Le prove gratuite sono una strategia di acquisizione efficace, ma attirano abusi sistematici. Quando una prova gratuita offre un valore reale, i truffatori la sfrutteranno, spesso tramite la creazione di account tramite script, identità usa e getta e credenziali di pagamento progettate per non superare il controllo al momento dell'addebito. Lo sfruttamento delle prove gratuite è noto come abuso delle prove gratuite e le attività di tipo software-as-a-service (SaaS) devono determinare quanto costa e quale infrastruttura di rilevamento può intercettarlo.

Le identità fraudolente hanno rappresentato il 2,5% di tutte le verifiche degli account a livello globale nel 2024, un tasso più che doppio rispetto a quello del 2021. Questo dato riflette la crescente accessibilità degli strumenti per la creazione di identità usa e getta che rendono possibile lo sfruttamento delle prove gratuite su larga scala.

Di seguito, illustreremo i modelli di abuso più comuni nella fase di prova gratuita, i motivi per cui sono strutturalmente difficili da rilevare, alcune tattiche di prevenzione e i segnali al livello del pagamento.

In sintesi

• L'abuso delle prove gratuite è diverso dal normale tasso di abbandono. Chi commette abusi sfrutta deliberatamente l'infrastruttura di prova gratuita tramite identità false, manipolazione dei pagamenti e raccolta di crediti.

• Un rilevamento efficace richiede la combinazione di segnali a livello di email, dispositivo, pagamento e dati di rete. Nessun singolo dato inserito è in grado di distinguere i truffatori dagli utenti legittimi che non convertono.

• La prevenzione funziona meglio quando si modificano i costi dell'abuso tramite la convalida dei pagamenti, la verifica in base al rischio e i limiti di utilizzo.

Che cos'è l'abuso delle versioni di prova gratuite

L'abuso di prove gratuite è qualsiasi comportamento deliberato progettato per estendere l'accesso oltre i limiti previsti per una prova o per estrarne più valore di quanto la sua struttura consenta. Ciò include la creazione di più account per reimpostare i timer delle prove, l'utilizzo di identità false o usa e getta per eludere la verifica, la fornitura di credenziali di pagamento che non autorizzeranno un addebito al termine della prova e la raccolta di crediti di prova tramite sistemi di presentazione.

Quali sono i modelli comuni di abuso delle prove gratuite?

I modelli di abuso delle prove gratuite tendono a condividere alcuni comportamenti riconoscibili. Conoscere le meccaniche di ciascuno di essi cambia il modo in cui crei il rilevamento.

Ecco a quali aspetti prestare attenzione:

Registrazioni ripetute con identità usa e getta o sintetiche

Un utente esaurisce una prova gratuita, crea un nuovo account con un indirizzo email diverso e avvia un'altra prova gratuita. I servizi di email usa e getta generano un numero illimitato di indirizzi senza alcuna verifica richiesta. I truffatori più sofisticati utilizzano identità sintetiche (combinazioni di dati personali reali e inventati) che superano i controlli di identità di base.

Alcuni truffatori alternano i proxy residenziali tra una registrazione e l'altra per variare la loro posizione apparente, rendendo più difficile il rilevamento in base alle informazioni IP (Internet Protocol). La creazione di account tramite script su larga scala richiede solo conoscenze tecniche minime e strumenti ampiamente disponibili. Può generare migliaia di account di prova su una piattaforma in poche ore.

Manipolazione del metodo di pagamento

Molte piattaforme SaaS richiedono una carta di credito al momento della registrazione della prova gratuita per ridurre al minimo gli abusi e semplificare la conversione. Ciò apre un'altra superficie di attacco. Chi commette abusi utilizza carte prepagate, numeri di carta virtuale o carte con saldi troppo bassi per autorizzare un addebito. La carta supera un controllo di autorizzazione iniziale per verificarne l'autenticità, ma non riesce quando la prova gratuita termina e inizia l'addebito. Le carte virtuali sono difficili da controllare perché sono emesse da istituti finanziari legittimi e non presentano un segnale di frode intrinseco a livello di carta.

Raccolta di inviti e crediti

Le piattaforme che offrono crediti per la prova o bonus di invito creano un vettore di abuso specifico. La creazione coordinata di account, che a volte coinvolge centinaia di account controllati da un singolo attore, esaurisce i pool di crediti progettati per costare un importo ridotto per utente legittimo. Con le strutture dei bonus per le presentazioni, alcune piattaforme pagano inavvertitamente chi commette abusi per auto-reclutarsi.

Perché gli abusi delle prove gratuite sono così difficili da rilevare?

Il problema principale è che l'abuso in genere appare identico al comportamento legittimo dei nuovi utenti al momento della registrazione.

Il tradizionale rilevamento delle frodi si basa sul rischio delle transazioni. L'abuso delle prove gratuite si verifica per lo più prima o in concomitanza a qualsiasi pagamento reale, il che significa che i segnali a livello di pagamento sono limitati o assenti. I controlli dell'identità sono utili, ma sono progettati per confermare se un'identità è reale, non se la persona che la utilizza si è registrata la settimana precedente con un nome diverso.

Molti utenti in prova gratuita non convertono per motivi legittimi. Distinguere gli utenti autentici da chi commette sistematicamente abusi richiede segnali comportamentali e di pagamento che si accumulano nel tempo e tra più account, piuttosto che in un singolo evento di registrazione. La velocità è l'indicatore più affidabile, ma è visibile solo nel suo insieme.

Come fanno le attività SaaS a rilevare in tempo reale gli abusi delle prove gratuite?

Un rilevamento efficace opera contemporaneamente su più livelli di segnali. Nessun singolo dato inserito è sufficiente, ma in combinazione, questi possono indicare un potenziale abuso:

• Analisi dei modelli di email: i domini email usa e getta sono ben documentati e regolarmente aggiornati in blocklist condivise. Il rilevamento più sofisticato esamina la data di creazione dell'email, la configurazione del record di scambio di posta e l'eventuale presenza di una cronologia di invio legittima del dominio.

• Rilevamento dell'impronta digitale del dispositivo: il rilevamento dell'impronta digitale del browser combina decine di attributi (ad es. rendering canvas, enumerazione dei caratteri, fuso orario, plug-in installati) in un identificatore stabile che persiste tra i tentativi di creazione dell'account. È in grado di individuare gli utenti che cancellano i cookie o utilizzano la modalità di navigazione in incognito, consentendo di collegare account che sembrano separati a livello di identità.

• Punteggio di rischio del metodo di pagamento: il tipo di carta, la banca emittente, i metadati a livello di numero di identificazione bancaria (BIN) e il comportamento di autorizzazione contengono tutti dei segnali. I BIN delle carte prepagate e delle carte virtuali sono sempre più identificabili e una carta che autorizza un addebito di verifica di 1 $ ma rifiuta un abbonamento di 29 $ due settimane dopo è un dato significativo che il punteggio di rischio può rivelare prima della fine della prova gratuita.

• Monitoraggio dei modelli comportamentali: monitora il tasso di registrazione per intervallo IP, cluster di dispositivi, dominio email e codice di invito. Un codice di invito che genera 50 registrazioni in 24 ore dallo stesso cluster di dispositivi non funziona come previsto.

• Segnali a livello di rete: i nodi di uscita Tor, gli intervalli di proxy residenziali e gli indirizzi IP dei data center presentano un rischio elevato al momento della registrazione alla prova gratuita. Una rete privata virtuale (VPN) da sola non squalifica un utente, ma la combinazione di una VPN, di un'email usa e getta e di una carta prepagata è un profilo di rischio coerente che vale la pena segnalare.

Quali tattiche di prevenzione riducono l'esposizione agli abusi delle prove gratuite?

Il rilevamento ti dice cosa sta succedendo, ma la prevenzione degli abusi delle prove gratuite modifica i costi degli abusi in modo che non valga la pena tentarli. Ecco alcune tattiche di prevenzione che possono dissuadere gli attori fraudolenti dal prendere di mira la tua attività:

Richiedere un metodo di pagamento e convalidarlo correttamente

I requisiti delle carte in archivio al momento della registrazione scoraggiano gli abusi occasionali. Un piccolo addebito (1 $, annullato immediatamente) conferma che la carta può effettuare transazioni, non solo che il numero è strutturalmente valido. Questo produce dati comportamentali più completi da parte della società emittente e rivela l'uso di carte prepagate o con fondi insufficienti prima della fine della prova gratuita.

Limitare le funzionalità di alto valore all'interno della prova gratuita

Non tutte le funzionalità del livello a pagamento devono essere disponibili dall'inizio. L'accesso a funzionalità che comportano un costo reale, come le chiamate API (Application Programming Interface) di alto volume, l'inferenza AI e le esportazioni in blocco, può essere concesso in modo progressivo man mano che l'utente dimostra un coinvolgimento legittimo. Ciò significa verifica dell'email, completamento del profilo e modelli di utilizzo coerenti con il comportamento di un nuovo utente. In questo modo si limitano i danni per ogni incidente, senza peggiorare l'esperienza di prova per i potenziali clienti autentici.

Applicare attriti basati sul rischio in fase di attivazione

Le registrazioni a basso rischio devono rimanere rapide e semplici. Quelle ad alto rischio (segnalate da dispositivi, email, pagamenti o segnali di rete) dovrebbero richiedere un'ulteriore verifica. La verifica del numero di telefono è un deterrente efficace in quanto l'acquisizione di numeri di telefono verificati su larga scala è molto più difficile e costosa della generazione di indirizzi email usa e getta. Riservala per le registrazioni con un rischio elevato invece di applicarla in modo universale.

Impostare e far rispettare i limiti di utilizzo a livello di account

Pool di crediti, chiamate API e quote di archiviazione devono essere applicati a livello di account con limiti rigidi. Se la tua prova gratuita consente 500 chiamate API e un account le esaurisce in quattro minuti tramite un comportamento basato su script, questo è un segnale di rilevamento e un punto di intervento. In questo momento dovresti sospendere l'account per esaminarlo.

Vale la pena investire nella prevenzione degli abusi delle prove gratuite per le attività SaaS?

Il calcolo rilevante va oltre il costo diretto del valore della prova consumato dai truffatori. Il problema maggiore è la distorsione a valle attraverso metriche di conversione falsate, costi di acquisizione dei clienti gonfiati e dati degradati se il comportamento degli utenti influisce sulle decisioni relative ai prodotti.

Il ritorno sull'investimento potrebbe rivelarsi maggiore per le attività in cui il valore della prova gratuita è elevato e il costo marginale è significativo. Tra queste rientrano le piattaforme basate sull'IA in cui l'inferenza costa per query, gli strumenti per sviluppatori in cui l'accesso alle API si espande con l'utilizzo e qualsiasi prodotto in cui il divario tra la prova gratuita e l'accesso a pagamento è ridotto. Se la tua prova gratuita rappresenta fedelmente il tuo prodotto a pagamento, il che di solito è la scelta giusta per la conversione, vale la pena proteggerla.

Stripe Radar affronta direttamente il livello del pagamento di questo problema. Radar valuta il rischio del metodo di pagamento al momento della registrazione alla prova gratuita utilizzando segnali provenienti da tutta la rete di Stripe: dati a livello di carta, modelli di comportamento di autorizzazione e segnali interaziendali.

In che modo Stripe Radar può essere d'aiuto

Stripe Radar è in grado di prevenire le frodi sfruttando modelli di IA addestrati con i dati della rete globale di Stripe. Questi modelli vengono costantemente aggiornati in base alle ultime tendenze, proteggendo costantemente la tua attività da sistemi di frode in continua evoluzione.

Stripe offre anche Radar for Fraud Teams, che consente agli utenti di aggiungere regole personalizzate per affrontare scenari di frode specifici per le loro attività e di accedere a informazioni avanzate sulle frodi.

Radar può aiutare la tua attività a:

• Prevenire le perdite dovute a frodi: Stripe elabora oltre 1.000 miliardi di USD di pagamenti all'anno. Questa portata consente a Radar di individuare e prevenire con precisione le frodi, consentendoti di risparmiare denaro.

• Aumentare i ricavi: i modelli IA di Radar sono addestrati su dati reali relativi a contestazioni, informazioni sui clienti, dati di navigazione e altro. Ciò consente a Radar di identificare le transazioni rischiose e ridurre i falsi positivi, aumentando i tuoi ricavi.

• Risparmiare tempo: Radar è integrato in Stripe e non richiede alcuna riga di codice per essere configurato. Puoi anche monitorare le tue prestazioni antifrode, scrivere regole e altro in un'unica piattaforma, aumentando l'efficienza.

Scopri di più su Stripe Radar, oppure inizia oggi stesso.