환불 사기와 상습 반품자: 디바이스 그래프 접근법

환불 사기는 대부분의 소매업체가 투자에 인색한 영역입니다. 이 사기는 업체가 높게 유지하고 싶어 하는 지표인 반품 승인률 안에 숨어 있고, 손실이 하나의 극적인 차지백이 아니라 한 건의 클레임씩 조금씩 발생하기 때문입니다. 한 달에 판매자에게 몇백 달러를 물리는 상습 반품자 한 명은 어떤 임계치도 건드리지 않습니다. 그러나 조직화되었든 아니든 그런 반품자가 천 명이라면, 그것은 하나의 손익 항목이 됩니다.

이 글은 디바이스 그래프를 사용해 그 스펙트럼의 조직화된 그리고 반(半)조직화된 쪽을 탐지하는 방법을 다룹니다. 디바이스 그래프란 한 명의 운영자가 반품을 산업화하는 데 쓰는 계정, 결제 수단, 배송 주소를 연결하는 구조입니다. 독자는 이미 결제 단계에서 결제 사기 통제를 운영하고 있으며 이제 그 하류의 반품 퍼널로 눈을 돌리는, 이커머스 및 마켓플레이스 플랫폼의 사기·리스크 팀입니다.

무엇이 환불 사기에 해당하는가?

환불 사기란 기만을 통해서든 정책 악용을 통해서든, 고객이 받을 자격이 없는 가치를 회수하는 모든 반품 또는 환불 클레임입니다. 이는 스펙트럼이며, 각 구간마다 대응이 다르기 때문에 이 구간들을 구분하는 것이 중요합니다.

가장 무해한 쪽에는 정직한 반품이 있습니다. 고객이 잘못된 사이즈를 샀거나, 상품이 상품 설명과 달랐거나, 파손된 채 도착한 경우입니다. 이것은 사업을 하는 데 드는 비용이며, 관대한 반품 정책이 흡수하도록 설계된 대상입니다. 여기에 맞서 싸우고 싶지는 않을 것입니다.

중간에는 기회주의적 악용이 있습니다. 워드로빙 — 드레스를 사서 한 번 입고 반품하기. 핏파인더 악용 — 다섯 가지 사이즈를 주문해 넷을 반품할 작정으로, 매 주문마다 대규모로 하기. 반품률이 너무 높아 고객이 사실상 재고를 대여하는 것과 다름없는 상습 반품. 이것은 개인 행동이며 대개 조직화되어 있지 않고, 올바른 대응은 정책입니다. 반품 수수료, 재입고 조건, 플래그된 계정에 대한 더 짧은 반품 기간 같은 것들입니다.

조직화된 쪽에는 사기 조직이 있습니다. 빈 상자 클레임(패키지가 비어서 도착했다고 신고), 배송 완료된 패키지에 대한 미배송(DNA, did-not-arrive) 클레임, 재활용된 증거를 쓴 허위 파손 클레임, 다른 물건으로 바꿔치기하는 반품(돌을 반품하고 휴대폰은 보관), 그리고 환불 후 차지백으로 이중 청구하기. 이런 작업은 여러 계정을 운영하고, 결제 수단과 주소를 순환시키며, 환불 흐름을 하나의 수익원으로 취급합니다. 자동화된 탐지가 그 값을 하는 지점이 바로 여기입니다.

디바이스 그래프는 중간 구간과 조직화된 구간에 대해 가장 가치가 큽니다. 두 구간 모두 정직한 구간에는 없는 특성을 공유하기 때문입니다. 바로 여러 정체성 뒤에 있는 한 명의 운영자입니다.

계정 단위의 통제가 상습 반품자를 놓치는 이유

계정 단위의 통제가 상습 반품자를 놓치는 이유는, 악용이 계정 단위가 아니라 사람 단위에서 정의되며, 작정한 악용자는 여러 계정을 통제하기 때문입니다. 계정 A에 대한 반품률 플래그는, 계정 A, B, C, D가 같은 노트북을 쓰는 같은 사람이고 각각이 플래그 임계치 바로 아래로 유지되고 있다는 사실에 대해서는 아무 말도 해주지 않습니다.

이것은 가입 단계에서 멀티 계정 탐지가 다루는 것과 동일한 사각지대를, 반품 단계에 적용한 것입니다. 계정은 잘못된 분석 단위입니다. 당신의 반품률 임계치를 이해하는 악용자는 그저 반품을 충분히 많은 계정에 분산시켜 각 계정에서 그 아래를 유지할 것입니다. 임계치가 반품률 40%라면, 그들은 각각 35%인 다섯 개의 계정을 운영합니다. 모든 계정이 허용 범위처럼 보이지만, 운영자는 주문한 모든 것의 3분의 1을 반품하고 있습니다.

이메일과 결제 수단도 그 틈을 메우지 못합니다. 이메일은 공짜이고 무한합니다. 결제 수단은 저렴합니다 — 선불 카드, 가상 카드, 기프트 카드는 풍부하며, 조직화된 작업은 스패머가 소각된 도메인을 다루듯 소각된 카드를 다룹니다. 배송 주소는 더 오래갈 것처럼 보이지만, 재배송 서비스, 패키지 포워딩 주소, 화물 포워딩 창고 덕분에 한 운영자가 서로 달라 보이는 수십 개의 배송지를 제시할 수 있습니다.

이 모든 것을 관통해 살아남는 것은 운영자가 실제로 작업하는 하드웨어와 네트워크 환경입니다. 그들은 매 주문마다 이메일, 카드, 주소를 교체할 수 있지만, 여전히 한정된 네트워크 위의 한정된 디바이스 집합 앞에 앉아 있습니다. 디바이스 그래프는 계정 데이터가 의도적으로 감추는 조인 키입니다.

디바이스 그래프가 패턴을 연결하는 방식

디바이스 그래프는 모든 계정, 주문, 클레임을 그것을 만들어낸 디바이스와 네트워크 환경으로 되짚어 해석하고, 하나의 하드웨어 흔적이 여러 정체성으로 부챗살처럼 퍼지는 군집을 드러냄으로써 환불 악용을 연결합니다. 이는 계정 연결에 쓰이는 것과 동일한 기반 디바이스 그래프 분석을 반품 문제 쪽으로 겨눈 것입니다.

출발점은 운영자의 회피 시도를 견뎌내는 안정적인 디바이스 식별자입니다. 쿠키는 그 역할을 못 합니다 — 이 일을 의도적으로 하는 사람이라면 누구나 계정 사이에서 쿠키를 지웁니다. 브라우저, 하드웨어, 네트워크, 행동 신호로 구축한 디바이스 핑거프린트는 스토리지 삭제, 시크릿 세션, 새 계정 생성을 관통해 지속되는 식별자를 만들어냅니다. (그 식별자를 구축하는 원리는 디바이스 핑거프린팅의 작동 원리에서 다룹니다. 요약하면, 하나의 저장된 토큰이 아니라 여러 신호에 걸친 확률적 매칭이라는 것입니다.)

지속적인 디바이스 식별자가 모든 계정과 모든 클레임에 붙으면, 환불 사기에 중요한 그래프의 간선(edge)들이 보이게 됩니다.

하나의 디바이스, 여러 계정. 다섯, 열, 혹은 쉰 개의 계정에 연결된 하나의 디바이스 핑거프린트가 가장 핵심적인 구조적 신호입니다. 가정용 컴퓨터를 공유하는 한 가구는 두세 개의 연결된 계정을 만들지만, 상습 반품 작업은 수십 개를 만들며, 그 계정들은 서로 상관된 반품 행동을 보입니다.

여러 결제 수단, 하나의 디바이스. 반대 방향의 간선입니다. 서로 다른 BIN에 서로 다른 이름의 카드 열 개가 모두 같은 디바이스에서 거래하면, "서로 다른 고객"이라는 이야기는 무너집니다. 정당하게 공유되는 디바이스는 작고 안정적인 결제 수단 집합을 보이지만, 악용 작업은 그것들을 마구 갈아치웁니다.

디바이스별 주소 군집화. 재배송 및 포워딩 주소는 주소 필드에서는 서로 무관해 보이지만 같은 디바이스 핑거프린트로 수렴합니다. 그래프는 "12개 주소로 배송받는 12명의 고객"이 사실은, 같은 두 대의 노트북에서 주문하고 모든 패키지가 같은 포워딩 창고를 거치는 한 명의 운영자임을 드러냅니다.

군집 전반의 행동 상관관계. 하나의 디바이스 군집에 속한 계정들은 하드웨어만 공유하는 것이 아니라 행동도 공유합니다. 비슷한 주문 시점, 비슷한 상품 카테고리, 비슷한 언어로 입력된 비슷한 반품 사유. 모든 계정이 30% 비율로 "상품이 파손되어 도착함" 클레임을 제기하는 군집은 우연이 아닙니다.

산출물은 하나의 사기 점수가 아닙니다. 그것은 연결된 구조입니다. 이 클레임은, 세 대의 디바이스에 걸친 열한 개 계정의 군집에 속하는 한 계정에서 왔고, 그 군집은 기준선을 훨씬 웃도는 반품률로 알려진 금액어치의 반품 클레임 마흔두 건을 통틀어 제기했다 — 이런 구조가 바로 수동 검토자의 판단을 빠르고 방어 가능하게 만드는 것입니다.

어디서 스코어링할 것인가: 주문 시점인가 클레임 시점인가?

클레임 시점에 스코어링하십시오. 환불 사기는 구매가 아니라 반품에서 드러나며, 클레임 시점에 스코어링한다는 것은 결제 단계에서 추측하는 대신 그 계정의 — 그리고 군집의 — 반품 이력이라는 온전한 맥락을 가지고 결정한다는 뜻입니다.

주문 시점에는 환불 악용을 예측할 만한 정보가 거의 없습니다. 주문은 정상으로 보이고, 결제는 승인되며, 상품은 배송됩니다. 디바이스 군집 의심을 근거로 주문 시점에 차단하는 것은, 우연히 같은 디바이스를 공유하는 사람들의 정당한 구매를 차단한다는 뜻이며, 이는 나쁜 거래입니다 — 결코 오지 않을 수도 있는 반품을 막으려고 진짜 매출을 잃는 것입니다.

클레임 시점에는 그림이 완전합니다. 계정의 반품률, 군집의 반품률, 구체적인 클레임 유형(배송 완료·서명 완료된 패키지에 대한 DNA 클레임은 사이즈 오류 반품과 범주적으로 다릅니다), 그리고 이 디바이스 군집이 동일한 클레임 유형의 이력을 가지고 있는지를 알 수 있습니다. 또한 악용이 비싼 지점도 여기입니다. 조직화된 조직의 빈 상자 또는 DNA 클레임은 직접적인 현금 손실이며, 바로 이것이 디바이스로 연결된 이력이 드러내는 클레임 유형입니다.

실무적으로 이는 스마트 시그널과 디바이스 그래프 조회를 결제 단계뿐 아니라 반품·클레임 워크플로의 일부로 실행한다는 뜻입니다. 판정 결과는 이분법적 차단이 아니라 단계적 대응으로 이어집니다.

• 낮은 위험: 환불을 자동 승인합니다. 반품의 절대다수입니다. 정직한 고객에게 마찰을 더하지 마십시오.
• 높아진 위험(개인 악용 패턴): 누구도 비난하지 않은 채로 계정을 더 엄격한 정책 등급으로 옮깁니다 — 반품 수수료, 증거 요구, 더 짧은 반품 기간. 워드로빙과 상습 반품은 정책 문제이며, 정책이 그에 걸맞은 도구입니다.
• 높은 위험(조직화된 조직 신호): 디바이스 군집의 전체 맥락을 첨부하여 수동 검토로 라우팅합니다. 클레임의 증거(사진, 운송사 확인)를 요구합니다. 자동 지급 대신 검토가 끝날 때까지 환불을 보류합니다.

디바이스 그래프는 어떤 개별 클레임에 대해서도 최종 판단을 내리지 않습니다. 그것은 검토자의 맥락을 완전하게 만들고, 개별적으로는 무고해 보이는 클레임의 흐름을 읽어낼 수 있는 패턴으로 바꿉니다.

반품 악용에 가장 중요한 디바이스 신호는 무엇인가

환불 악용을 판별하는 신호는 여러 정체성 뒤의 한 운영자와 여러 클레임 뒤의 한 환경을 드러내는 신호입니다 — 디바이스 연결, 네트워크 맥락, 그리고 군집 전반의 행동 일관성입니다.

디바이스 연결은 위에서 설명했듯 토대입니다. 계정, 카드, 주소를 잇는 지속적 식별자입니다. 이것이 없으면 그래프의 다른 어떤 것도 고정될 곳이 없습니다.

네트워크 맥락은 두 번째 차원을 더합니다. IP 인텔리전스 계층은 주거지 연결을 데이터센터, VPN, 혹은 주거지 프록시와 구별합니다. 조직화된 반품 작업은 계정을 지리적으로 다양해 보이게 하려고 흔히 호스팅 인프라에서 작업하거나 프록시를 순환시키는데 — 그 인프라 자체가 하나의 신호입니다. 디바이스를 공유하면서 프록시 IP에서도 거래하는 계정 군집은 디바이스 연결만 있는 것보다 강한 패턴입니다.

행동 일관성이 세 번째입니다. 진짜 반품 작업에서 나오는 클레임은 언어적·절차적 핑거프린트를 지닙니다 — 반품 사유 필드의 동일한 표현, 동일한 클레임 유형, 배송 대비 동일한 시점. 하나의 디바이스 군집의 클레임이 행동적으로 균일할 때, 그 균일성은 하나의 손이 작업했다는 증거입니다.

이 중 어느 하나에 의존하지 않고 이들을 결합하는 이유는 이렇습니다. 각각은 개별적으로 회피 가능하지만, 이 모두에 걸친 일관성은 위조하기 어렵습니다. 운영자는 디바이스 신호를 위조하거나, 주거지 프록시로 우회하거나, 클레임 언어를 바꿀 수 있습니다 — 그러나 수십 개 계정에 걸쳐 매 주문과 매 클레임마다 이 세 가지를 일관되게 모두 해내는 것은, 더 이상 수익이 나지 않을 만큼 비쌉니다. 이것이 바로 디바이스 인텔리전스 전반의 토대를 이루는 환경 일관성 원칙을, 반품의 구체적 경제학에 적용한 것입니다.

이것이 운영 측면에서 바꾸는 것

반품에 대한 디바이스 그래프 관점을 채택하면 세 가지가 바뀝니다. 첫째, 분석 단위가 계정에서 운영자로 이동합니다. 상습 반품이 조금이라도 보이는 유일한 층위가 바로 운영자입니다. 둘째, 환불 결정에 이력이 생깁니다 — 오래 지속된 악용 군집에 속한 계정의 첫 클레임은, 백지 상태가 아니라 그 군집이 제공하는 맥락과 함께 다뤄집니다. 셋째, 대응이 단계적이고 방어 가능해집니다. 개인 악용에는 정책 등급, 조직화된 조직에는 증거를 동반한 수동 검토, 그리고 정직한 다수에게는 추가 마찰 없음.

이 중 어느 것도 고객을 비난하거나 반품을 강제로 차단할 필요가 없습니다. 필요한 것은 어떤 클레임이 같은 손에서 나오는지 아는 것, 그리고 조직화된 패턴을 고립된 패턴과 다르게 다루는 것입니다.

Tracio는 이 접근법이 의존하는 지속적 디바이스 정체성과 디바이스 그래프 연결을 제공합니다 — 삭제된 쿠키와 새 계정을 관통해 살아남는 안정적인 비지터 식별자, IP 인텔리전스에서 오는 네트워크 맥락, 그리고 계정-디바이스 및 결제-디바이스 군집화를 드러내는 스마트 시그널입니다. 판정과 그 기저의 신호들은 클레임 시점에 50ms 이내에 반환되며, 연결된 군집은 검토자가 바로 이용할 수 있습니다.

디바이스 그래프가 당신의 실제 반품 데이터에서 상습 반품자를 어떻게 드러내는지 보고 싶으신가요?

무료 체험 시작하기 — 2,500건 무료 검증, 신용카드 불필요. 당신의 구체적인 반품 퍼널과 정책 모델을 대상으로 환불 사기 탐지를 살펴보려면 데모 예약하기.