支付欺诈检测和预防是一项复杂的挑战，需要一套动态、相互关联的解决方案。企业必须对此进行自我教育，以保护其财务资产、维持客户信心并预见不断变化的威胁。2025 年，美国联邦贸易委员会 (FTC) 收到了 300 万份欺诈报告，造成的损失达 159 亿美元。

下面，我们将讨论支付欺诈的影响、不同类型以及企业可用于打击欺诈的一些最佳实践。

本文内容

• 什么是支付欺诈？
  
• 支付欺诈对企业的影响
  
• 支付欺诈的类型及预防方法
  
• 如何为您的企业制定专属的支付欺诈应对计划
  
• Stripe Radar 如何助力
  

什么是支付欺诈？

支付欺诈是指利用支付系统获取未经授权的资金或财务信息访问权限的任何不诚实或非法活动。这包括窃取他人身份、进行未经授权的购买以及欺骗公司退款。

支付欺诈对企业的影响

支付欺诈对个人、企业和整个经济都有严重的后果。以下是支付欺诈的主要影响：

• 财务损失：欺诈性交易可能会给个人、企业和金融机构带来重大的资金损失。仅在 2024 年，在线支付欺诈就造成了超过 440 亿美元的全球电子商务损失，并且这一数字预计在 2029 年将增长至 1070 亿美元。

• 身份盗用：支付欺诈通常涉及窃取和滥用个人及财务信息，对受害者造成长期的伤害，使其难以恢复身份和信用。

• 企业声誉：沦为支付欺诈受害者的公司可能会声誉受损并失去客户信任，从而导致销售额下降、客户流失率上升以及运营成本增加。欺诈还会削弱人们对支付系统的信任。

• 法律和监管后果：未能遵守反欺诈法规或未充分保护客户信息的组织可能面临法律处罚、罚款以及更严格的监管审查。

• 运营成本增加：支付欺诈检测和预防需要在技术、人员和资源方面进行大量投资，这可能会对组织的预算和运营效率造成压力。

通过应对支付欺诈，企业和金融机构可以最大程度地降低与欺诈活动相关的风险和负面后果，确保支付系统的完整性和安全性，并维持对更广泛金融系统的信任。

支付欺诈的类型及预防方法

由于欺诈者会使用各种方法来利用支付系统的漏洞，因此支付欺诈有许多不同的形式。

无卡 (CNP) 欺诈

当不法分子使用窃取的信用卡凭据在无法检查实体卡的在线、电话或移动端应用中进行未经授权的购买时，就会发生无卡 (CNP) 欺诈。由于无法检查 Europay、Mastercard 和 Visa (EMV) 芯片等物理安全功能，CNP 欺诈占数字商务欺诈的大多数。

检测和预防 CNP 欺诈的方法如下：

• 验证持卡人数据：在结账时强制执行地址验证服务 (AVS) 和银行卡安全码 (CVV) 检查，以确认买家实际掌握卡信息和账单地址。

• 部署动态 3DS 验证：使用 3DS 协议仅对高风险交易强制执行身份验证（通过一次性密码或生物识别技术），在强客户认证 (SCA) 授权下将争议责任转移给发卡行。

• 使用基于 AI 的风险评分：实施如 Stripe Radar 这样的实时欺诈检测引擎，评估数百个交易属性（包括设备指纹、代理使用情况以及跨企业的支付模式），在授权之前拦截欺诈尝试。

• 采用卡组织令牌化：将原始主账号 (PAN) 替换为安全的银行卡品牌令牌，以防止已存储的凭据在数据泄露中遭到破坏。

第一方欺诈

当合法的持卡人或投机的买家利用企业政策和支付机制谋取经济利益时，就会发生第一方欺诈：

• 拒付欺诈（“友好欺诈”）：客户进行了合法购买，然后向其银行谎称交易未经授权、包裹从未送达或产品有缺陷。他们试图在保留商品的同时强制要求退款。

• 滥用退款和钻政策空子：与拒付不同，退款滥用是指客户直接向企业利用退货政策。例如，他们可能会退回穿过的衣服（“穿完就退”）、退回空盒子、声称包裹中缺少物品，或者反复声称订单从未送达以收取重复发货或现金退款。

检测和预防第一方欺诈的方法如下：

• 保留详细的履约文件：收集可验证的送达证明，包括承运商物流单号、GPS 配送标签、投递包裹的照片以及签名确认。

• 明确账单描述和退货政策：在信用卡账单描述上使用极具辨识度的交易名称，并在结账时提供醒目、易读的退款条款，以最大限度地减少客户的困惑。

• 追踪客户行为和滥用模式：监控客户账户是否存在过量退款请求、频繁声称物品丢失或反复拒付的模式，并限制存在风险的个人资料的支付方式或要求货到付款时签名。

• 自动提交争议证据：使用自动化争议管理工具来汇编交易日志、客户沟通记录、送达证明和接受服务条款的记录，以应对欺诈性拒付。

商业电子邮件入侵 (BEC) 与 AI 生成的社会工程

BEC 是一种复杂的欺诈形式，不法分子会冒充公司高管、受信任的供应商或法律合作伙伴，欺骗员工电汇资金或重定向账单支出。

生成式 AI 的崛起加剧了这种威胁：攻击者使用大型语言模型生成极其逼真、无错误的鱼叉式网络钓鱼电子邮件，并在语音和视频通话中部署深度伪造技术，以绕过传统的口头审批检查。

检测和预防 BEC 及 AI 驱动欺诈的方法如下：

• 实施严格的多人审批工作流：对于任何资金转账、工资单更新或供应商银行账户详情的更改，要求来自不同经理的双重授权。

• 建立带外验证：强制要求员工直接使用预先建立的、受信任的电话号码致电供应商或高管，来验证任何更改付款说明或银行详情的请求，绝不要使用更改请求电子邮件中提供的联系方式。

• 执行高级电子邮件身份验证协议：部署发件人策略框架 (SPF)、域名密钥识别邮件 (DKIM) 以及基于域的邮件身份验证、报告和一致性 (DMARC)，以防止域名欺骗并拦截未经授权的发件人。

• 向员工提供关于基于 AI 的社会工程的培训：培训财务和采购团队识别 AI 生成的鱼叉式网络钓鱼线索、深度伪造的音频策略以及不遵循既定流程的紧急转账要求。

身份盗用和合成身份欺诈

身份欺诈涉及使用遭到泄露的个人身份信息 (PII)（如社会保障号码 (SSN)、出生日期和家庭住址）来开设欺诈性账户、获取信贷或进行购买：

• 传统身份盗用：欺诈者使用全套被盗个人数据冒充真实个人。

• 合成身份欺诈：攻击者将真实的被盗 PII（通常是属于儿童、已故个体或不活跃信用资料的 SSN）与完全虚构的姓名和地址结合起来。他们花数月或数年的时间来培养这些合成身份，以建立看似合法的信用评分，直到刷爆信用额度并放弃这些账户（被称为“信用透支套现”）。

检测和预防身份欺诈的方法如下：

• 多层身份验证：对于高风险交易或账户创建，要求进行多点身份验证，将政府签发的身份证件扫描与生物识别活体检测相结合。

• 交叉引用身份数据库：对照征信机构注册表、电信数据库和政府记录验证申请人数据，以检测姓名、出生日期和 SSN 之间的差异。

• 分析行为信号：追踪行为生物特征（例如，打字节奏、表单字段中的复制粘贴活动、设备导航），以区分自动机器人和欺诈性表单填写者与真实用户。

• 执行多因素身份验证 (MFA)：要求使用抗网络钓鱼的 MFA（例如，FIDO2 通行密钥、身份验证器应用），以阻止源于撞库的账户接管攻击。

实时付款 (RTP) 欺诈和即时付款利用

随着即时、全天候支付网络的迅速扩张，例如票据交换所的 RTP 网络和美联储的 美国 FedNow 服务，网络犯罪分子越来越多地将目标对准账户间转账。

由于 RTP 在几秒钟内结算且不可撤销，不良行为者会利用授权推送付款骗局或账户接管来欺骗受害者发送即时转账。然后，在银行或企业冻结这些资金之前，他们会迅速将窃取的资金分散到“钱骡”账户网络中。

检测和防范实时付款欺诈的方法如下：

• 实施执行前风险评分： 在释放即时转账之前的几毫秒内评估交易风险，分析发送方设备完整性、会话异常和历史转账模式。

• 使用收款人验证： 在执行转账之前，验证收款人的注册账户名是否与发送方输入的名称匹配，从而标记潜在的钱骡账户。

• 强制执行动态限额和冷静期： 对定向到新添加的受益人或不熟悉账户的即时转账，实施临时金额上限或短暂的结算延迟。

• 监控出站付款模式： 标记源自最近修改的用户资料，或从新互联网协议 (IP) 地址访问的账户的高频或突然的高额转账。

销售终端 (POS) 侧录和硬件篡改

侧录包括在POS 终端、自动柜员机 (ATM) 或加油泵的读卡器上安装隐蔽的物理设备或恶意软件。当客户刷卡时，侧录器会复制磁条上已存储的未加密数据，而隐藏的针孔摄像头或假键盘则会记录客户的个人识别码 (PIN)。然后，欺诈分子将磁条克隆到伪造卡上，以进行店内购物或提取现金。

检测和防范侧录的方法如下：

• 过渡到 EMV 芯片和非接触式付款： 使用能够接受 EMV 芯片加密码 (chip-and-PIN) 付款的读卡器以及由非接触式或近场通信 (NFC) 技术支持的数字钱包。EMV 芯片和令牌化 NFC 会生成动态的、一次性的密文，这些密文无法从磁条数据中克隆或重复使用。

• 定期检查硬件： 每天对所有支付终端进行有记录的物理检查，检查是否有松动的覆盖物、破损的防拆封条、不匹配的塑料外壳或未经批准的电缆附件。

• 部署点对点加密 (P2PE)： 使用经过 PCI 验证的 P2PE 解决方案，在您通过网络传输数据之前，直接在安全的加密读取设备内部对持卡人数据进行加密。

• 确保终端访问安全： 限制对支付设备的物理访问，锁定未使用的端口，并在允许任何第三方维护技术人员访问 POS 硬件之前验证其身份。

为您的企业制定独特的支付欺诈计划

为了制定适合其独特需求和风险的付款欺诈应对计划，您需要遵循包括评估、优先级排序、实施和持续改进在内的系统化方法。

以下是您可以用来制定和动员付款欺诈策略的分步指南：

• 评估您的风险： 根据业务所在的行业、规模、客户群和交易方式，进行全面的风险评估，以确定与您的业务最相关的付款欺诈类型。评估现有的系统、流程和控制措施，以发现漏洞和潜在的改进空间。

• 优先处理最大威胁： 根据风险评估，优先处理最重大的威胁和漏洞，并考虑到潜在的财务影响、声誉损害以及发生的可能性。这将有助于决定应首先实施哪些欺诈防范措施。

• 构建您的策略： 概述一个清晰的策略来应对优先处理的风险和漏洞，并结合预防、检测和响应措施。根据业务的独特需求和风险定制该策略，并囊括短期和长期目标。

• 分配资源： 分配必要的资源——包括人员、预算和技术——以实施所选的策略和最佳实践。为团队成员分配明确的角色和职责，并建立强大的治理结构来监督策略的实施和持续管理。

• 实施计划： 引入所选的策略和最佳实践，确保将其集成到现有的系统和流程中。这可能涉及更新政策和程序、投资新技术或对员工进行培训和意识培养计划。

• 监控并评估结果： 持续监控所实施措施的有效性，使用关键绩效指标 (KPI) 和指标来跟踪进度。定期进行审计以发现改进空间，并确保符合行业标准以实现合规。

• 随着时间的推移进行调整和改进： 根据监控和评估结果，按需完善和调整策略。纳入新策略以应对新出现的威胁或不断变化的业务需求。对付款欺诈防范保持主动的方法，随时了解该领域的最新趋势、技术和最佳实践。

与支付欺诈预防和缓解服务提供商合作，可以增强您的反欺诈努力。根据您用于支付基础设施和处理的解决方案，您可能已经配备了防欺诈保护。

Stripe Radar 如何助力

Stripe Radar 使用基于 Stripe 全球网络数据训练的 AI 模型检测和预防欺诈。随着欺诈手段的不断演变，Stripe Radar 会根据最新欺诈趋势不断更新模型，从而保护您的业务。

Stripe 还提供 Radar 风控团队版，支持用户针对业务特有的欺诈场景，添加自定义规则，并获取更深入的欺诈洞察。

Radar 可以帮助您：

• 防范欺诈损失： Stripe 每年处理超过 1.9 万亿美元的付款。这种规模让 Radar 能够以独特的方式帮助检测和防范欺诈，从而为您节省资金。

• 增加收入：Radar 的 AI 模型基于真实的争议数据、客户信息、浏览数据等进行训练，能够识别高风险交易，减少将正常交易误判为欺诈的情况，从而提高您的收入。

• 节省时间：Radar 内置在 Stripe 中，无需编写任何代码即可启用。您还可以在同一个平台上监控反欺诈表现、编写规则等，从而提高效率。

详细了解 Stripe Radar，或立即开始使用。