Oszustwa zwrotowe i seryjni zwracający: podejście oparte na grafie urządzeń

Oszustwa zwrotowe to kategoria, w którą większość detalistów inwestuje zbyt mało, ponieważ ukrywają się one wewnątrz metryki, którą detaliści chcą utrzymywać wysoko — akceptacji zwrotów — oraz dlatego, że straty przychodzą po jednym roszczeniu naraz, a nie jednym dramatycznym chargebackiem. Seryjny zwracający, który kosztuje sprzedawcę kilkaset dolarów miesięcznie, nie przekracza żadnego progu. Tysiąc takich osób, skoordynowanych lub nie, to już pozycja w bilansie.

Ten materiał dotyczy wykrywania skoordynowanego i częściowo skoordynowanego końca tego spektrum przy użyciu grafu urządzeń: struktury, która łączy konta, metody płatności i adresy dostawy, jakich pojedynczy operator używa do uprzemysłowienia zwrotów. Odbiorcami są zespoły ds. oszustw i ryzyka w platformach e-commerce i marketplace, które już prowadzą kontrole oszustw płatniczych na etapie płatności, a teraz przyglądają się dalszej części lejka — zwrotom.

Co liczy się jako oszustwo zwrotowe?

Oszustwo zwrotowe to każdy zwrot lub roszczenie o refundację, które odzyskuje wartość, do jakiej klient nie jest uprawniony, czy to przez oszustwo, czy przez nadużycie polityki. To spektrum, a rozdzielenie jego pasm ma znaczenie, bo reakcja różni się w każdym z nich.

Na łagodnym końcu: uczciwe zwroty. Klient kupił zły rozmiar, produkt nie odpowiadał opisowi, dotarł uszkodzony. To koszt prowadzenia biznesu i to właśnie mają absorbować hojne polityki zwrotów. Nie chcesz z tym walczyć.

Pośrodku: oportunistyczne nadużycia. Wardrobing — kupno sukienki, założenie jej raz i zwrot. Nadużywanie doboru rozmiaru — zamawianie pięciu rozmiarów z zamiarem zwrotu czterech, na masową skalę, przy każdym zamówieniu. Seryjne zwroty, gdzie wskaźnik zwrotów jest tak wysoki, że klient de facto wypożycza asortyment. To zachowanie indywidualne, zwykle nieskoordynowane, a właściwą reakcją jest polityka: opłaty za zwrot, warunki ponownego przyjęcia na magazyn, węższe okna dla oznaczonych kont.

Na zorganizowanym końcu: grupy przestępcze. Roszczenia o pustej paczce (zgłoszenie, że paczka dotarła pusta), roszczenia o niedostarczeniu (DNA) dla dostarczonych paczek, fałszywe roszczenia o uszkodzeniu z recyklingowanym dowodem, podmiany zwracanego przedmiotu (zwróć kamień, zatrzymaj telefon) oraz podwójne wyłudzenia typu refundacja-a-potem-chargeback. Te operacje prowadzą wiele kont, rotują metody płatności i adresy, a przepływ refundacji traktują jako strumień przychodów. To właśnie tutaj automatyczne wykrywanie się opłaca.

Graf urządzeń jest najbardziej wartościowy przeciwko pasmu środkowemu i zorganizowanemu, ponieważ oba mają cechę, której brakuje pasmu uczciwemu: jeden operator za wieloma tożsamościami.

Dlaczego kontrole na poziomie konta nie wykrywają seryjnych zwracających

Kontrole na poziomie konta nie wykrywają seryjnych zwracających, ponieważ nadużycie jest definiowane na poziomie osoby, a nie konta, a zdeterminowany nadużywca kontroluje wiele kont. Twój znacznik wskaźnika zwrotów na koncie A nie mówi nic o tym, że konta A, B, C i D to ta sama osoba na tym samym laptopie, każde utrzymywane tuż poniżej progu oznaczania.

To ten sam martwy punkt, który wykrywanie multikont adresuje po stronie rejestracji, zastosowany po stronie zwrotów. Konto to niewłaściwa jednostka analizy. Nadużywca, który rozumie twój próg wskaźnika zwrotów, po prostu rozłoży swoje zwroty na dostatecznie wiele kont, by na każdym z nich pozostać poniżej progu. Jeśli twój próg to 40% wskaźnika zwrotów, prowadzi pięć kont po 35% każde. Każde konto wygląda akceptowalnie; operator zwraca jedną trzecią wszystkiego, co zamawia.

Adres e-mail i metoda płatności też nie zamykają tej luki. E-mail jest darmowy i nieskończony. Metody płatności są tanie — karty prepaid, karty wirtualne i karty podarunkowe są w obfitości, a zorganizowana operacja traktuje spaloną kartę tak, jak spamer traktuje spaloną domenę. Adres dostawy wydaje się trwalszy, ale usługi reshippingu, adresy przesyłania paczek i magazyny spedycyjne pozwalają jednemu operatorowi przedstawić dziesiątki na pozór odrębnych punktów dostawy.

To, co przetrwa przez to wszystko, to środowisko sprzętowe i sieciowe, z którego operator faktycznie pracuje. Może rotować e-mail, kartę i adres przy każdym zamówieniu, ale wciąż siedzi przy skończonym zestawie urządzeń w skończonym zestawie sieci. Graf urządzeń jest kluczem łączącym, którego dane konta celowo nie ujawniają.

Jak graf urządzeń łączy wzorzec

Graf urządzeń łączy nadużycia zwrotowe, sprowadzając każde konto, zamówienie i roszczenie z powrotem do urządzenia i środowiska sieciowego, które je wytworzyło, a następnie odsłaniając klastry, w których jeden ślad sprzętowy rozgałęzia się na wiele tożsamości. To ta sama analiza grafu urządzeń używana do łączenia kont, ukierunkowana na problem zwrotów.

Punktem wyjścia jest stabilny identyfikator urządzenia, który przetrwa próby uniku operatora. Cookies tego nie zrobią — są czyszczone między kontami przez każdego, kto robi to celowo. Fingerprint urządzenia zbudowany z sygnałów przeglądarki, sprzętu, sieci i behawioralnych tworzy identyfikator, który przetrwa wyczyszczoną pamięć, sesje incognito i tworzenie nowych kont. (Mechanika budowania tego identyfikatora jest opisana w jak działa fingerprinting urządzeń; w skrócie jest to probabilistyczne dopasowanie po wielu sygnałach, a nie pojedynczy przechowywany token.)

Gdy trwały identyfikator urządzenia jest przypisany do każdego konta i każdego roszczenia, krawędzie grafu istotne dla oszustw zwrotowych stają się widoczne:

Jedno urządzenie, wiele kont. Pojedynczy fingerprint urządzenia powiązany z pięcioma, dziesięcioma lub pięćdziesięcioma kontami to podstawowy sygnał strukturalny. Gospodarstwo domowe dzielące rodzinny komputer wytwarza dwa lub trzy powiązane konta; operacja seryjnych zwrotów wytwarza dziesiątki, a konta mają skorelowane zachowanie zwrotowe.

Wiele metod płatności, jedno urządzenie. Odwrotna krawędź. Gdy dziesięć różnych kart — różne BIN-y, różne nazwiska — dokonuje transakcji z tego samego urządzenia, historia o „różnych klientach” się rozpada. Legalnie współdzielone urządzenia widzą mały, stabilny zestaw metod płatności; operacje nadużyć przewijają je masowo.

Grupowanie adresów według urządzenia. Adresy reshipperów i spedycyjne wyglądają na niezwiązane w polu adresu, ale zbiegają się na tych samych fingerprintach urządzeń. Graf ujawnia, że „dwunastu klientów wysyłających na dwanaście adresów” to jeden operator, którego paczki wszystkie przechodzą przez ten sam magazyn spedycyjny, zamawiane z tych samych dwóch laptopów.

Korelacja behawioralna w obrębie klastra. Konta w klastrze urządzeń nie tylko dzielą sprzęt — dzielą zachowanie. Podobny timing zamówień, podobne kategorie produktów, podobne powody zwrotów wpisane podobnym językiem. Klaster, w którym każde konto składa roszczenia „produkt dotarł uszkodzony” w tempie 30%, nie jest przypadkiem.

Wynikiem nie jest pojedynczy wskaźnik oszustwa. To powiązana struktura: to roszczenie pochodzi z konta, które należy do klastra jedenastu kont na trzech urządzeniach, które łącznie złożyły czterdzieści dwa roszczenia zwrotowe o znanej wartości dolarowej, ze wskaźnikiem zwrotów znacznie powyżej poziomu bazowego. Ta struktura sprawia, że decyzja ręcznego weryfikatora jest szybka i możliwa do obrony.

Gdzie oceniać: w momencie zamówienia czy roszczenia?

Oceniaj w momencie roszczenia. Oszustwo zwrotowe ujawnia się w zwrocie, a nie w zakupie, a ocenianie w momencie roszczenia oznacza, że decydujesz z pełnym kontekstem historii zwrotów konta — i klastra — zamiast zgadywać przy płatności.

W momencie zamówienia wiesz bardzo niewiele, co jest predykcyjne dla nadużyć zwrotowych. Zamówienie wygląda normalnie; płatność się autoryzuje; produkt zostaje wysłany. Blokowanie w momencie zamówienia na podstawie podejrzenia klastra urządzeń oznacza blokowanie legalnych zakupów od osób, które akurat dzielą urządzenie, co jest złą wymianą — tracisz realny przychód, by zapobiec zwrotowi, który może nigdy nie nadejść.

W momencie roszczenia obraz jest kompletny. Znasz wskaźnik zwrotów konta, wskaźnik zwrotów klastra, konkretny typ roszczenia (roszczenie DNA dla dostarczonej-i-podpisanej paczki jest kategorialnie inne niż zwrot z powodu złego rozmiaru) oraz to, czy ten klaster urządzeń ma historię tego samego typu roszczenia. Tutaj też nadużycie jest kosztowne: roszczenie o pustej paczce lub DNA w zorganizowanej grupie to bezpośrednia strata gotówkowa i jest to dokładnie ten typ roszczenia, który odsłania historia powiązana z urządzeniem.

W praktyce oznacza to uruchamianie smart signals i wyszukiwania w grafie urządzeń jako części przepływu zwrotów i roszczeń, a nie tylko przy płatności. Werdykt zasila stopniowaną reakcję, a nie binarną blokadę:

• Niskie ryzyko: automatyczne zatwierdzenie refundacji. Zdecydowana większość zwrotów. Nie dodawaj tarcia uczciwym klientom.
• Podwyższone ryzyko (indywidualny wzorzec nadużycia): przenieś konto na surowszy poziom polityki — opłaty za zwrot, wymogi dowodowe, krótsze okna — nikogo nie oskarżając. Wardrobing i seryjne zwroty to problemy polityki, a polityka jest proporcjonalnym narzędziem.
• Wysokie ryzyko (sygnały zorganizowanej grupy): skieruj do weryfikacji ręcznej z dołączonym pełnym kontekstem klastra urządzeń. Wymagaj dowodu roszczenia (zdjęcia, potwierdzenie przewoźnika). Wstrzymaj refundację do czasu weryfikacji, zamiast wydawać ją automatycznie.

Graf urządzeń nie podejmuje ostatecznej decyzji w żadnym pojedynczym roszczeniu. Sprawia, że kontekst weryfikatora jest kompletny, i zamienia strumień pojedynczo niewinnie wyglądających roszczeń w czytelny wzorzec.

Które sygnały urządzenia mają największe znaczenie dla nadużyć zwrotowych

Sygnały, które rozróżniają oszustwa zwrotowe, to te, które ujawniają jednego operatora za wieloma tożsamościami i jedno środowisko za wieloma roszczeniami — powiązanie urządzeń, kontekst sieciowy i spójność behawioralna w obrębie klastra.

Powiązanie urządzeń jest fundamentem, jak opisano powyżej: trwały identyfikator, który łączy konta, karty i adresy. Bez niego nic innego w grafie nie jest zakotwiczone.

Kontekst sieciowy dodaje drugi wymiar. Warstwa analizy IP odróżnia połączenie rezydencjalne od centrum danych, VPN-a lub proxy rezydencjalnego. Zorganizowane operacje zwrotowe często pracują z infrastruktury hostingowej lub rotują przez proxy, by ich konta wyglądały na zróżnicowane geograficznie — a ta infrastruktura sama w sobie jest sygnałem. Klaster kont, który dzieli urządzenie i dodatkowo dokonuje transakcji z IP proxy, to silniejszy wzorzec niż samo powiązanie urządzeń.

Spójność behawioralna jest trzecia. Roszczenia z prawdziwej operacji zwrotowej niosą lingwistyczne i proceduralne fingerprinty — to samo sformułowanie w polach powodu zwrotu, te same typy roszczeń, ten sam timing względem dostawy. Gdy roszczenia klastra urządzeń są behawioralnie jednorodne, ta jednorodność jest dowodem jednej ręki.

Powód, by łączyć te sygnały, zamiast polegać na którymkolwiek z osobna: każdy z osobna da się obejść, ale spójność między wszystkimi jest trudna do sfałszowania. Operator może sfałszować sygnał urządzenia, przekierować przez proxy rezydencjalne lub zmieniać język roszczeń — ale robienie wszystkich trzech konsekwentnie na dziesiątkach kont, przy każdym zamówieniu i każdym roszczeniu, jest na tyle kosztowne, że przestaje być opłacalne. To ta sama zasada spójności środowiskowej, która ogólnie leży u podstaw device intelligence, zastosowana do konkretnej ekonomii zwrotów.

Co to zmienia operacyjnie

Przyjęcie widoku zwrotów opartego na grafie urządzeń zmienia trzy rzeczy. Po pierwsze, jednostka analizy przesuwa się z konta na operatora, co jest jedynym poziomem, na którym seryjne zwroty są w ogóle widoczne. Po drugie, decyzje o refundacji zyskują historię — pierwsze roszczenie z konta w długo istniejącym klastrze nadużyć jest traktowane z kontekstem, którego dostarcza klaster, a nie jak czysta karta. Po trzecie, reakcja staje się stopniowana i możliwa do obrony: poziomy polityki dla indywidualnych nadużyć, weryfikacja ręczna z dowodem dla zorganizowanych grup i brak dodanego tarcia dla uczciwej większości.

Nic z tego nie wymaga oskarżania klientów ani twardego blokowania zwrotów. Wymaga wiedzy, które roszczenia pochodzą z tych samych rąk, i traktowania skoordynowanego wzorca inaczej niż odosobnionego.

Tracio zapewnia trwałą tożsamość urządzenia i powiązanie w grafie urządzeń, na których opiera się to podejście — stabilny identyfikator odwiedzającego, który przetrwa wyczyszczone cookies i nowe konta, kontekst sieciowy z analizy IP oraz smart signals, które odsłaniają grupowanie konto-urządzenie i płatność-urządzenie. Werdykt i leżące u jego podstaw sygnały wracają w mniej niż 50 ms w momencie roszczenia, z powiązanym klastrem dostępnym dla weryfikatora.

Chcesz zobaczyć, jak graf urządzeń odsłania seryjnych zwracających w twoich własnych danych o zwrotach?

Rozpocznij bezpłatny okres próbny — 2500 weryfikacji za darmo, bez karty kredytowej. Umów demo, aby przejść przez wykrywanie oszustw zwrotowych na przykładzie twojego konkretnego lejka zwrotów i modelu polityki.