Les remises sont omniprésentes dans le commerce en ligne : près de 60 % des consommateurs américains utilisent des bons de réduction numériques. Cependant, les promotions ne sont efficaces que si leur coût est rentabilisé par la valeur à vie du client à long terme. L’abus de promotions permet de s’approprier la remise et, au lieu de générer des clients, produit de faux comptes, des auto-parrainages et des campagnes d’utilisation automatisées qui peuvent épuiser les budgets et gonfler les indicateurs d’acquisition.

Dans cet article, nous vous expliquons comment les abus de promotions fonctionnent au niveau du compte, comment détecter ces abus et comment mettre en place des mécanismes de contrôle qui permettent de les empêcher sans nuire à la conversion des utilisateurs légitimes.

Faits saillants

• Les abus de promotions exploitent généralement les failles du système de vérification d’identité lors de l’inscription. C’est pourquoi la fraude à la création de comptes et l’abus de promotions font souvent partie d’un même problème.

• La détection repose sur l’association de signaux, tels que le regroupement des appareils, les modèles d’e-mails jetables et les délais d’utilisation anormaux.

• Une prévention efficace utilise des contrôles à plusieurs niveaux et une friction basée sur les risques pour mieux détecter la fraude tout en maintenant le flux d’inscription accessible aux clients légitimes.

Qu’entend-on par abus de promotions ?

Un abus de promotions consiste à exploiter les remises, les bonus de parrainage ou les incitations à l’inscription au-delà de leurs conditions prévues. Ceci se produit généralement par le biais de faux comptes, d’automatisation ou de manipulation d’identité. Il pourrait ressembler à la création de cinq comptes par une seule personne afin de bénéficier cinq fois d’une remise sur sa première commande, à un auto-parrainage via une deuxième adresse e-mail pour ainsi percevoir un crédit de parrainage, ou encore à la programmation de l’ensemble du processus et à l’épuisement d’une campagne en quelques heures.

Quel est l’impact des abus de promotions sur le retour sur investissement des dépenses promotionnelles ?

Les revenus supplémentaires générés par les clients acquis grâce à la promotion devraient dépasser le coût des remises plus les coûts de la campagne. Les abus dégradent les deux aspects de cette équation.

Voici comment mesurer les effets des abus de promotions :

• Taux d’utilisation par rapport aux achats : analysez la proportion de comptes ayant utilisé la promotion qui ont effectué au moins un achat. Les groupes présentant un taux d’abus élevé affichent un faible taux de conversion en transactions réelles.

• Taux d’achats répétés à 30/60/90 jours : les vrais clients reviennent acheter davantage, tandis que les faux comptes disparaissent.

• Densité du graphe de parrainage : dans les programmes de parrainage, suivez le nombre de comptes parrainés qui parrainent à leur tour d’autres personnes. Les arbres de recommandation organiques se développent au fil du temps. Quant aux données générées par les abus, elles restent stables.

• Taux de chevauchement d’appareils et d’adresses IP au sein de la cohorte promotionnelle : un chevauchement élevé peut indiquer une création de comptes coordonnée.

Quel est le lien entre les abus de promotions, la fraude à la création de comptes et les abus d’essais gratuits ?

L’abus de promotions s’inscrit dans un ensemble plus vaste de comportements exploitant une même faille. Qu’il s’agisse d’obtenir des avantages promotionnels, de blanchir de l’argent ou de prendre le contrôle d’un compte, toute fraude utilisant de fausses identités ou des identités volées pour ouvrir des comptes est qualifiée de fraude à la création de comptes, et l’abus de promotions en est une pratique courante. De même, l’abus d’un essai gratuit pourrait se manifester par la création d’un nouveau compte à chaque expiration de la période d’essai au lieu de souscrire un abonnement. Même si leurs motivations peuvent différer de celles d’un utilisateur abusant des promotions, ils utilisent toujours le même mécanisme.

Une infrastructure qui permet d’exploiter des crédits de parrainage peut tout aussi facilement permettre de créer de faux comptes pour obtenir des essais gratuits, voire pire. Un problème d’abus de promotions signale souvent des faiblesses dans votre processus de création de comptes qui vont au-delà des simples promotions. S’attaquer isolément aux abus de promotions peut vous exposer à des attaques par contournement. Au-delà du simple endpoint aux promotions, il est essentiel de combler la faille d’identité sous-jacente.

Quelles sont les tactiques d’abus de promotions courantes lors de la création d’un compte ?

Les abus de promotions lors de l’inscription suivent généralement des schémas standardisés.

Soyez attentif aux tactiques suivantes :

Création de plusieurs comptes

Il s’agit de la forme la plus simple d’abus de promotions. Une personne crée plusieurs comptes en utilisant différentes adresses e-mail pour bénéficier plusieurs fois d’une offre réservée aux nouveaux utilisateurs. Cette tactique fonctionne lorsque l’éligibilité des nouveaux comptes est vérifiée uniquement par rapport à l’adresse e-mail, sans vérification d’identité plus approfondie.

Auto-parrainage

Les programmes de parrainage qui versent une prime au parrain créent une incitation financière directe à l’auto-parrainage. L’attaquant crée un second compte, le parraine depuis son compte principal et empoche la récompense. Les programmes offrant des bonus réciproques peuvent doubler les gains par faux compte créé.

Cumul de promotions

Les entreprises peuvent autoriser plusieurs codes promotionnels sur une même commande. Les attaquants repèrent et combinent des codes via l’énumération de codes ou des listes de codes divulguées ou partagées afin de faire passer une transaction à un coût nul ou, si votre système émet un crédit en magasin, à un coût négatif.

Utilisation automatisée

Des attaquants plus sophistiqués peuvent programmer le processus d’inscription et d’utilisation. Une campagne prévue pour durer une semaine peut être menée à son terme en quelques heures.

Partage de codes et divulgation publique

Les codes promotionnels publiés sur les sites d’agrégation de bons de réduction ou partagés sur les réseaux sociaux sont utilisés bien au-delà de leur public cible. Bien que ceci ne soit pas toujours malveillant, il peut nuire au ciblage et épuiser le budget alloué à une cible spécifique.

Quels signaux de détection indiquent qu’un abus de promotions est en cours ?

La détection a lieu lorsque l’on associe des signaux qui distinguent les identités synthétiques ou répétées des nouveaux utilisateurs authentiques.

Aucun signal isolé n’est concluant. Cependant, les signaux suivants, observés ensemble, indiquent souvent un abus potentiel :

Regroupement d’appareils et de réseaux

La création de plusieurs comptes à partir du même appareil, de la même adresse IP (Internet Protocol) ou du même sous-réseau dans un court laps de temps constitue un signal fort. Deux comptes créés depuis la même adresse IP du même foyer ne sont pas inhabituels, mais 15 comptes créés depuis la même adresse IP en 48 heures méritent une enquête.

Alias et schémas d’adresses e-mail jetables

Certains fournisseurs de messagerie autorisent l’utilisation d’alias d’adresse (par exemple, utilisateur+tag@domaine.com), ce qui permet aux attaquants de générer des adresses d’apparence unique qui convergent toutes vers une seule boîte de réception. Les domaines d’e-mails jetables peuvent apparaître de manière disproportionnée dans les inscriptions abusives par rapport aux inscriptions organiques.

Graphes de parrainage suspects

Les arbres de parrainage organiques ont tendance à se ramifier : une personne parraine quelques amis, dont certains en parrainent d’autres. Les abus produisent des graphiques en forme d’étoile : un compte en parraine plusieurs, mais ces comptes parrainés ne présentent aucune activité ultérieure et utilisent la promotion immédiatement après leur création.

Délais d’utilisation anormaux

Les comptes qui utilisent une promotion quelques secondes après leur création ou qui ont été créés en lots coordonnés se comportent différemment des vrais clients. Les utilisateurs réels peuvent explorer le produit, hésiter ou prendre plusieurs jours entre leur inscription et leur premier achat.

Pic d’activité au moment du lancement d’une promotion

Une augmentation soudaine du nombre de créations de comptes immédiatement après l’annonce d’une promotion justifie un examen plus approfondi.

Incohérences d’empreintes d’identification de l’appareil

Des incohérences entre l’agent utilisateur déclaré, la résolution d’écran et les polices installées peuvent indiquer une automatisation ou une usurpation d’empreinte d’identification. Les utilisateurs réels ne présentent généralement pas ces incohérences.

Comment exploiter les contrôles de prévention contre l’abus de promotions sans risquer de bloquer les utilisateurs légitimes ?

Éliminer tous les abus est un défi, voire une impossibilité. L’objectif est de rendre les abus suffisamment coûteux pour que le retour sur investissement (ROI) devienne nul.

Limitation du rythme d’utilisation et règles d’éligibilité

Limitez les codes promotionnels à un par identité vérifiée, et non à un par adresse e-mail. Ce qui est considéré comme vérifié dépend de votre tolérance au risque : un numéro de téléphone confirmé, une vérification du moyen de paiement ou une adresse vérifiée.

Évaluation du risque lié à l’appareil et à l’identité lors de l’inscription

Les outils qui attribuent un score aux nouveaux comptes dès leur création, en fonction de l’empreinte d’identification de l’appareil, de la réputation de l’adresse IP, du risque associé au domaine d’e-mail et des signaux comportementaux, permettent d’appliquer un traitement différencié. Ainsi, les comptes à faible risque peuvent accéder facilement à la promotion, tandis que les comptes à haut risque pourraient nécessiter une vérification supplémentaire avant l’activation de la promotion. Des outils comme Stripe Radar appliquent ce type de notation aux tunnels de paiement, et leur moteur de règles permet de définir une logique personnalisée pour les événements d’utilisation.

Défis progressifs pour les cohortes à haut risque

Plutôt que de bloquer d’emblée les comptes suspects, exigez un achat réel avant que le crédit promotionnel ne soit débloqué. Ceci permet de transformer les inscriptions frauduleuses en véritables clients ou d’éviter les abandons sans encourir de frais.

Limites d’appels sur les endpoints promotionnels

Si la validation de votre code promotionnel s’effectue via un appel àl’API (interface de programmation d’application), cet endpoint nécessite une limite d’appels et une détection des anomalies.

Des conditions plus explicites, appliquées techniquement

La condition « Un code par client » n’a aucun sens si vous ne définissez pas et n’appliquez pas ce que signifie le terme « client » dans votre système. Intégrez les règles d’éligibilité dans votre code afin qu’elles soient vérifiées automatiquement, plutôt que manuellement a posteriori.

Comment Stripe Radar peut vous aider

Stripe Radar utilise des modèles d’IA pour détecter et prévenir la fraude, entraînés sur des données du réseau mondial de Stripe. Il met à jour continuellement ces modèles en fonction des dernières tendances de fraude, protégeant votre entreprise à mesure que la fraude évolue.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées traitant des scénarios de fraude spécifiques à leurs entreprises et d’accéder à des analyses avancées sur la fraude.

Radar peut aider votre entreprise comme suit :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements par an. À ce niveau d’échelle, Radar peut détecter et prévenir la fraude avec précision, ce qui vous permet de réaliser des économies.

• Augmenter les revenus : les modèles d’IA de Radar sont entraînés sur des données réelles de litiges, des informations clients, des données de navigation, et plus encore. Cela permet à Radar d’identifier les transactions risquées et de réduire les faux positifs, augmentant vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances anti-fraude, écrire des règles, et plus encore dans une plateforme unique, augmentant l’efficacité.

Apprendre davantage sur Stripe Radar, ou démarrer aujourd’hui.