Om een account aan te maken, moet een gebruiker een combinatie van e-mailadres, telefoonnummer en naam opgeven. Maar aangezien deze gegevens binnen enkele seconden verzonnen kunnen worden, geven ze niet veel bruikbare informatie over de werkelijke identiteit van de gebruiker. Andere gegevens zijn veel relevanter: het apparaat dat de gebruiker gebruikt, het netwerk waar hij vandaan komt, hoe hij door je aanmeldformulier is gegaan, en nog veel meer.

Identiteitsrisicoscoring is het cyberbeveiligingsproces dat een risiconiveau toekent aan een identiteit en die bijkomende signalen omzet in een beslissing. Hieronder leggen we uit wat identiteitsrisicoscoring is, waarom statische regels moderne misbruikpatronen niet kunnen detecteren, en hoe je een scoresysteem kunt evalueren en gebruiken als het eenmaal is geïmplementeerd.

Hoogtepunten

• Identiteitsrisicoscoring weegt tientallen signalen tegelijk af in plaats van te vertrouwen op één enkel kenmerk. Dit maakt het voor aanvallers veel moeilijker om te omzeilen dan statische regelsets.

• Het activeren van proefversies, de verzilvering van promoties en aanmeldingen zijn enkele van de meest waardevolle momenten om scoring toe te passen.

• Teams moeten bij het implementeren van een scoresysteem altijd gebruikmaken van voortdurende drempelafstemming en feedbackloops.

Wat is identiteitsrisicoscoring?

Identiteitsrisicoscoring kent een numerieke of categorische risicowaarde toe aan een identiteitspoging op basis van het totale gewicht van de signalen die op dat moment aanwezig zijn. In plaats van te focussen op de vraag of het e-mailadres van de gebruiker zelf echt is, kijkt het of de poging als geheel overeenkomt met hoe die van een legitieme gebruiker eruit zou zien.

Welke signalen vormen doorgaans de basis voor identiteitsanalyse?

Geen enkel gegevenspunt vertelt je of een aanmelding legitiem is. Identiteitsanalyse- en risicoscoresystemen verzamelen signalen uit vijf verschillende categorieën:

Apparaatsignalen

Een apparaatvingerafdruk combineert de browserversie, geïnstalleerde lettertypen, schermresolutie en hardwarespecificaties tot een pseudonieme identificatiecode die tijdens alle sessies behouden blijft. Dit betekent dat een apparaat dat in verband wordt gebracht met eerdere fraude of misbruik wordt gemarkeerd, zelfs als de inloggegevens van het account veranderen. Platforms zoeken ook naar tekenen van automatisering, zoals headless browsers, ontbrekende verwachte applicatieprogrammeerinterfaces (API's) of combinaties van kenmerken die niet voorkomen op echte consumentenapparaten.

Netwerksignalen

De reputatie van het internetprotocol (IP) is belangrijker dan het IP-adres zelf; bijvoorbeeld of het gekoppeld is aan een datacenter, een bekende VPN-provider, Tor-uitgangsknooppunten of een residentieel proxynetwerk dat criminelen gebruiken om gewoon consumentenverkeer na te bootsen. Snelheid op netwerkniveau, zoals 50 aanmeldingen vanuit hetzelfde subnetwerk in een uur, is op zichzelf al een signaal van frauduleuze activiteit.

Gedragsbiometrie

Typritme, muisbewegingspatronen, de tijd die aan elk veld wordt besteed en of een gebruiker zijn e-mail kopieert en plakt in plaats van typt: het zijn allemaal meetbare patronen. Bots en gescripte tools genereren statistisch gezien andere signaturen dan mensen, en het blijft een technisch probleem voor aanvallers om die patronen natuurlijk te laten lijken.

Signalen van identiteitskenmerken

De leeftijd van een e-mailadres, de reputatie van het domein, of het adres overeenkomt met patronen van wegwerp-e-mailadressen, het type telefoonnummer (bijv. Voice over Internet Protocol of VoIP, door een provider verstrekt) zijn afzonderlijk zwakke signalen, maar in combinatie met andere zijn ze significant.

Koppeling tussen accounts

Als vijf accounts dezelfde apparaatvingerafdruk delen, of als er in een week 20 accounts zijn aangemaakt vanuit hetzelfde IP-bereik, zijn die koppelingen signalen. Een platform met brede dekking in veel ondernemingen kan patronen detecteren die geen enkele operator in zijn eentje ooit zou zien.

Waarom falen statische regels waar identiteitsrisicobeoordeling slaagt?

Statische regels zijn vaste doelen. Aanvallers schakelen over op residentiële proxyservers wanneer datacenter-IP's worden geblokkeerd, gaan over op aangepaste domeinen wanneer regels voor wegwerp-e-mailadressen in werking treden, en verspreiden het verkeer over IP's wanneer snelheidslimieten in werking treden.

Zo pakt scoring deze faalmodi aan:

Binaire beslissingen op continue distributies

Echt verkeer bevindt zich op een spectrum tussen legitiem en frauduleus, en de overlapzone is breed. Een VPN-gebruiker met een schone geschiedenis en normaal gedrag is anders dan een VPN-gebruiker op een gemarkeerde residentiële proxy met bot-achtige typepatronen en een e-mailadres dat nog maar drie minuten oud is. Een statische regel kan dat verschil niet weergeven, maar een score wel.

Aanvallers passen zich aan

Wanneer frauduleuze actoren van tactiek veranderen, merkt een op regels gebaseerd systeem dat pas op als iemand een nieuwe regel schrijft. Een scoresysteem dat is getraind op gedragspatronen kan de nieuwe tactiek detecteren als een afwijking ten opzichte van de baseline van legitiem verkeer, vaak nog voordat deze expliciet is gelabeld.

De grijze zone

Veel productiesystemen gebruiken harde regels voor signalen die duidelijk worden afgewezen, zoals bekende malware-infrastructuur of sanctielijst-overeenkomsten, en scores voor alles daartussenin.

Waar is identiteitsrisicoscoring belangrijk?

Misbruikpatronen volgen gebruikers gedurende hun hele levenscyclus op je platform. Risicoscoring wordt toegepast op elk van de volgende punten, waar identiteit wordt bevestigd of mogelijk wordt misbruikt.

Account aanmaken

Enkele voor de hand liggende doelwitten voor misbruik zijn het misbruiken van gratis abonnementen, het aanmaken van accounts voor het verzamelen van inloggegevens, nepaccounts voor beoordelingen en het verzamelen van promotiecodes. Een score bij aanmelding is je eerste en soms enige kans om dit op te sporen voordat het account actief wordt.

Activering van gratis proefversies

Misbruik van proefversies volgt een voorspelbaar patroon: een account aanmaken, een proefversie activeren, deze volledig benutten en dan een nieuwe aanmaken. Door naast de aanmelding ook bij de activering van de proefversie een score toe te kennen, kun je gebruikers opsporen die al door de eerste screening zijn geglipt.

Verzilvering van promoties en verwijzingen

Misbruik van promoties volgt bepaalde infrastructuurpatronen. Door op het moment van verzilvering een score toe te kennen, kun je accounts opsporen die de aanmeldingsscreening hebben doorstaan, maar nu gedrag vertonen dat verband houdt met misbruik.

Inloggen

Account-overname is een ander bedreigingsmodel dan fraude met nieuwe accounts, maar de signalen overlappen elkaar. Afwijkende inlogpogingen rechtvaardigen een eigen scorelaag.

Sommige platforms scoren continu tijdens een sessie. Een gebruiker die de aanmeldingsscore doorstaat, maar vervolgens snelle API-aanroepen, bulkexporten van gegevens of herhaalde mislukte betalingen probeert, wordt opnieuw gescoord op basis van dat gedrag. Stripe Radar beoordeelt transacties aan de hand van signalen uit het hele Stripe-netwerk, waardoor het inzicht krijgt in patronen die individuele ondernemingen zelf niet kunnen zien. Voor ondernemingen die aanmeldingsbeveiliging bouwen die is gekoppeld aan Stripe-betalingen, fungeert deze beoordelingslaag in de betalingsfase als een vangnet tegen fraude die eerdere screening doorstaat.

Hoe beoordeel je een platform voor identiteitsrisicoscoring?

De verschillen tussen aanbieders zijn niet altijd duidelijk te zien op hun marketingpagina's. Als je het verkeerde platform kiest, kun je legitieme gebruikers blokkeren of misbruik doorlaten.

Dit is waar je op moet letten bij een risicoscoringplatform:

Dekking en actualiteit van signalen

Bepaal hoeveel soorten signalen het platform verwerkt en hoe actueel de reputatiegegevens zijn. Een platform met verouderde IP-reputatiegegevens of beperkte dekking van identificatie van apparaten aan de hand van hun kenmerken zal scores opleveren die moderne aanvalspatronen missen. Vraag leveranciers specifiek naar hun mogelijkheden voor het detecteren van residentiële proxy’s en gedragsbiometrie; dit zijn gebieden waarop platforms aanzienlijk van elkaar verschillen.

Real-time prestaties

Identiteitsscores bij aanmelding moeten een resultaat opleveren voordat de gebruiker een reactie verwacht. Een vertraging van meer dan een paar honderd milliseconden begint de conversie te beïnvloeden. Vraag naar de daadwerkelijke 99e percentiel-vertragingstijden.

Nauwkeurigheid en percentage valse positieven

Een systeem dat 95% van fraude blokkeert maar ten onrechte 3% van de legitieme gebruikers weigert, kan per saldo negatief zijn, afhankelijk van je onderneming. Het percentage valse positieven moet worden afgemeten aan je specifieke verkeersprofiel. Wanneer het systeem een account markeert, moet het je kunnen vertellen welke signalen tot die beslissing hebben geleid.

Integratiemogelijkheden

Ga na of het platform kant-en-klare integraties met je stack heeft en een realtime API biedt die past bij je aanmeldingsproces. Kijk hoe het omgaat met beslissingen die moeten worden teruggekoppeld naar je authenticatie- of betalingssystemen.

Operationele tools

Scoring heeft dashboards nodig die scoreverdelingen tonen, tools om gemarkeerde accounts te beoordelen, de mogelijkheid om drempels aan te passen en feedbackmechanismen waarmee beslissingen van menselijke beoordelaars het model kunnen verbeteren. Platforms die niet in deze infrastructuur investeren, worden na verloop van tijd steeds inefficiënter.

Hoe beheer en verfijn je een identiteitsrisicoscoresysteem in de loop van de tijd?

Het implementeren van een platform voor identiteitsanalyse en risicoscores is het begin van een doorlopend proces.

Dit is wat je vanaf het begin moet weten:

Stel drempels in op basis van risicotolerantie

Veel platforms worden geleverd met standaard score-drempels die leiden tot blokkeringen, verificatieverzoeken of goedkeuringen. Die standaardinstellingen zijn afgestemd op de gemiddelde klant, dus ze zullen waarschijnlijk moeten worden aangepast. Laat het systeem in de schaduwmodus draaien en bekijk de verdeling van de scores ten opzichte van je bekende uitkomsten. Dit vertelt je waar je drempels eigenlijk moeten liggen.

Let op afwijkingen

Het gedrag van aanvallers verandert, en dat geldt ook voor het gedrag van legitieme gebruikers, vooral wanneer je nieuwe markten betreedt, je product verandert of een campagne voert die ongebruikelijk veel verkeer aantrekt. Scoreverdelingen die verschuiven zonder dat de daadwerkelijke fraudecijfers mee veranderen, zijn een teken dat er iets is veranderd en dat er onderzoek nodig is.

Bouw feedbackloops in

De score is een voorspelling, maar de daadwerkelijke uitkomsten zijn de realiteit. Platforms die feedback kunnen verwerken en hun modellen kunnen aanpassen, zijn op de lange termijn aantoonbaar nauwkeuriger dan platforms die dat niet kunnen.

Herzie drempels regelmatig

Teams stellen vaak drempels vast tijdens de onboarding en herzien deze maandenlang niet. Ondertussen veranderen de fraudecijfers, veranderen productoppervlakken en kan de drempel die is afgestemd op het verkeersprofiel van vorig jaar nu te streng of te soepel zijn. Zorg voor een evaluatieritme waarbij je de scoreprestaties afzet tegen de resultaten en pas ze dienovereenkomstig aan.

Hoe Stripe Radar kan helpen

Stripe Radar gebruikt AI-modellen om fraude op te sporen en te voorkomen, getraind op basis van gegevens uit het wereldwijde netwerk van Stripe. Het werkt deze modellen steeds bij op basis van de nieuwste fraudetrends, zodat je onderneming beschermd blijft terwijl fraude zich ontwikkelt.

Stripe biedt ook Radar for Fraud Teams, waarmee gebruikers regels op maat kunnen toevoegen voor specifieke fraude scenario's voor hun bedrijf en toegang krijgen tot geavanceerde fraude- inzichten.
Radar kan je onderneming helpen met:

• Fraudeverliezen voorkomen: Stripe verwerkt jaarlijks meer dan $ 1 biljoen aan betalingen. Deze schaalgrootte stelt Radar in staat om fraude nauwkeurig op te sporen en te voorkomen, waardoor je geld bespaart.

• Omzet verhogen: de AI-modellen van Radar zijn getraind op basis van echte chargebackgegevens, klantinformatie, browsegegevens en meer. Hierdoor kan Radar risicovolle transacties identificeren en valse positieven verminderen, waardoor je omzet stijgt.

• Tijd besparen: Radar is ingebouwd in Stripe en hoeft niet te worden geconfigureerd. Je kunt ook je frauderesultaten monitoren, regels opstellen en meer op één platform, waardoor de efficiëntie toeneemt.

Lees meer over Stripe Radar of ga vandaag nog aan de slag.