Un punteggio di frode del protocollo Internet (IP) valuta la probabilità che un determinato indirizzo IP sia legato ad attività fraudolente. Il punteggio viene calcolato utilizzando i dettagli di reti private virtuali (VPN), incongruenze di geolocalizzazione, velocità delle transazioni e uso di proxy, ad esempio tramite data center. Purtroppo, dal 30% al 95% del traffico sulle principali reti di proxy residenziali è associato ad attività di frode black hat o gray hat, il che rende la frode un problema globale.

Le attività ricavano un punteggio di frode dell'IP, sia al momento del checkout sia quando un cliente crea un nuovo account, per decidere se approvare una transazione, inviarla per essere esaminata o bloccarla del tutto. Di per sé, il punteggio di frode dell'IP trasmette informazioni solo sulla connessione online della transazione, non sulla persona che la utilizza; è qui che le strategie di frode possono rivelarsi errate.

Di seguito spiegheremo come eseguire i controlli del punteggio di frode dell'IP, come le attività li utilizzano nei modelli di rischio dei pagamenti e perché fare troppo affidamento su di essi può portare a falsi positivi per i clienti legittimi.

In sintesi:

• Un punteggio di frode dell'IP utilizza dettagli sul rilevamento di VPN e proxy, incongruenze di geolocalizzazione e frequenza dei tentativi di transazione per stimare il rischio, ma non può confermare chi ci sia effettivamente dietro una transazione.

• Affidarsi esclusivamente ai punteggi dell'IP potrebbe creare falsi positivi per i clienti legittimi, tra cui chi viaggia per lavoro, dipendenti da remoto che utilizzano VPN aziendali e persone su reti mobili condivise.

• Alcuni programmi software possono attingere ai dati delle transazioni di milioni di attività per delineare un quadro più completo del rischio potenziale di una singola transazione rispetto a quello che può offrire uno strumento di controllo dell'IP autonomo.

Che cos'è un punteggio di frode dell'IP?

Un punteggio di frode dell'IP è una valutazione numerica o a livelli che stima la probabilità che un determinato indirizzo IP sia legato ad attività fraudolente. Per generarlo, gli strumenti di assegnazione del punteggio confrontano l'indirizzo IP con database di VPN, proxy, nodi Tor e data center noti, quindi aggiungono la cronologia comportamentale, come le acquisizioni di account, i tentativi di card testing e gli storni passati.

Quali segnali determinano un punteggio di frode dell'IP?

Solitamente, gli strumenti di assegnazione del punteggio attingono a diversi tipi di informazioni, delineando un quadro del rischio effettivo.

Ecco i principali segnali utilizzati per determinare un punteggio di frode dell'IP:

• Rilevamento di VPN e proxy: l'indirizzo IP viene confrontato con elenchi di VPN commerciali note e proxy aperti, dove gli autori di frodi possono nascondere la loro posizione reale o alternare molte identità da un'unica connessione.

• Incongruenze di geolocalizzazione: se l'indirizzo IP risulta essere a San Pietroburgo, in Russia, ma l'indirizzo di fatturazione è a Toronto, in Canada, questa discrepanza viene considerata un fattore di rischio, in particolare per un primo ordine senza cronologia degli acquisti con cui effettuare un confronto.

• Velocità delle transazioni: un indirizzo IP che effettua una decina di ordini in un'ora, ciascuno su una carta diversa, è considerato più sospetto rispetto a un altro che tenta di completare una singola transazione in un'unica sessione.

• Utilizzo del nodo di uscita Tor: Tor instrada il traffico online attraverso più relè per nascondere l'origine di una potenziale transazione, il che lo rende un avviso quasi automatico, anche se molte persone lo utilizzano per motivi di privacy del tutto legittimi.

• Traffico dei data center: i consumatori solitamente non fanno acquisti da intervalli IP di Amazon Web Services (AWS) o Google Cloud; il traffico che proviene da siti come questi spesso indica un bot, uno scraper o uno script che esegue tentativi di card testing.

• Segnali di rilevamento dell'impronta digitale del dispositivo: la configurazione del browser, la risoluzione dello schermo e i font installati vengono incrociati con l'indirizzo IP per capire se la transazione sembra provenire da una persona reale o da un attacco tramite script.

In che modo le attività utilizzano i punteggi di frode dell'IP nei modelli di rischio dei pagamenti?

Le attività di e-commerce e le piattaforme di pagamento solitamente ricavano un punteggio dell'IP quando un potenziale cliente crea un account o tenta di acquistare qualcosa al momento del checkout. Al momento della registrazione, un punteggio di frode elevato potrebbe attivare ulteriori controlli dell'identità prima che un nuovo account riceva privilegi completi. Al checkout, potrebbe richiedere una decisione in merito all'approvazione della transazione, all'invio per la revisione manuale o alla richiesta di un ulteriore passaggio di autenticazione.

Solitamente, i modelli di rischio funzionano in base a soglie piuttosto che a un singolo limite di idoneità. Un punteggio inferiore a 25 potrebbe passare senza complicazioni, mentre un punteggio compreso tra 25 e 75 potrebbe richiedere un'ulteriore verifica o essere bloccato per la revisione. Qualsiasi punteggio superiore a 75 spesso richiede cautela, in particolare se associato ad altri segnali di allarme come un indirizzo di fatturazione non corrispondente o un primo ordine insolitamente grande.

Tuttavia, un'attività che blocca una transazione basandosi unicamente su un punteggio di rischio elevato potrebbe respingere clienti reali. La valutazione di fattori come la verifica della carta, i dati del dispositivo e i modelli comportamentali consente a un'attività di avere un quadro più completo quando tenta di prendere una decisione su una transazione. L'impostazione di intervalli di punteggio IP o soglie troppo ampi potrebbe far sfuggire ordini fraudolenti. Se invece sono troppo restrittivi, i clienti legittimi potrebbero essere allontanati al momento del checkout. Molti team che si occupano di frodi considerano l'impostazione delle soglie come un esercizio di calibrazione continuo.

Perché i punteggi di frode dell'IP creano falsi positivi?

Un comportamento legittimo può sembrare rischioso a livello di rete, ma ogni cliente che viene erroneamente bloccato o costretto a completare passaggi di verifica aggiuntivi può danneggiare i profitti di un'attività. D'altra parte, ripetute complicazioni durante il checkout possono spingere i clienti verso concorrenti con procedure di checkout più semplici.

Alcune delle principali cause di falsi positivi includono:

• Reti aziendali e universitarie: le grandi organizzazioni instradano migliaia di dipendenti attraverso un piccolo numero di indirizzi IP condivisi, quindi un solo indirizzo può sembrare generare un volume non plausibile di transazioni non correlate.

• Operatori di telefonia mobile: il Carrier-Grade Network Address Translation (CGNAT) fa sì che un singolo indirizzo IP possa rappresentare contemporaneamente centinaia o migliaia di abbonati distinti, il che sballa qualsiasi punteggio basato sulla velocità delle transazioni.

• Viaggi internazionali: un titolare della carta che fa acquisti da un Paese che non fa parte della cronologia degli acquisti del cliente produrrà un'incongruenza di geolocalizzazione che fa sembrare che la transazione coinvolga una carta rubata, quando in realtà il cliente potrebbe semplicemente viaggiare fuori dal Paese.

• Strumenti per la privacy: le VPN vengono utilizzate per motivi non legati alle frodi, dalle politiche di sicurezza sul posto di lavoro alle preferenze personali, ma i modelli di punteggio le considerano ancora per impostazione predefinita come un fattore di rischio elevato.

Come si verifica un punteggio di frode dell'IP?

Quando un'attività verifica un singolo indirizzo IP, diversi strumenti di controllo autonomi del punteggio di frode dell'IP prendono un indirizzo e restituiscono una valutazione del rischio basata in parte su eventuali segnali d'allarme come l'uso di VPN, proxy o data center. Questi sistemi sono utili per un controllo una tantum della valutazione del rischio o per capire perché una determinata transazione è stata segnalata.

Tuttavia, verificare gli indirizzi IP uno alla volta non è sempre gestibile per le attività che elaborano un volume elevato di transazioni. Idealmente, l'assegnazione del punteggio dell'IP dovrebbe essere integrata nello stesso sistema che valuta la carta, il dispositivo e il comportamento del cliente in tempo reale al momento del checkout, senza ulteriori passaggi manuali. In questo modo le attività non devono ricavare i punteggi manualmente e creare regole specifiche per essi; l'assegnazione del punteggio avviene automaticamente come parte del flusso di pagamento.

Stripe Radar include l'indirizzo IP e i dati sulla posizione nel suo punteggio di frode, ma non considera questi dati come un punto di decisione autonomo. Radar valuta ogni transazione in base a centinaia di segnali, tra cui la reputazione dell'indirizzo IP e la geolocalizzazione, oltre al comportamento della carta, alle caratteristiche del dispositivo e ai modelli specifici della cronologia delle transazioni di un'attività.

La scala alla base dell'analisi dell'indirizzo IP di Radar lo distingue da un controllo dedicato dell'indirizzo IP. Radar addestra i suoi modelli di machine learning sui dati delle transazioni di milioni di attività su Stripe, il che fornisce un quadro più chiaro del comportamento delle transazioni normali e anomale in numerosi settori, aree geografiche e tipi di clienti rispetto a quello che una singola attività potrebbe costruire osservando solo il proprio traffico. Tale scala consente a Radar di rilevare modelli di frode emergenti, come una nuova rete proxy o un'ondata coordinata di card testing, più velocemente rispetto a un'attività che si affida a blocklist di indirizzi IP statiche. Radar consente inoltre alle attività di sovrapporre regole personalizzate al suo punteggio di machine learning, in modo che un'attività possa decidere autonomamente come rispondere quando una transazione viene segnalata per un rischio correlato all'indirizzo IP.

In che modo Stripe Radar può esserti utile

Stripe Radar è in grado di prevenire le frodi sfruttando modelli di intelligenza artificiale addestrati con i dati della rete globale di Stripe. Questi modelli vengono costantemente aggiornati in base alle ultime tendenze, proteggendo continuamente la tua attività da sistemi di frode in continua evoluzione.

Con Radar puoi:

• Prevenire le perdite causate da frodi: con più di 1.000 miliardi di dollari elaborati annualmente, Radar è in grado di rilevare e prevenire le frodi con estrema precisione, facendoti risparmiare denaro.

• Unificare la protezione contro i continui attacchi informatici legati alle frodi: Radar riunisce in un'unica soluzione la protezione contro le frodi relative alle transazioni, le frodi sugli account e gli abusi da parte dei clienti, in modo da ottenere una protezione unificata per i principali tipi di frode.

• Adattarsi all'evoluzione delle frodi: Radar si adatta costantemente all'evoluzione dei modelli di frode, dagli abusi di prime parti alle transazioni degli agenti, aiutando a proteggere la tua attività dalle minacce emergenti.

• Collaborare con il tuo stack tecnologico esistente: utilizza Radar con i pagamenti Stripe senza alcuna integrazione richiesta oppure accedi all'intelligenza di Radar tramite API programmabili, indipendentemente dal fatto che tu elabori o meno pagamenti su Stripe.

Scopri di più su Stripe Radar, oppure inizia oggi stesso.

Domande frequenti sui punteggi di frode dell'IP