce fraud prevention: Strategie a nástroje pro ochranu e-shopu

Podvody představují realitu, se kterou se musí vypořádat každý podnikatel. Nedávná zpráva společnosti Cybersource ukazuje, že 2,9 % veškerých tržeb v e-commerce se ztratí kvůli podvodným transakcím. To znamená, že z každých 10 000 USD (cca 210 000 Kč), které vaše firma vygeneruje, můžete přijít o téměř 300 USD (cca 6 300 Kč) ve prospěch útočníků.

Strategie prevence podvodů pomáhá minimalizovat ztráty a odrazuje podvodníky od útoků na vaše online podnikání. Se správně nastavenými filtry můžete rizikové platby blokovat automaticky, čímž ušetříte hodiny času týdně, které by jinak padly na manuální plnění objednávek a zdlouhavé prověřování podezřelých nákupů.

Tento průvodce vám ukáže, jak takový obranný systém postavit, na které scénáře se zaměřit a jaké nástroje spolehlivě ochrání vaše ziskové marže i cash flow.

Co je prevence podvodů?

Prevence podvodů představuje ucelenou strategii, která firmám pomáhá nekalé praktiky odhalovat, efektivně jim předcházet a řešit jejich následky. V globálním světě e-commerce se pro tuto disciplínu běžně vžil anglický termín e-commerce fraud prevention, se kterým se dnes běžně setkávají i čeští obchodníci při napojování zahraničních platebních bran a mezinárodních nástrojů. Cílem je zabránit situacím, kdy útoky poškodí firemní finance, reputaci značky nebo samotné zákazníky.

Proč je e-commerce fraud protection tak důležitá?

Finanční ztráty a nestabilita

Podvody jsou pro firmy nákladným problémem. Pokud se stanete obětí finančního zločinu, peníze mohou odtékat z vašeho bankovního účtu na účet podvodníka. A když podvod iniciují sami zákazníci prostřednictvím neoprávněných zpětných plateb, jde o jev zvaný „přátelský podvod“. Utratíte až 35 USD (cca 735 Kč) za rozporování každých 100 USD (cca 2 100 Kč) v platbách.

Rizika pro pověst

Velká část objednávek vzniká na základě referencí a sociálního důkazu. Pokud má zákazník na vašem e-shopu negativní zkušenost s bezpečností, s vysokou pravděpodobností varuje své známé i rodinu. To spolehlivě odradí další potenciální zájemce a naruší dlouhodobé budování značky.

Problémy s dodržováním předpisů

Legislativa přísně chrání spotřebitele před zneužitím údajů. Z pohledu provozovatele musíte dodržovat pravidla proti praní špinavých peněz, která brání útočníkům v legalizaci zisků, například z nákupů provedených přes kradené karty.

Finanční instituce a každý licencovaný zpracovatel plateb musí tyto směrnice striktně dodržovat. Prověřují identitu plátců, monitorují podezřelé vzorce chování a hlásí rizikové transakce. Ignorování těchto povinností otevírá prostor pro zneužití a vystavuje vás riziku sankcí, a to bez ohledu na to, zda jste podvod přímo zavinili.

Ztráta provozní efektivity

Podvody jsou složité a jejich řešení zabere spoustu času. Rozporování nároků, shromažďování důkazů a vypořádávání se s následky podvodu odčerpávají cenný čas z vašeho podnikání, tedy čas, který byste mohli lépe využít jinde.

Typy podvodů

• Phishingové podvody
• Přátelský podvod
• Testování karet
• Zneužívání vrácení peněz
• Zneužívání věrnostních programů
• Převzetí účtu
• Triangulační podvod
• Krádež identity

Phishingové podvody

Phishing nastává ve chvíli, kdy se útočníci vydávají za důvěryhodnou autoritu. Snaží se oklamat personál nebo zákazníky s cílem vylákat z nich citlivé přístupové údaje. Typickým příkladem bývá podvodná zpráva předstírající komunikaci z vaší banky, která má za cíl kompromitovat podnikatelský účet a odčerpat hotovost.

Výzkum společnosti Cybersource zaměřený na podvody v online prodeji potvrzuje, že phishing zůstává nejčastějším rizikem na trhu. Zkušenost s ním uvádí celých 43 % dotázaných firem, což představuje znatelný skok oproti 35 % v předchozím sledovaném období.

Přátelský podvod

Přátelský podvod neboli chargeback podvod, nepředstavuje navzdory svému označení nic přívětivého. Nastává, když si zákazníci od firmy něco koupí a poté kontaktují vydavatele své platební karty, aby platbu rozporovali. Tvrdí, že produkt nedostali nebo že kartu použil někdo cizí.

Podvodné zpětné platby jsou bohužel běžné. Cybersource zjistil, že více než třetina firem se s touto podvodnou taktikou setkává a že průměrná míra zpětných plateb u obchodníků činí 0,52 % ze všech transakcí.

Testování karet

Testování karet, někdy označované jako karetní autorizační podvod, nastává, když podvodníci používají ukradené údaje z platebních karet k provádění podvodných nákupů ve vašem internetovém obchodě. K tomu standardně využívají dvě metody:

• Enumerační útoky: Podvodníci systematicky hádají a ověřují údaje karet pomocí automatizovaných skriptů nebo botů. Na začátku nemají žádné konkrétní informace a pomocí skriptů nebo botů generují velké množství čísel karet, dokud nenajdou takové, které funguje.
• Kontrola platnosti: Podvodníci ověřují pravost údajů získaných z platebních karet (často se to děje prostřednictvím drobných transakcí nebo ověřovacích nástrojů). V tomto případě již podvodníci nějaké údaje o kartě mají a nemusejí čísla karet hádat, protože je již znají. Stačí jim ověřit, zda jsou tato čísla karet platná.

Tento typ podvodu s platebními kartami zažila třetina firem, ale dá se mu snadno předejít. Platební služby pro e-commerce, jako je Shopify Payments, disponují nástroji pro odhalování podvodů v reálném čase, které ověřují, zda se fakturační adresa zákazníka shoduje s adresou uvedenou na kartě. Pokud se neshodují, objednávka bude zrušena.

Zneužívání vrácení peněz

K tomuto problému dochází ve chvíli, kdy zákazníci obcházejí pravidla pro vrácení zboží. Buď podávají nepřiměřené množství reklamací, vracejí napodobeniny, nebo účelově uvádějí nepravdivé vady.

Fenomén se projevuje hlavně v segmentu fashion. Zdejší praxe zná takzvaný wardrobing, kdy si nakupující pořídí oděv na konkrétní společenskou událost, skryjí visačky a po jednorázovém nošení požadují plnou refundaci.

Statistiky National Retail Federation uvádějí, že obchodníci odepíšou z každých 100 USD (cca 2 100 Kč) vráceného zboží zhruba 13,70 USD (cca 288 Kč) právě na vrub podvodných praktik. V průběhu vánoční nákupní špičky se tato ztráta na stejný objem vratek vyšplhá až na 16,50 USD (cca 347 Kč).

Zneužívání věrnostních programů

Každý dobře nastavený věrnostní program pomáhá budovat retenci a odměňovat stálé zákazníky, občas se ale stane terčem spekulací. Analýzy odhadují, že 22 % podniků eviduje neoprávněné čerpání výhod, kdy útočníci kradou nasbírané body nebo zneužívají technických mezer v pravidlech bonusových systémů.

Převzetí účtu

Převzetí účtu představuje formu krádeže identity, která nastává po prolomení administrátorských přístupů. Útočníci mohou napadnout firemní rozhraní vašeho e-shopu, získat citlivá zákaznická data a držet celý systém jako rukojmí pod hrozbou výkupného.

Riziko hrozí také na straně koncových zákazníků. Pokud útočník prolomí heslo k uživatelskému profilu v e-shopu, může využít dříve uložené platební metody k neautorizovaným nákupům nebo profil zneužít k ověření kradených platebních údajů.

Triangulační podvod

Triangulační podvod je složitý typ digitálního podvodu, ke kterému dochází, když podvodníci napodobí váš internetový obchod a nalákají nakupující zvýhodněnými cenami, které jsou až podezřele lákavé. Zákazníci, kteří přes takový obchod nakoupí, předají své platební údaje. Podvodník poté použije ukradené peníze z jejich objednávky k provedení podvodného nákupu ve vašem skutečném obchodě s využitím údajů zákazníka. Tyto údaje pak prodá na dark webu nebo je použije k dalším podvodným nákupům u jiných firem.

Tento podvod často zůstává skrytý celé týdny i měsíce. Zákazník balík v pořádku obdrží a nemá důvod cokoliv prověřovat, zatímco vy později čelíte chargebacku od skutečného majitele zneužité karty.

Krádež identity

Ke krádeži identity dochází, když pachatel použije cizí jméno, e-mail nebo platební profily pro realizaci nákupů. Data získává z úniků databází nebo prostřednictvím phishingu, případně je nakupuje na dark webu.

Pro provozovatele internetového obchodu jde o nepříjemnou situaci, protože komunikace působí zcela autenticky. Pokud například někdo napadne klientský profil a požádá o zaslání refundace na jiný účet, snadno přehlédnete, že nejednáte se skutečným zákazníkem, ale s útočníkem, který získal neoprávněný přístup.

E-commerce fraud prevention, aneb jak předcházet podvodům

1. Používejte Shopify Payments
2. Nasaďte nástroje pro hodnocení rizikovosti IP adres
3. Používejte ověřovací software
4. Nastavte limity pro maximální odběr zboží
5. Posilte pravidla svého obchodu
6. Prověřujte rizikové objednávky
7. Zaškolte tým v interním plánu prevence podvodů
8. Pravidelně aktualizujte kybernetická bezpečnostní opatření
9. Veďte přesné záznamy

1. Používejte Shopify Payments

Kvalitní a zabezpečená platební brána pro e-shop představuje první linii obrany před neoprávněnými transakcemi. Shopify Payments splňuje přísné regulatorní požadavky směrnice PSD2 a nabízí standardizované zabezpečení 3D Secure. To zásadně snižuje riziko ztrát tím, že přesouvá finanční odpovědnost za neoprávněné chargebacky z obchodníka přímo na vydavatele platební karty. U způsobilých plateb přes Shop Pay v USA navíc nenesete ani vedlejší náklady spojené s administrativou bankovních sporů.
Firmy využívající Shopify Payments profitují z automatické ochrany proti testování karet a maskování přes proxy servery, které fungují na pozadí bez nutnosti složitého nastavování nebo externích integrací. Systém kombinuje strojové učení s testy CAPTCHA, takže pokusy o hromadné hádání údajů zastaví ještě před dokončením nákupu, ať už za nimi stojí automatizovaní boti, nebo lidští útočníci.

Vestavěná analýza rizik od Shopify navíc průběžně skenuje každou platbu. Vyhodnocuje IP adresu, shodu fakturačních parametrů i netypické chování a včas vás upozorní na potenciální hrozby.

2. Nasaďte nástroje pro hodnocení rizikovosti IP adres

Filtry zaměřené na IP adresy přidělují každé příchozí platbě skóre pravděpodobnosti, zda se jedná o legitimní nákup, nebo o podvodný pokus. Dokážou odhalit nesoulad mezi lokalitou nakupujícího a místem vydání karty a včas identifikovat aktivitu podezřelých botů.

Tento kontrolní mechanismus je pevnou součástí infrastruktury, kterou nabízí e-commerce platforma Shopify. Interní fraud analýza automaticky označuje objednávky jako nízko, středně nebo vysoce rizikové. Pokud systém zaznamená nebezpečné parametry, okamžitě vás upozorní přímo v detailu objednávky i v e-mailové notifikaci, abyste mohli nákup před expedicí manuálně prověřit.

3. Používejte ověřovací software

Ověřovací software potvrzuje, že údaje zadané v pokladně odpovídají skutečné osobě, která se snaží nakoupit legitimně. Když na e-shopu aktivujete vícevrstvé ověření, získáte spolehlivou ochranu v klíčových oblastech:

• Ověření identity: Je zákazník skutečně tím, za koho se vydává, nebo ho podvodník napodobuje? Bojujte proti podvodům s identitou pomocí ověřovacího softwaru, který vyžaduje, aby nakupující svou totožnost potvrdili dvoufaktorovým ověřením nebo biometrickou identifikací.
• Ověření karty: Kdokoli si může rychle zkopírovat číslo karty a datum platnosti z přední strany platební nebo debetní karty. Kód CVV, který je na zadní straně karty, představuje další vrstvu zabezpečení, která naznačuje, že zákazník má kartu fyzicky u sebe nebo si zobrazuje informace o kartě přímo ve svém internetovém nebo mobilním bankovnictví.
• Ověření adresy: Podvodníci, kteří ukradli údaje o platební kartě, často nemají fakturační adresu zákazníka. Odhalte je dříve, než spáchají podvod, pomocí ověřovacího nástroje, který potvrdí, že se fakturační adresa držitele karty shoduje s dodací adresou zadanou v pokladně.

Tento přístup patří k mezinárodním standardům. Podle dat společnosti Cybersource má průměrná firma pět nástrojů pro odhalování podvodů, přičemž nejvýše se umísťují ověření platební karty, validace identity a dvoufaktorové ověření.

V administraci Shopify můžete nastavit pravidla, která zákazníky vyzvou k ověření identity. Systém pak automaticky posuzuje informace, jako je správný kód CVV a fakturační/dodací adresa, prostřednictvím analýzy podvodů, aby vás ochránilo před podvodnými objednávkami.

4. Nastavte limity pro maximální odběr zboží

Při platbách kradenými údaji se pachatelé často pokoušejí nakoupit co největší množství položek v jediné transakci. Chtějí maximalizovat svůj zisk u minima prodejců, dříve než banka kartu zablokuje.

Před tímto scénářem ochráníte svůj obchod nastavením nákupních limitů na počet kusů v košíku. Pokud například omezíte jednorázový nákup na maximálně 10 jednotek jednoho produktu, snížíte celkový finanční dopad takového pokusu a ochráníte okradeného majitele účtu i své skladové zásoby.

Zanalyzujte si historické objednávky a zjistěte, jaká je vaše běžná AOV a kolik kusů typický zákazník běžně objednává. Nastavením rozumného limitu odradíte podvodníky a zároveň nijak neomezíte poctivé zákazníky, kteří chtějí nakoupit ve větším objemu.

5. Zpřísněte a zpřesněte obchodní podmínky

K podvodům často dochází ve chvíli, kdy zákazníci zneužijí mezery v nastavených pravidlech prodejce. Nejčastěji se to týká věrnostních programů a zásad pro vracení zboží. Projděte si své stávající podmínky, odhalte případná slabá místa a aktualizujte je, jakmile zaznamenáte nekalé chování. Precizní pravidla jsou pro úspěšnou e-commerce fraud prevention naprosto klíčová.

Uveďme si příklad z praxe z prodeje módy. Nabízíte zákazníkům možnost vrátit oděv do 14 dnů za plnou refundaci za předpokladu, že je nenošený a nepoškozený. V České republice máte při online prodeji ze zákona povinnost umožnit spotřebitelům odstoupit od smlouvy do 14 dnů bez udání důvodu.

Může se však stát, že lidé začnou posílat zpět kousky bez původní výrobní visačky. Trvají na tom, že zboží pochází od vás, ale vy to nemáte jak ověřit. Proti takovým praktikám se ochráníte jednoduchou úpravou podmínek: v pravidlech jasně uveďte, že vrácení zboží uznáte pouze, je-li původní visačka neporušená.

Pokud vás refundace finančně zatěžují, můžete u prodloužených lhůt nad rámec zákona nabízet místo vrácení peněz výměnu kus za kus nebo Shopify store credit. Váš obchod tak přestane být lákavým terčem pro spekulanty, kteří se snaží získat peníze zpět za nošené nebo kradené oblečení.

6. Prověřujte rizikové objednávky

Podvodné nákupy mají často společné znaky, podle kterých je včas odhalíte. Jde například o nesoulad mezi doručovací adresou a bydlištěm majitele karty, opakované neúspěšné pokusy o platbu nebo naopak transakce na minimální částky, kterými si útočník pouze ověřuje funkčnost odcizených údajů.

Počítejte také s tím, že zahraniční nákupy vykazují vyšší míru zamítnutí. Cybersource uvádí, že průměrná míra odmítnutí u domácích objednávek dosahuje 2,7 %, zatímco u přeshraničních činí 5,3 %. Správně nastavené řízení distribuce by s těmito odchylkami mělo dopředu počítat.

Ověřovat každou objednávku ručně stojí spoustu času, zvlášť když vám denně chodí desítky zásilek. Tady se vyplatí zapojit Shopify Flow. Takto celý proces zautomatizujete.

Nastavíte si jednoduchá pravidla: vysoce rizikové nákupy systém rovnou stornuje, u bezpečných plateb provede autorizaci a u podezřelých případů pošle upozornění týmu, aby transakci před odesláním prověřil.

7. Zaškolte tým v interním plánu prevence podvodů

Jako podnikatel nemůžete mít pod kontrolou každou část svého podnikání. Jak porostete, pravděpodobně přijmete zaměstnance, kteří se budou věnovat úkolům, jako je marketing, řízení zásob nebo vyřizování objednávek. Tito lidé by měli být plně zaškoleni v tom, jak rozpoznat podvodné útoky a hlásit podezření na podvod.

V rámci školicího programu o povědomí o podvodech se zaměřte například na:

• Význam prevence podvodů
• Jak chránit citlivé firemní údaje
• Běžná podvodná schémata, s nimiž se mohou setkat
• Nástroje a metody, které mohou k odhalení podvodu použít
• Komu podezření na podvod hlásit

8. Pravidelně aktualizujte kybernetická bezpečnostní opatření

Prodej online s sebou přirozeně nese vyšší náchylnost k digitálním útokům. Kybernetická bezpečnostní opatření pomáhají chránit vaši firmu před hrozbami, jako je malware, útoky s vydíráním a neoprávněný přístup k důležitým účtům.

Proveďte důkladný audit a posouzení rizik, abyste zjistili, kde vaše kybernetická bezpečnostní opatření selhávají. Jako výchozí bod by všechny účty měly mít dvoufaktorové ověření a používat silná hesla, která se nikde jinde nepoužívají. Zaměstnanci by rovněž měli mít na svých zařízeních nainstalovaný firewall nebo antivirový software.

Problém je v tom, že zločinci neustále vyvíjejí nové podvodné hrozby, aby překonali rozšířené strategie e-commerce fraud prevention. Nejlepší přístup je být proaktivní, takže audit pravidelně opakujte a dávejte pozor na podezřelou aktivitu, kterou byste mohli v budoucnu zablokovat.

9. Veďte přesné záznamy

Pokud se stanete terčem podvodu nebo zákazník nahlásí neoprávněný chargeback, potřebujete hmatatelné podklady, abyste spor vyhráli. Podle dat společnosti Cybersource zhruba devět z deseti prodejců dokáže předložit relevantní důkazy, které prokáží oprávněnost platby v případě neopodstatněných reklamací.

Platforma Shopify výrazně zjednodušuje shromažďování těchto podkladů, zejména pokud jako platební metodu používáte Shopify Payments. Historie plateb i detailní záznamy o nákupu zůstávají na jednom místě. U vybraných transakcí přes Shop Pay v USA systém dokonce předává důkazní materiály bance držitele karty zcela automaticky, přičemž k dokumentaci můžete kdykoli připojit vlastní dodací list nebo záznamy o doručení zásilky.

Nejlepší nástroje pro odhalování a prevenci podvodů

Shopify Protect

Chargebacky představují pro obchodníky obrovské riziko. Řešení tohoto typu podvodu je nejen časově náročné, ale i nákladné. Shopify Protect tento problém řeší.

Obchody Shopify se sídlem v USA, které přijímají online platby prostřednictvím Shop Pay, mají automatický přístup ke službě Shopify Protect. Způsobilé objednávky Shop Pay v USA jsou chráněny před podvodnými zpětnými platbami. Pokud se s podvodnou zpětnou platbou setkáte, Shopify pokryje náklady na objednávku tím, že vám nahradí sporné prostředky a poplatek za zpětnou platbu.

NoFraud

NoFraud je aplikace ze Shopify App Store, která se integruje s vaším internetovým obchodem. Používá umělou inteligenci a strojové učení k odhalování a blokování vysoce rizikových objednávek. Pokud si software není jistý, případ je eskalován týmu odborníků na odhalování podvodů společnosti NoFraud k ručnímu prověření.

NoFraud rovněž nabízí finanční záruku, která pomáhá s podvody při zpětných platbách. Pokud zákazník přece jen proklouzne sítí a iniciuje podvodnou zpětnou platbu, NoFraud vám ji nahradí.