Les rabais sont profondément ancrés dans le commerce en ligne, près de 60 % des consommateurs américains utilisant des coupons numériques. Mais les promotions ne sont efficaces que lorsque le coût de l’incitation est rentabilisé par la valeur à long terme du client. L’abus des promotions permet de profiter du rabais, mais au lieu d’attirer de nouveaux clients, il génère de faux comptes, des auto-parrainages et des campagnes d’utilisation automatisées qui peuvent épuiser les budgets et gonfler les indicateurs d’acquisition.

Dans cet article, nous expliquerons comment fonctionne l’abus des promotions au niveau du compte, comment le détecter et comment mettre en place des contrôles qui bloquent les abus sans nuire à la conversion pour les utilisateurs et utilisatrices légitimes.

Points clés

• L’abus de promotions exploite généralement les failles dans la vérification d’identité lors de la création d’un compte. C’est pourquoi la fraude liée à la création de nouveaux comptes et l’abus de promotions font souvent partie d’un même problème.

• La détection repose sur la combinaison de différents signaux, comme le regroupement d’appareils, les schémas d’utilisation d’adresses courriels jetables et les délais d’utilisation anormaux.

• Une prévention efficace repose sur des contrôles à plusieurs niveaux et des mesures de sécurité proportionnées aux risques, qui permettent de mieux détecter la fraude tout en préservant la fluidité de l’inscription pour les clients légitimes.

Qu’est-ce que l’abus de promotions?

L’abus de promotions consiste à exploiter des rabais, des primes de parrainage ou des avantages à l’inscription au-delà des conditions prévues. Cela se produit généralement par le biais de faux comptes, d’automatisation ou de manipulation d’identité. Cela peut se traduire, par exemple, par la création de cinq comptes pour bénéficier cinq fois d’un rabais sur la première commande, par le fait de se parrainer soi-même à l’aide d’une deuxième adresse courriel pour obtenir un crédit de parrainage, ou encore par la mise en place d’un script automatisant l’ensemble de la procédure pour épuiser une campagne en quelques heures.

En quoi l’abus des promotions a-t-il une incidence sur le rendement des dépenses promotionnelles?

Les revenus supplémentaires générés par les clients acquis grâce à la promotion devraient dépasser le coût du rabais et le coût de la campagne. Tout abus nuit aux deux aspects de cette équation.

Voici comment évaluer les effets d’un recours excessif aux promotions :

• Taux de conversion des bons d’achat en achats : examinez la proportion de comptes ayant utilisé le bon d’achat promotionnel qui ont effectué au moins un achat réel. Les cohortes présentant un taux d’abus élevé affichent un faible taux de conversion en transactions réelles.

• Taux de réachat à 30, 60 et 90 jours : les vrais clients reviennent pour acheter davantage, tandis que les faux comptes disparaissent.

• Densité du réseau de parrainage : dans les programmes de parrainage, il convient de suivre le nombre de comptes parrainés qui, à leur tour, parrainent d’autres personnes. Les réseaux de parrainage naturels s’étendent au fil du temps, tandis que ceux générés par des abus restent stables.

• Taux de chevauchement entre appareils et adresses IP au sein de la cohorte promotionnelle : un chevauchement important peut indiquer une création coordonnée.

Quel est le lien entre l’abus des promotions, la fraude liée aux nouveaux comptes et l’abus des essais gratuits?

L’abus de promotions s’inscrit dans un ensemble plus large de comportements qui exploitent tous la même faille. Que l’objectif soit l’utilisation d’une promotion, le blanchiment d’argent ou la mise en place d’une prise de contrôle de compte, tout stratagème utilisant des identités fausses ou volées pour ouvrir des comptes relève de la fraude à l’ouverture de compte, et l’abus de promotions en est une manifestation courante. De même, l’abus des essais gratuits peut se traduire par le fait qu’une personne crée un nouveau compte à chaque fois que son essai expire, au lieu de s’abonner. Même si ses motivations peuvent différer de celles d’un abuseur de promotions, elle utilise néanmoins le même mécanisme.

Une infrastructure permettant à quelqu’un d’accumuler des crédits de parrainage peut tout aussi bien lui permettre de créer de faux comptes pour profiter d’essais gratuits, voire pire. Un problème d’abus de promotions révèle souvent des failles dans votre procédure de création de compte qui vont au-delà des promotions elles-mêmes. Lutter contre les abus de promotions de manière isolée peut vous exposer à des attaques contournant ces mesures. Au-delà du point d’accès dédié aux promotions, vous devez combler la faille sous-jacente en matière d’identité.

Quelles sont les techniques d’abus de promotions couramment utilisées lors de la création d’un compte?

Les abus liés aux promotions lors de l’inscription suivent généralement un ensemble de schémas bien définis.

Soyez attentif aux tactiques suivantes :

Création de plusieurs comptes

Il s’agit de la forme la plus simple d’abus de promotions. Une personne crée plusieurs comptes en utilisant différentes adresses courriel pour réclamer plusieurs fois une offre réservée aux nouveaux utilisateurs. Cette méthode fonctionne partout où l’éligibilité à la création d’un nouveau compte est vérifiée uniquement à partir de l’adresse courriel, sans vérification d’identité plus approfondie.

Auto-parrainage

Les programmes de parrainage qui versent une prime au parrain créent une incitation financière directe à l’auto-parrainage. L’attaquant crée un deuxième compte, le parraine à partir de son compte principal et empoche la récompense. Les programmes proposant des primes pour les deux parties peuvent permettre de doubler le rendement par faux compte créé.

Cumul de promotions

Les entreprises peuvent autoriser l’utilisation de plusieurs codes pour une même commande. Les pirates identifient et combinent ces codes à l’aide de techniques d’énumération ou de listes de codes divulguées ou partagées pour réduire le coût d’une transaction à zéro ou, si votre système attribue des crédits d’achat, le faire passer en négatif.

Utilisation automatisée

Des pirates plus expérimentés pourraient automatiser la procédure d’inscription et d’utilisation des récompenses. Une campagne prévue pour durer une semaine peut ainsi être épuisée en quelques heures.

Partage de code et divulgation publique

Les codes promotionnels publiés sur des sites agrégateurs de bons de réduction ou partagés sur les médias sociaux sont utilisés bien au-delà du public visé. Cela n’est pas toujours malveillant, mais cela peut nuire au ciblage et épuiser le budget destiné à un groupe particulier.

Quels sont les signaux de détection indiquant un abus des promotions?

La détection fonctionne en combinant des signaux qui permettent de distinguer les identités synthétiques ou récurrentes des véritables nouveaux utilisateurs.

Aucun signe pris isolément n’est déterminant, mais les signes suivants, lorsqu’ils sont observés conjointement, indiquent souvent un risque d’abus :

Regroupement des appareils et des réseaux

La création de plusieurs comptes à partir d’un même appareil, d’une même adresse IP ou d’un même sous-réseau en peu de temps constitue un signe fort. Il n’est pas inhabituel de voir deux comptes provenant de la même adresse IP domestique, mais 15 comptes provenant de la même adresse IP en 48 heures mériteraient d’être examinés de plus près.

Alias et modèles d’adresses courriel jetables

Certains fournisseurs de messagerie autorisent la création d’alias d’adresse (par exemple, utilisateur+étiquette@domaine.com), ce qui permet aux pirates de générer des adresses d’apparence unique qui redirigent toutes vers une seule boîte de réception. Les domaines de messagerie jetables peuvent s’afficher de manière disproportionnée dans les inscriptions frauduleuses par rapport aux inscriptions légitimes.

Graphiques de parrainage suspects

Les réseaux de parrainage organiques comportent généralement des ramifications : une personne parraine quelques amis, dont certains parrainent à leur tour d’autres personnes. Les abus donnent lieu à des graphiques en étoile : un compte en parraine beaucoup, mais les comptes ainsi parrainés ne présentent aucune activité ultérieure et sont utilisés immédiatement après leur création.

Délais d’utilisation anormaux

Les comptes qui utilisent une offre promotionnelle quelques secondes après leur création ou qui ont été créés par lots de manière coordonnée se comportent différemment des véritables clients. Les véritables utilisateurs peuvent prendre le temps de naviguer sur le site, hésiter ou mettre plusieurs jours entre leur inscription et leur premier achat.

Dynamique autour du lancement de la promotion

Une forte augmentation du nombre de créations de comptes immédiatement après l’annonce d’une promotion mérite d’être examinée de plus près.

Incohérences dans l’empreinte de l’appareil

Les divergences entre l’agent utilisateur déclaré, la résolution d’écran et les polices installées peuvent indiquer une automatisation ou une falsification d’empreinte. Les utilisateurs réels ne présentent généralement pas ce genre d’incohérences.

Comment les mesures de prévention contre les abus de promotions fonctionnent-elles sans bloquer les utilisateurs légitimes?

Éliminer tous les abus est difficile, et souvent impossible. L’objectif est de rendre les abus suffisamment coûteux pour que le rendement du capital investi disparaisse.

Limites d’utilisation et conditions d’éligibilité

Limitez les codes promotionnels à un par identité vérifiée, et non à un par adresse courriel. Ce qui est considéré comme une identité vérifiée dépend de votre tolérance au risque : un numéro de téléphone confirmé, une vérification du mode de paiement ou une adresse vérifiée.

Évaluation des risques liés aux appareils et à l’identité lors de l’inscription

Les outils qui attribuent une note aux nouveaux comptes dès leur création, en fonction de l’empreinte de l’appareil, de la réputation de l’adresse IP, du risque associé au domaine de messagerie et des signaux comportementaux, vous permettent d’appliquer un traitement différencié. Les comptes à faible risque peuvent accéder facilement à l’offre promotionnelle; les comptes à haut risque peuvent nécessiter une vérification supplémentaire avant que l’offre ne soit activée. Des outils comme Stripe Radar appliquent ce type de notation au sein des flux de paiement, et son moteur de règles vous permet de définir une logique personnalisée autour des événements d’utilisation de l’offre.

Défis progressifs pour les cohortes à haut risque

Plutôt que de bloquer purement et simplement les comptes suspects, exigez qu’un achat réel soit effectué avant que le crédit promotionnel ne soit débloqué. Cela permet de transformer les inscriptions frauduleuses en clients réels ou en abandons sans coût.

Limitation du débit sur les points de terminaison promotionnels

Si la validation de votre code promotionnel s’effectue par le biais d’un appel à l’interface de programmation d’application (API), ce point de terminaison doit être soumis à une limitation de débit et à une détection des anomalies.

Des conditions plus claires, dont le respect est garanti par des moyens techniques

La règle « un par client » n’a aucun sens si vous ne définissez pas et n’appliquez pas la notion de « client » dans votre système. Intégrez les règles d’éligibilité de manière à ce qu’elles soient vérifiées automatiquement, plutôt que de devoir être contrôlées manuellement a posteriori.

Comment Stripe Radar peut aider

Stripe Radar utilise des modèles d’IA formés pour détecter et prévenir la fraude, entraînés sur les données du réseau mondial de Stripe. Il met continuellement à jour ces modèles en fonction des dernières tendances en matière de fraude, protégeant ainsi votre entreprise au fur et à mesure que la fraude évolue.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées pour traiter des scénarios de fraude propre à leurs entreprises et d’accéder à des informations avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 trillion de dollars en paiements chaque année. Cette échelle permet à Radar de détecter et de prévenir la fraude avec précision, vous faisant économiser de l’argent.

• Augmenter les revenus : Les modèles d’IA de Radar sont formés sur des données réelles de litiges, d’informations clients, de données de navigation, et plus encore. Cela permet à Radar d’identifier les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances en matière de fraude, rédiger des règles, et plus encore sur une seule plateforme, augmentant ainsi l’efficacité.

Pour en savoir plus sur Stripe Radar, ou démarrer dès aujourd’hui.