Un score de fraude de protocole Internet (IP) évalue la probabilité qu'une adresse IP donnée soit liée à une activité frauduleuse. Ce score est calculé à l'aide d'informations provenant de réseaux privés virtuels (VPN), d'incohérences de géolocalisation, de la vitesse de transaction et de l'utilisation de proxys, par exemple via des centres de données. Malheureusement, 30 % à 95 % du trafic sur les principaux réseaux de proxys résidentiels sont associés à des activités de fraude de type « black hat » ou « gray hat », ce qui fait de la fraude un problème mondial.

Les entreprises récupèrent un score de fraude d'IP, que ce soit au moment du paiement ou lorsqu'un client crée un nouveau compte, pour les aider à décider s'il faut approuver une transaction, l'envoyer pour examen ou la bloquer d'emblée. À lui seul, le score de fraude d'IP ne transmet des informations que sur la connexion en ligne de la transaction, et non sur la personne qui l'utilise ; c'est là que les stratégies de lutte contre la fraude peuvent échouer.

Nous expliquons ci-dessous comment effectuer des vérifications de scores de fraude d'IP, comment les entreprises les utilisent dans les modèles de risque de paiement et pourquoi s'y fier de manière excessive peut entraîner des faux positifs pour des clients légitimes.

L’essentiel à retenir

• Un score de fraude d'IP utilise des informations sur la détection des VPN et des proxys, les incohérences de géolocalisation et la fréquence des tentatives de transaction pour estimer le risque, mais il ne peut pas confirmer l'identité de la personne à l'origine d'une transaction.

• Se fier uniquement aux scores d'IP peut générer des faux positifs pour des clients légitimes, notamment les voyageurs d'affaires, les employés à distance utilisant des VPN d'entreprise et les personnes utilisant des réseaux mobiles partagés.

• Certains logiciels peuvent s'appuyer sur les données de transaction de millions d'entreprises pour dresser un tableau plus complet du risque potentiel d'une seule transaction que ce que propose un vérificateur d'IP autonome.

Qu'est-ce qu'un score de fraude d'IP ?

Un score de fraude d'IP est une évaluation numérique ou hiérarchisée qui estime la probabilité qu'une adresse IP donnée soit liée à une activité frauduleuse. Pour le générer, les outils de notation vérifient l'adresse IP dans des bases de données de VPN, de proxys, de nœuds Tor et de centres de données connus, puis y ajoutent un historique comportemental, tel que les piratages de comptes, les tentatives de tests de cartes et les rétrofacturations antérieures.

Quels signaux déterminent un score de fraude d'IP ?

Généralement, les outils de scoring s'appuient sur plusieurs types d'informations pour brosser un tableau du risque réel.

Voici les principaux signaux utilisés pour déterminer un score de fraude d'IP :

• Détection de VPN et de proxys : L'adresse IP est vérifiée par rapport à des listes de VPN commerciaux et de proxys ouverts connus, où les acteurs frauduleux peuvent masquer leur emplacement réel ou faire défiler de nombreuses identités à partir d'une seule connexion.

• Incohérences de géolocalisation : Si l'adresse IP se trouve à Saint-Pétersbourg, en Russie, mais que l'adresse de facturation se trouve à Toronto, au Canada, cet écart est considéré comme un facteur de risque, en particulier lors d'une première commande sans historique d'achat auquel la comparer.

• Vitesse de transaction : Une adresse IP qui passe une douzaine de commandes en une heure, chacune avec une carte différente, est considérée comme plus suspecte qu'une autre qui tente d'effectuer une seule transaction en une fois.

• Utilisation de nœuds de sortie Tor : Tor achemine le trafic en ligne via plusieurs relais pour dissimuler l'origine potentielle d'une transaction, ce qui en fait un signalement presque automatique, même si de nombreuses personnes l'utilisent pour des raisons de confidentialité tout à fait légitimes.

• Trafic de centres de données : Les consommateurs ne font généralement pas d'achats à partir des plages d'adresses IP d'Amazon Web Services (AWS) ou de Google Cloud ; le trafic provenant de tels sites indique souvent la présence d'un bot, d'un scraper ou d'un script exécutant des tentatives de tests de cartes.

• Signaux de prise d'empreinte d'appareil : La configuration du navigateur, la résolution de l'écran et les polices installées sont recoupées avec l'adresse IP pour vérifier si la transaction semble provenir d'une personne réelle ou d'une attaque scriptée.

Comment les entreprises utilisent-elles les scores de fraude d'IP dans les modèles de risque de paiement ?

Les entreprises d'e-commerce et les plateformes de paiement récupèrent généralement un score d'IP lorsqu'un client potentiel crée un compte ou tente d'acheter quelque chose au moment du paiement. Lors de l'inscription, un score de fraude élevé peut déclencher des vérifications d'identité supplémentaires avant qu'un nouveau compte ne bénéficie de tous les privilèges. Au moment du paiement, il peut inciter à décider d'approuver la transaction, de l'envoyer pour un examen manuel ou d'exiger une étape d'authentification supplémentaire.

Généralement, les modèles de risque fonctionnent avec des seuils plutôt qu'avec une limite unique d'acceptation ou de refus. Un score inférieur à 25 peut passer sans complication, tandis qu'un score compris entre 25 et 75 peut entraîner une vérification supplémentaire ou être suspendu pour examen. Tout score supérieur à 75 justifie souvent la prudence, en particulier lorsqu'il est associé à d'autres signes d'avertissement tels qu'une adresse de facturation incohérente ou une première commande d'un montant anormalement élevé.

Cependant, une entreprise qui bloque une transaction uniquement en raison d'un score de risque élevé risque de rejeter de vrais clients. L'évaluation de facteurs tels que la vérification de la carte, les données de l'appareil et les modèles de comportement permet à une entreprise d'avoir une vision plus complète lorsqu'elle tente de prendre une décision concernant une transaction. La définition de plages de scores d'IP, ou de seuils, trop laxistes peut laisser passer des commandes frauduleuses. Mais s'ils sont trop stricts, des clients légitimes pourraient être refusés au moment du paiement. De nombreuses équipes de lutte contre la fraude considèrent la définition des seuils comme un exercice de calibrage continu.

Pourquoi les scores de fraude d'IP génèrent-ils des faux positifs ?

Un comportement légitime peut sembler risqué au niveau du réseau, mais chaque client bloqué à tort ou contraint d'effectuer des étapes de vérification supplémentaires peut nuire aux résultats d'une entreprise. D'un autre côté, des complications répétées au moment du paiement peuvent pousser les clients vers des concurrents proposant des paiements plus faciles.

Parmi les principales sources de faux positifs, on peut citer :

• Réseaux d'entreprise et universitaires : Les grandes organisations acheminent des milliers d'employés via un petit nombre d'adresses IP partagées, de sorte qu'une adresse peut sembler générer un volume invraisemblable de transactions non liées.

• Opérateurs mobiles : Le Carrier-Grade Network Address Translation (CGNAT) signifie qu'une seule adresse IP peut représenter des centaines ou des milliers d'abonnés distincts en même temps, ce qui fausse toute notation basée sur la vitesse de transaction.

• Voyages internationaux : Un titulaire de carte effectuant des achats depuis un pays qui ne fait pas partie de l'historique d'achat du client produira une incohérence de géolocalisation qui donnera l'impression que la transaction implique une carte volée, alors que le client pourrait simplement voyager à l'étranger.

• Outils de confidentialité : Les VPN sont utilisés pour des raisons non liées à la fraude, allant des politiques de sécurité sur le lieu de travail aux préférences personnelles, mais les modèles de notation les considèrent toujours comme un facteur de risque élevé par défaut.

Comment vérifier un score de fraude d'IP ?

Lorsqu'une entreprise vérifie une seule adresse IP, plusieurs vérificateurs autonomes de scores de fraude d'IP prennent une adresse et renvoient une évaluation des risques basée en partie sur des signaux d'alerte tels que l'utilisation de VPN, de proxys ou de centres de données. Ces systèmes sont utiles pour une vérification ponctuelle de l'évaluation des risques ou pour comprendre pourquoi une transaction particulière a été signalée.

Cependant, la vérification des adresses IP une par une n'est pas toujours gérable pour les entreprises qui traitent un volume élevé de transactions. Idéalement, la notation d'IP devrait être intégrée au même système qui évalue la carte, l'appareil et le comportement du client en temps réel au moment du paiement, sans étape manuelle supplémentaire. Ainsi, les entreprises n'ont pas besoin de récupérer les scores manuellement ni d'élaborer leurs propres règles à ce sujet ; la notation s'effectue automatiquement dans le cadre du tunnel de paiement.

Stripe Radar intègre les données d'adresse IP et d'emplacement dans sa notation de fraude, mais il ne traite pas ces données comme un point de décision autonome. Radar évalue chaque transaction en fonction de centaines de signaux, notamment la réputation de l'adresse IP et la géolocalisation, ainsi que le comportement de la carte, les caractéristiques de l'appareil et les modèles spécifiques à l'historique des transactions d'une entreprise.

L'échelle derrière l'analyse des adresses IP de Radar le distingue d'un vérificateur d'adresses IP dédié. Radar entraîne ses modèles de machine learning sur les données de transaction de millions d'entreprises sur Stripe, ce qui offre une image plus claire du comportement transactionnel normal et anormal à travers de nombreux secteurs, zones géographiques et types de clients que ce qu'une seule entreprise pourrait obtenir en observant uniquement son propre trafic. Cette échelle permet à Radar de détecter les modèles de fraude émergents, tels qu'un nouveau réseau de proxys ou une vague coordonnée de tests de cartes, plus rapidement qu'une entreprise qui s'appuie sur des listes de blocage d'adresses IP statiques. Radar permet également aux entreprises d'ajouter des règles personnalisées à son score de machine learning afin qu'une entreprise puisse décider elle-même de la façon de réagir lorsqu'une transaction est signalée pour un risque lié à une adresse IP.

Comment Stripe Radar peut vous aider

Stripe propose également Radar for Fraud Teams qui permet aux utilisateurs de définir des règles anti-fraude personnalisées et d’accéder à des informations avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements chaque année. Ce volume considérable permet à Radar de détecter et de prévenir la fraude avec précision, et de vous faire économiser de l’argent.

• Augmenter les revenus : les modèles d’IA de Radar sont entraînés avec des données réelles, provenant de litiges, de la navigation ou encore des informations client. Cela permet à Radar d’identifier les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.

• Gagner du temps : Radar est intégré à Stripe et bénéficie donc d’une intégration sans code. Il vous permet de surveiller vos performances en matière de fraude et de définir vos propres règles sur une plateforme unique, pour gagner en efficacité.

• Tirer parti de votre infrastructure technologique existante : utilisez Radar avec les paiements Stripe sans aucune intégration requise, ou accédez à l’intelligence de Radar via des API programmables, que vous traitiez ou non des paiements sur Stripe.

En savoir plus sur Stripe Radar, ou lancez-vous dès aujourd’hui.

FAQ sur les scores de fraude d'IP