互联网协议 (IP) 欺诈评分可评估给定 IP 地址与欺诈活动相关联的可能性。该评分使用来自虚拟专用网络 (VPN)、地理位置不匹配、交易速度以及代理使用（例如通过数据中心）的详细信息计算得出。不幸的是，主要的住宅代理网络上 30% 到 95% 的流量与黑帽或灰帽欺诈活动有关，这使得欺诈成为一个全球性的问题。
无论是在结账时，还是在客户创建新账户时，企业都会获取 IP 欺诈评分，以帮助决定是批准交易、将其发送以供审查，还是直接予以拦截。就其本身而言，IP 欺诈评分仅传达有关交易的在线连接信息，而不是有关使用该连接的人员的信息；这正是欺诈防范策略可能出错的地方。
下文将讨论如何运行 IP 欺诈评分检查、企业如何在支付风险模型中使用它们，以及为什么过度依赖它们会导致对合法客户产生误报。
要点
IP 欺诈评分利用有关 VPN 和代理检测、地理位置不匹配以及交易尝试频率的详细信息来估计风险，但它无法确认交易背后的真实身份。
仅依赖 IP 评分可能会对合法客户产生误报，包括出差人员、使用公司 VPN 的远程办公员工，以及共享移动网络的人员。
与独立的 IP 检查器相比，某些软件程序可以利用数百万家企业的交易数据，以构建出关于单笔交易潜在风险的更完整的图景。
什么是 IP 欺诈评分？
IP 欺诈评分是一种数值或分级评级，用于估计给定 IP 地址与欺诈活动相关联的可能性。为了生成该评分，评分工具会将该 IP 地址与已知的 VPN、代理、Tor 节点以及数据中心的数据库进行核对，然后加入行为历史记录，例如账户接管、银行卡测试尝试，以及过去的交易争议。
哪些信号决定了 IP 欺诈评分？
通常，评分工具会提取多种类型的信息，以描绘出实际风险的图景。
以下是用于决定 IP 欺诈评分的主要信号：
VPN 和代理检测： 会将 IP 地址与已知的商业 VPN 和开放代理列表进行核对，欺诈者可以在这些地方掩盖其真实位置，或者从同一个连接循环使用多个身份。
地理位置不匹配： 如果发现 IP 地址在俄罗斯圣彼得堡，但账单地址在加拿大多伦多，那么这种差异会被视为一个风险因素，尤其是在没有购买记录可供比较的首次订单上。
交易速度： 一个一小时内下十几个订单、且每个订单使用不同银行卡的 IP 地址，会被视为比一次尝试完成单笔交易的 IP 地址更可疑。
使用 Tor 出口节点： Tor 通过多个中继路由在线流量以隐藏潜在交易的来源，这使其几乎会自动被标记，尽管许多人使用它完全是出于合法的隐私原因。
数据中心流量： 消费者通常不会通过 Amazon Web Services (AWS) 或 Google Cloud 的 IP 范围进行购物；源自此类站点的流量通常指向机器人、抓取工具或正在运行银行卡测试尝试的脚本。
设备指纹信号： 浏览器配置、屏幕分辨率以及安装的字体会与 IP 地址进行交叉验证，以查看该交易是像真实的人在操作，还是脚本化的攻击。
企业如何在支付风险模型中使用 IP 欺诈评分？
当潜在客户创建账户或尝试在结账时购买商品时，电子商务企业和支付平台通常会获取 IP 评分。在注册时，高欺诈评分可能会触发额外的身份检查，然后新账户才能获得完整权限。在结账时，它可能会促使做出决定：是批准交易、将其发送进行人工审查，还是要求采取附加身份验证步骤。
通常，风险模型基于阈值运行，而不是单一的通过或失败截断值。低于 25 分的评分可能可以毫无阻碍地顺利通过，而介于 25 和 75 之间的评分可能会提示要求进行附加验证或被搁置审查。高于 75 分的任何评分通常都需要谨慎对待，尤其是当它与其他警告标志（例如不匹配的账单地址或异常大额的首次订单）同时出现时。
但是，如果一家企业仅仅由于高风险评分就拦截交易，则可能会拒绝掉真实的客户。权衡诸如银行卡验证、设备数据和行为模式等因素，能让企业在试图对一笔交易做出决定时获得更完整的图景。将 IP 评分范围或阈值设置得过宽，可能会让欺诈性订单漏网。但如果设置得太严，合法客户可能会在结账时被拒之门外。许多欺诈防范团队将设置阈值视为一项持续的校准工作。
为什么 IP 欺诈评分会产生误报？
合法行为在网络层面可能会显得具有风险，但每一位被错误拦截或被迫完成额外验证步骤的客户都可能损害企业的净利润。另一方面，反复出现的结账复杂情况可能会将客户推向那些结账流程更简单的竞争对手。
一些最主要的误报来源包括：
企业和大学网络： 大型组织通过少数共享的 IP 地址对数千名员工的流量进行路由，因此一个地址看起来可能会产生极不合理的大量无关交易。
移动运营商： 运营商级网络地址转换 (CGNAT) 意味着单个 IP 地址可以同时代表成百上千个不同的订阅用户，这会扰乱任何基于交易速度的评分。
国际旅行： 持卡人从该客户以往购买记录中未出现过的国家/地区进行购物，会产生地理位置不匹配的情况，这会使交易看起来像是涉及被盗用的卡，而此时客户可能只是在国外旅行。
隐私工具： 使用 VPN 的原因可能与欺诈无关，比如工作场所的安全策略或个人偏好，但默认情况下，评分模型仍然将其视为较高的风险因素。
如何检查 IP 欺诈评分？
当企业检查单个 IP 地址时，几个独立的 IP 欺诈评分检查器会获取该地址，并在一定程度上基于任何危险信号（例如 VPN、代理或数据中心的使用情况）返回一个风险评级。这些系统非常适合一次性风险评级检查，或者用来了解为什么特定交易会被标记。
但是，对于处理大量交易的企业来说，一次检查一个 IP 地址并不总是可控的。理想情况下，IP 评分应该内置于在结账时实时评估银行卡、设备和客户行为的同一系统之中，无需增加人工步骤。这样一来，企业就不必手动获取评分并围绕评分建立自己的规则；评分将作为支付流程的一部分自动进行。
Stripe Radar 将 IP 地址和位置数据计入其欺诈评分中，但它并不将该数据作为独立的决策点。Radar 会根据数百个信号（包括 IP 地址信誉和地理位置，以及银行卡行为、设备特征和特定于企业自身交易历史的模式）评估每一笔交易。
Radar 在 IP 地址分析背后的规模，使其区别于专门的 IP 地址检查器。Radar 利用 Stripe 上数百万家企业的交易数据来训练其机器学习模型，与任何单个企业仅通过观察自身流量所建立的模型相比，这能更清晰地描绘出跨众多行业、地区和客户类型的正常与异常交易行为。这种规模使得 Radar 能够比依赖静态 IP 地址黑名单的企业更快地发现新出现的欺诈模式（例如新的代理网络或协同的银行卡测试浪潮）。Radar 还允许企业在其机器学习评分之上叠加自定义规则，以便企业可以在交易因与 IP 地址相关的风险而被标记时自行决定如何响应。
Stripe Radar 如何提供帮助
Stripe Radar 利用基于 Stripe 全球网络数据训练的 AI，帮助检测欺诈并释放增长潜力。Radar 能够在欺诈影响企业利润之前，在客户全生命周期内保护企业免受欺诈侵害，同时协助企业提升合法客户与支付的审批通过率。
Radar 可以帮助您：
防范欺诈损失：Radar 的 AI 从 Stripe 全球网络每年超过 1.9 万亿美元的交易额中学习，帮助识别并拦截单一企业可能无法识别的欺诈形式。
统一应对不断演变的欺诈攻击：Radar 将针对交易欺诈、账户欺诈和客户滥用的防护整合到同一个解决方案中，帮助企业统一防范主要欺诈类型。
随着欺诈演变进行调整：Radar 持续适应不断变化的欺诈形式，从第一方滥用到智能体交易，帮助企业防范新兴威胁。
与现有技术栈配合使用：将 Radar 与 Stripe Payments 配合使用，无需集成；此外，无论企业是否通过 Stripe 处理支付，均可通过可编程 API 接入 Radar 的智能功能。
关于 IP 欺诈评分的常见问题解答
本文中的内容仅供一般信息和教育目的，不应被解释为法律或税务建议。Stripe 不保证或担保文章中信息的准确性、完整性、充分性或时效性。您应该寻求在您的司法管辖区获得执业许可的合格律师或会计师的建议，以就您的特定情况提供建议。