本报告全面概述了网络欺诈的现状。我们分析了 2019 至 2022 年的数据，包括数百万家企业使用 Stripe 进行的数十亿次支付尝试，并与 Milltown Partners（与 focaldata 合作）共同对全球 9 个市场（澳大利亚、加拿大、法国、德国、日本、荷兰、新加坡、英国和美国）的 2500 多名企业领导者进行了调研。

结合 Stripe 分析报告和这些调研结果，我们得以确定去年与欺诈相关的几大趋势，比如：2020 年与产品相关的争议增多，以及经常性收入企业尤其关注欺诈所带来的财务影响。根据我们发现的数据，我们还在报告中重点介绍了成功应对这些欺诈趋势的技巧。在报告结尾，我们根据对欺诈行业发展方向的预测，提出了四个总体性的最佳实践。

本报告分为以下四部分：

1. 欺诈增多的原因
   
2. 欺诈风险按区域、国家/地区以及企业规模呈现的差异
   
3. 欺诈对企业的影响
   
4. 我们对欺诈行业的预测
   

执行摘要

• 根据我们的调研，全球 64% 的企业领导表示自从疫情爆发后，企业防范欺诈变得更加困难。我们认为这一定程度上是因为欺诈类型和欺诈总量增加。
  
• 在疫情初期，我们注意到与产品相关的争议在短期内增长了 156%，比如“没有收到产品”和“对产品不满意”等争议原因代码。我们推测，卖家因为供应链中断需要花费数周甚至数月的时间才能履行订单，这导致客户纷纷要求拒付。
  
• 我们还发现，遭遇尝试性银行卡盗刷测试的企业增加了 40%。疫情期间，有数千家新的电子商务企业成立，我们认为正是这股增长势头给欺诈分子创造了可乘之机。
  
• 世界各地企业所遭受的欺诈攻击都在增长，然而拉丁美洲的企业无论过去还是现在都特别容易受到欺诈攻击。我们注意到，拉丁美洲企业的欺诈率比北美洲企业高 97%，比亚太地区的企业高 222%。各种特定的地区因素造成了这一现象，比如当地运行的支付基础设施。
  
• 经常性收入企业（尤其是 B2C 公司）是欺诈的重灾区。超过 75% 的 B2C 订阅企业反映，去年他们的人工审核工作量增加了，使得他们不得不调动更多资源去打击欺诈。我们认为，这些面向消费者的企业拥有更高的品牌知名度，其产品也更容易转售。因此，欺诈分子更有可能将他们锁定为目标。
  
• 欺诈对企业的影响不仅仅是财务损失。Stripe 分析报告发现，对于企业而言，越是试图防范欺诈，越是容易拦截合法扣款，从而导致支付转化率降低。为减少这些误报，企业可以人工审核被标记的支付，但是这会带来额外的运营开支。
  
• 我们预测以下四种方式将帮助企业应对这些趋势：1）3DS 等干预措施将发挥更大的作用；2）更丰富的数据资源将帮助企业更迅速地做出更精确的决定；3）发卡行与企业将开展更多合作，尽可能高效处理争议，减少误拒交易；4）消费者支付偏好将继续转变，从而改变欺诈情势。
  

欺诈增多的原因

COVID-19 开启了电子商务增长的历史性浪潮。2021 年，Stripe 上的企业处理了超过 6400 亿美元 的付款，比上一年增长了 60%。这些付款来自一个快速增长的企业群体：去年每天有 1400 家新公司 加入 Stripe。这种增长（尤其是新企业的增长）为欺诈分子创造了更多机会。

许多人是第一次创业，他们缺乏工具或资源去应对欺诈，或者他们更注重建立业务、实现盈利，而不是制定欺诈防范策略。但是这些挑战并非专属于新企业，即使是成熟企业也已发现，比起疫情前，欺诈形式变得更复杂，欺诈数量变得更多，他们防范欺诈的难度也增加了。

同时，欺诈分子也变得更加狡猾。他们经常组成团伙，联系其他欺诈分子并分享“最佳实践”，发现针对企业的新方式。

2020 年与产品相关的争议比 2019 年翻了一番

从 2020 年 3 月到 2020 年 5 月，Stripe 的分析发现，与 2019 年相比，支付产生“未收到产品”和“产品不合适”等非欺诈相关原因代码争议的可能性增加了一倍以上。我们推测，由于供应链中断，卖家需要数周甚至数月才能履行订单，导致客户要求拒付的情况增加。

拉丁美洲的与产品相关的争议率似乎最低，但我们认为这一结果是由发卡行行为所致。在墨西哥，上报争议时缺少原因代码的可能性是所有国家/地区整体情况的 7 倍；在巴西，争议以欺诈为原因代码上报的可能性高出 50%。

防范产品相关争议的最佳实践：

遭遇银行卡盗刷测试的企业增加了 40%

银行卡盗刷测试通常是指有人试图确认盗取的银行卡信息是否有效，是否能让他们进行购物。欺诈者可能会购买被盗取的信用卡信息，然后尝试去验证信用卡的有效性，或者用这些信用卡进行购物来确定仍然有效的信用卡。

在疫情发生的第一年，我们发现遭遇银行卡盗刷测试的企业比例激增了 40%。这种攻击既发生在新创企业也发生在成熟企业，但新创企业（在 Stripe 上注册不超过 90 天）在所有遭遇银行卡测试的企业中占比更高。

银行卡盗刷测试会在多个方面给企业带来负面影响。因银行卡测试攻击而涌入的交易会导致更高的支付处理成本和故障停机的风险（如果企业不能应付增加的流量，他们的网站可能会崩溃）。另外，如果银行卡测试攻击成功则会损害全球金融生态系统。企业更可能处理来自被盗取的银行卡的支付，最终导致更多的争议。由于给金融生态系统带来风险，企业可能因为允许发生银行卡测试攻击而受到发卡行以及卡组织的处罚。

防范银行卡盗刷测试的最佳实践：

欺诈风险按区域、国家/地区以及企业规模呈现的差异

打击欺诈的重要性不言而喻：我们调研的领导中有超过 90% 认为防范电子商务欺诈对他们的业务很重要。但是，根据公司所处行业和地点的不同，欺诈活动也有所差异，这表明情况很复杂。

按区域和国家/地区划分的欺诈

在 Stripe 所掌握的支付交易额数据中，来自北美企业的相关数据占比最高，因此在本节的分析中，我们将以北美作为其他地区的基准。

所有线上企业必须管理欺诈，然而我们的 Stripe 分析报告表明，拉丁美洲的企业尤为容易受到不断增长的欺诈率的影响。

我们的数据显示，在我们所研究的时间范围内，拉丁美洲的银行卡欺诈率位居全球首位：比北美地区高 97%，比亚太地区高 222%。当地运行的支付基础设施和较低的信用卡使用频率，意味着银行使用的反欺诈模式在该地区所能发挥的作用会比其他地区更弱。在争议处理流程中，现存规则也倾向于持卡人，导致企业更容易受到欺诈的影响。除了这些当地因素，市场正不断转移到线上交易（2021 年我们发现在 Stripe 上新开户的拉丁美洲企业激增 518%），给欺诈分子创造了更多的攻击机会。

欧洲、中东和非洲企业的欺诈率总体上比北美洲企业更低，这可能是由于强客户身份验证 (SCA) 规范要求企业在结账流程中增添双重验证所带来的结果。

国家/地区间差异也很大。比如，法国的欺诈率几乎是德国的两倍，新加坡的欺诈率是整个亚太地区的一半。不同国家/地区之间的欺诈差异给全球企业打击欺诈带来更大的困难。因此，管理欺诈从来不存在一个“一刀切”的办法。

按公司规模和商业模式分类的欺诈

企业领导对欺诈风险的认识因公司规模和商业模式而异。比如，我们的调研显示，随着企业规模扩大，欺诈防范变得更加重要，而且大型企业相比小型企业拥有更多资源投入欺诈防范策略。然而，单靠资源并不能防范欺诈。根据我们的调研，拥有大型风控团队的企业更可能面临欺诈管理方面的运营挑战，也更可能报告较高的欺诈损失。

这些趋势可能会给小型企业带来机会：现在，成长型企业可能会选择在规模较小时，开发一种深度的反欺诈策略，做到防患于未然。然而，调用时间和资源去打击欺诈可能会牺牲企业的成长速度，小型企业应该小心权衡，在两者之间寻求平衡。

我们还根据商业模式分析了调研结果，将企业分为下述几类：

• 软件即服务 (SaaS)
  
• B2C 订阅
  
• 交易平台和平台
  
• 电子商务
  

我们发现经常性收入企业最关注欺诈带来的财务影响。相比我们调研的其他商业模式，经常性收入企业的风控团队领导更担心因为欺诈损失资金，并且更有可能认为相较疫情之前，他们在 2021 年因为欺诈而损失的收入比例更高。造成这些担忧的原因可能在于他们的商业模式：因为他们按照固定的时间表（比如每月或每季度）产生收入；还因为他们在去年经历了欺诈率的上涨，他们更有可能认为这一趋势只会随着他们的业务增长而持续下去。

尤其是 B2C 订阅企业，他们在欺诈带来的运营负担上更为吃力。他们更可能报告称，2021 年人工审核案件有所增加，已投入更多资源来打击欺诈，并且为了管理欺诈不得不推迟投资或拓展方案。

我们推测，B2C 企业遭受了更多欺诈，因为他们更有可能是家喻户晓的品牌，这使欺诈分子更容易转售盗取的商品或服务（例如使用盗刷的信用卡购买数字订阅，然后以更低的价格转售）。

欺诈对企业的影响

欺诈的代价非常昂贵。实际上，59% 的调研对象预计他们的企业今年因欺诈损失的收入会比去年更多。

欺诈类争议以及防范欺诈的努力都会给企业带来资金损失。比如，如果您的企业在争议中败诉，则您要负责赔偿比原始交易金额更多的资金。欺诈经常导致拒付费用（与银行撤回银行卡支付相关的费用），而且争议还会带来更高额的卡组织费用。

然而，我们的调研发现，欺诈对企业的影响不仅仅是财务损失。很多企业不得不扩大其风控团队规模，或者调用产品和工程资源去管理运营开支，将珍贵的资源从核心产品中转移出来。

支付转化率更低

在 Stripe 分析报告中，我们发现企业越是试图防范欺诈，越是容易拦截合法扣款。
误报或误拒交易是指真实客户尝试购物但被拦截的情况。误拒交易可能会导致企业在毛利润和声誉方面受到双重打击。事实上，33% 的消费者表示，在遭遇误拒交易后，他们不会再次在该企业购物。

您需要在防范更多争议与减少被拦截的真实客户数量之间进行权衡。当您防范的欺诈增多，被拦截的真实客户数量也将增加。另一方面，遭错误拦截的真实客户数量的减少通常可能会让更多真正的欺诈者有可乘之机。这种权衡也取决于您的反欺诈解决方案：如果您采用静态的反欺诈解决方案，而且没有持续投入资源进行优化，那么您必须一直管理这种权衡。另一方面，如果您的反欺诈解决方案模型会根据欺诈媒介而不断地调整和改变，那么这种权衡也会变得更轻松。

鉴于防范争议与拦截合法支付之间的权衡，为实现利润最大化，企业可以设定拦截支付的阈值。当所防范欺诈的成本与受阻挡的合法利润之间的差值最大时，这就是利润最大化点。

企业需要根据其利润、增长状况和其他因素来管理这种权衡。如果企业的利润小（比如您在线上销售食品），一笔欺诈类交易的成本可能需要数百笔良性交易才能冲销，这使得每次漏报都会带来非常昂贵的代价。在尝试拦截潜在欺诈行为时，此类企业可能倾向于广撒网。另一方面，如果企业的利润高，比如说 SaaS 企业，那么情况就会正好相反。被拦截的真实客户所带来的收入损失可能就会超过欺诈增加产生的成本。还有很重要的一点值得注意，企业可以选择如何优化欺诈率至某一特定点：如果欺诈达到某一水平，卡组织将收取费用并施加罚款。

运营开支

为减少误报，企业可以人工审核被标记的支付，来确认它们是否真的具有欺诈性。这相当耗费人力。企业需要组建一个欺诈分析师团队，根据交易详情和客户历史等各种因素评估风险。

我们发现大型企业更可能采用人工审核，但规模越大，他们审核的交易比例越小。比如，去年交易量超过 10 万笔的企业中，超过 20% 的企业采用了人工审核，但是他们审核的比例不足总交易量的 1%。大型企业有人工审核交易的资源，但是他们把这些人工审核资源留给了高风险交易。

减少运营开支的建议：

我们对欺诈行业的预测

欺诈随着时间推移而不断演变，2021 年也不例外。实际上，欺诈分子在去年更是变得愈发狡猾，他们使用新的方式瞄准了线上企业。我们在这份报告中提到了一些挑战，但这些对您的企业意味着什么呢？我们认为企业应该采用以下四种方式来应对当前的欺诈情势：

1. 干预措施（如 3DS）将发挥更大的作用

干预措施让您可以更有把握地拦截或允许交易。当您觉得交易非常可疑时，可以向客户发起一项“验证”操作（比如要求他们输入通过短信发送的一次性验证码）。

干预措施可以有多种形式，包括：

• 3DS，它要求客户完成双重认证才能进行付款。它是用于满足欧洲强客户身份验证 (SCA) 要求的主要银行卡验证方法，也是企业申请 SCA 豁免的关键机制。
  
• 身份验证，例如要求客户扫描政府颁发的身份证件以验证其身份。
  
• 银行卡扫描，确认客户在交易时持有他们的实体卡。
  
• CAPTCHA 工具，它要求网站访客解决一个简单的难题，例如从扭曲的图像中转录一系列数字或字母。
  

干预措施已经越来越普及。我们分析了 2021 年 Stripe 企业中一项具体干预措施（即 3DS）的使用情况，发现 3DS 的采用率全面提高，其中北美以外地区的增长势头最为强劲。正如所料，欧洲企业的 3DS 采用率增幅最大（这是因为去年几乎所有符合条件的欧洲国家/地区都全面执行了 SCA 要求）。类似 SCA 的法规也在欧洲以外的地区开始普及，其中印度增长最快。

在一项试验中， Stripe 发现降低触发 3DS 的阈值，可使其欺诈类争议率减少 74%。另外，相比彻底拦截扣款，3DS 仍可让大多数支付成功完成（所有风险等级中成功率为 67%，高风险等级中成功率为 5%）。然而， 3DS 的表现在不同发卡行之间会有所差异。

未来，我们预计干预措施的使用率会继续增加。企业将在更多交易中使用干预措施，使用更多不同类型的干预措施，特别是减少结账流程中的阻力因素的措施。

使用干预措施的技巧：

2. 更广泛的数据来源将有助于企业制定更快、更准确的决策

欺诈管理过去高度依赖人力，需要分析师团队审核每一笔交易。今天，大多数企业采用某些等级的机器学习模型，自动大规模打击欺诈，另外会在需要时使用人工审核（这种混合方式因行业和商业模式的不同而有所差别）。机器学习模型学习如何从潜在的欺诈类交易中分辨出合法交易，一些模型甚至可以自我训练，使其更具可扩展性、更加高效。

机器学习模型曾一度被视为打击欺诈的前沿科技，但现在它们已经成为入场筹码。实际上，单靠机器学习能力已不足以减少不断演变的欺诈风险。我们的调研对象认同一点：超过一半的调研对象（他们的审核流程大多支持自动化）表示，欺诈类型和数量日新月异，企业难以及时跟进。

我们认为欺诈管理的下一阶段将侧重于利用更丰富的数据来为欺诈模型提供信息。目前已有可用于收集这些信息的工具和技术，但这些工具往往部署在相互隔离、互不连通的系统中；例如，企业可能使用单独的工具完成身份验证和生物特征识别。我们预测，未来企业将能够利用更好的技术和集成，将这些信息整合在一处，提供一种全面的方法来提高欺诈模型的效率。

通过查看客户全旅程中的相关数据（包括行为数据、生物特征数据，以及与电话号码、电子邮箱地址、尚未充分利用的发卡行数据资源池乃至社交平台相关的增值第三方数据），企业能够将欺诈检测的准确度提升至新的水平。

尽管这种级别的数据对改进欺诈模式非常有用，但企业在收集和存储这些信息时必须谨慎，以确保遵守全球数据安全和隐私法律。

3. 发卡行与企业将加强合作，简化争议处理并减少误拒交易

当客户在您的网站上完成购买时，您的支付服务商会获取收款详细信息，并通过 Visa、Mastercard 或中国银联等卡组织，将这些信息作为付款请求发送给发卡行（客户的银行）。发卡行（如大通银行、花旗银行和巴克莱银行）是在授权阶段批准或拒绝交易的最终决策者。它们会根据在授权期间收到的信号来计算欺诈风险，而这些信号是相当有限的。

另一方面，企业拥有充足的客户和交易数据，比如客户的电子邮箱地址和账单地址。将这些数据与发卡行掌握的信息相结合，可以提高交易的成功率。

提高授权率和降低欺诈率是互惠互利的，发卡行可以减少欺诈损失，节省运营成本，并通过减少客户对误拒交易的查询次数来增加交易量。同时，企业可以获得更高的付款转化率和更高的客户留存率。然而，大多数企业仍未向发卡行共享这些数据，由此形成信息不对称，从而导致 2021 年出现了 4430 亿美元 的误拒交易。

如今，我们发现发卡行正在转向投资建立增强型授权 API，比如 Capital One 的增强型决策性数据 API 以及 Amex 的增强型授权 API 等。对于一些大型企业来说，授权率每提高一个百分点就意味着数百万美元，他们也明白数据合作关系的重要性，并正在着手投资推进与发卡行的集成。然而，摆在数以百万计的其他企业面前的是一道难以逾越的鸿沟，他们没有技术能力或可观的支付交易额来实现定制发卡行集成的投资回报率 (ROI)。对于这些企业，我们希望金融合作伙伴（如 Stripe 及其他支付服务商）能够利用自身规模和内部的发卡行合作关系，帮助他们促成与发卡行的数据交流。

4. 消费者支付偏好将继续转变，带来欺诈趋势的改变

先买后付、数字钱包以及卡面上没有印刷卡号的加密货币卡（如 Gemini Credit Card）等支付方式正在兴起。先买后付服务的采用率有了显著增长：超过一半的美国客户使用过先买后付服务，并且它在 2020 年是印度和英国发展最快的支付方式。

线上交易使用的所有支付方式都存在某种程度的欺诈风险，非银行卡支付方式也不例外。例如，先买后付这类支付方式更容易遭受新账户欺诈（即欺诈分子在入驻流程中创建新身份来开设欺诈账户，而该流程的防护能力可能较弱）以及账户盗用风险（即恶意第三方获取客户的账户访问权限，并使用这些支付信息进行欺诈性购买）。

不过，企业可通过在客户生命周期更早阶段落实欺诈防范策略来降低上述风险。企业不必仅聚焦交易本身，而是可以在客户旅程的早期环节筛查欺诈行为，在客户（或欺诈分子）发起购买前就完成评估。例如，企业应当在入驻期间确认客户身份、排查重复账户，并在登录时执行身份核验措施（例如双重认证）。

Stripe 如何提供帮助

Stripe 是一套完全集成的支付产品，可为线上和线下零售商、订阅型企业、软件平台、交易平台以及介于这些类型之间的各类企业提供支付支持。从打击欺诈到验证身份，数以百万计的企业使用 Stripe 来实现以下目标：

优化结账体验

• 在结账期间收集更多相关信息：要求客户在结账时提供更多相关信息，将帮助您更好地验证其合法性。例如，确保收集客户的姓名和电子邮箱地址。这些额外信息可以传递给 Stripe Radar，从而提升机器学习欺诈检测效果，并为您在潜在争议期间提供更多证据。
  
• 探索其他支付方式：合适的支付方式组合可以为客户提供灵活性并降低欺诈风险。Apple Pay 或 Google Pay 等数字钱包需要额外的客户验证（例如生物特征、短信或密码）才能完成付款，从而降低争议率。类似地，大多数银行扣款方式（即直接从客户的银行账户中扣款）都要求客户同意扣款授权凭证或验证账户所有权，从而增加一层安全保障并降低发生争议的可能性。
  

在结账过程中防范欺诈

• 利用机器学习进行欺诈检测：基于规则的欺诈检测遵循“如果发生 x，则执行 y”的逻辑，它并非为现代互联网企业而设计，可能会造成营收亏损。Stripe Radar 采用自适应机器学习技术，其算法评估每笔交易并分配风险评分，然后根据欺诈风险拦截或允许交易。Radar 的算法能够快速适应不断变化的欺诈形式和您独特的业务。
  
• 凭借与发卡行的合作关系防范欺诈并提高授权：Stripe 的发卡行合作关系会在可能的情况下分享选定的风险数据，帮助发卡行在批准合法交易的同时拦截欺诈类交易。与发卡行集成为持卡人和企业创造价值：客户可以更安心地购物，同时企业能够获批更多交易，且不会增加欺诈类争议。
  
• 动态应用双重认证：Stripe Checkout 可以处理欧洲强客户认证 (SCA) 要求，并在持卡人的发卡行要求或怀疑存在欺诈时动态应用认证（例如 3DS）。Stripe Checkout 还支持最简单的 PCI 验证方法（包含预填写的 SAQ A），并且仅在怀疑发生银行卡盗刷测试攻击时触发验证码 (CAPTCHA) 验证，以防范欺诈。
  

与您的团队一起管理欺诈

• 创建规则以自定义欺诈：借助 Radar Plus，您可以创建自定义规则来管理您的企业处理收款的方式，拦截您认为可疑的任何付款，或将其置于审核状态。例如，您可以降低触发人工审核所需的风险评分，或者审核首次购买客户的大额订单。Radar Plus 还提供关于特定付款的风险洞察，让您了解导致风险评分过高的最重要因素。您可以使用这些信息来创建更加具有针对性的额外规则。
  
• 人工审核高风险付款：Radar Plus 包含一个额外的审核流程，该流程允许您标记某些付款以供审核（尽管这些付款仍在处理中且信用卡会被扣款）。人工审核可疑付款可以帮助您在发生潜在争议之前更准确地采取行动。例如，如果您在审核付款时对其不确定，可以通过电话或电子邮件联系客户。或者，如果您怀疑某笔付款是欺诈，可以将其作退款处理。
  

更多欺诈防范技巧

• 获取关于欺诈趋势的更深入洞察：Stripe Sigma 允许您通过 Stripe 管理平台中预定义或自定义的 SQL 查询来快速分析您的 Stripe 数据。解答您复杂的业务问题，从了解客户为何对付款提出争议，到您提出抗辩的争议所占的百分比。您还可以使用 Stripe Data Pipeline，将最新的 Stripe 数据发送到您的 Snowflake 或 Amazon Redshift 数据仓库中。这使您能够轻松地将 Stripe 欺诈风险评分与其他欺诈数据结合起来，以生成信息更丰富的欺诈报告。
  
• 验证全球客户：Stripe Identity 可让您程序化地确认全球用户的身份，从而减少来自欺诈分子的攻击，同时将对真实客户造成的阻力降至最低。
  
• 优化转化率并挽回更多营收：Stripe 卡图片验证有助于减少遭错误拦截的交易笔数。该功能不会拦截潜在的高风险交易，而是向用户发起卡片拍照扫描要求，让用户有机会确认其确实持有所申报的银行卡（2022 年上线）。
  

如需进一步了解 Stripe Radar 如何帮助您的企业打击欺诈，请联系销售团队或注册账户。

其他资源

以下是可帮助您管理欺诈、保护业务的更多资源：

• 在线支付简介
  
• 防范欺诈最佳实践
  
• 用于欺诈检测的机器学习基础知识
  
• Radar：规则 101
  
• 关于 Stripe Radar
  

方法

Stripe 分析了数百万家企业从 2019 年到 2021 年间的数十亿次尝试性支付。基于这些支付和企业信息，我们对争议及其原因、机器学习模型的预测结果、3DS 使用情况以及企业的人工审核活动等展开了研究。针对国家级欺诈率，我们的分析报告未将 2021 年支付量少于 1 万次的国家/地区纳入考虑范围内，原因在于此类对象的交易数据过少，难以提供可靠的欺诈率计算结果。

2022 年初，Stripe 还与 Milltown Partners（与其数据提供商 Focaldata 合作）开展合作，对全球 9 个市场（澳大利亚、加拿大、法国、德国、日本、荷兰、新加坡、英国和美国）中估计其企业至少有 10% 收入来自线上销售的 2500 多名企业领导者进行了调研。