Возвратный фрод и серийные возвраты: подход на основе графа устройств

Возвратный фрод — та категория, в которую ритейлеры вкладываются меньше всего, потому что он прячется внутри метрики, которую они хотят держать высокой, — приёма возвратов, — и потому что убытки приходят по одной заявке за раз, а не единым драматичным чарджбэком. Серийный возвращатель, обходящийся продавцу в несколько сотен долларов в месяц, не пробивает ни один порог. Тысяча таких, скоординированных или нет, — это уже статья расходов.

Этот материал — о том, как обнаруживать скоординированный и полускоординированный конец этого спектра с помощью графа устройств: структуры, которая связывает аккаунты, платёжные средства и адреса доставки, используемые одним оператором, чтобы поставить возвраты на поток. Аудитория — команды по фроду и рискам в e-commerce и на маркетплейсах, которые уже применяют контроль платёжного фрода на кассе и теперь смотрят ниже по воронке — на процесс возвратов.

Что считается возвратным фродом?

Возвратный фрод — это любой возврат или заявка на возмещение, которые возвращают клиенту ценность, на которую он не имеет права, будь то через обман или злоупотребление политикой. Это спектр, и разделять его полосы важно, потому что ответ на каждой из них разный.

На безобидном конце — честные возвраты. Клиент купил не тот размер, товар не совпал с описанием, пришёл повреждённым. Это издержки ведения бизнеса и именно то, что призваны поглощать щедрые политики возврата. С этим бороться не нужно.

Посередине — оппортунистические злоупотребления. Вардробинг — купить платье, надеть один раз, вернуть. Злоупотребление подбором размера — заказать пять размеров с намерением вернуть четыре, массово, на каждом заказе. Серийные возвраты, где процент возврата настолько высок, что клиент фактически арендует товар. Это индивидуальное поведение, обычно нескоординированное, и правильный ответ — политика: сборы за возврат, условия пополнения склада, более жёсткие окна для помеченных аккаунтов.

На организованном конце — фрод-группы. Заявки о «пустой коробке» (сообщить, что посылка пришла пустой), заявки о неполучении (did-not-arrive, DNA) на доставленные посылки, ложные заявки о повреждении с переиспользуемыми доказательствами, подмены при возврате не того товара (вернуть камень, оставить телефон) и двойные списания «возврат, затем чарджбэк». Эти операции ведут множество аккаунтов, ротируют платёжные средства и адреса и относятся к процессу возвратов как к источнику дохода. Именно здесь автоматизированное обнаружение окупает себя.

Граф устройств наиболее ценен против средней и организованной полос, потому что у обеих есть свойство, которого нет у честной полосы: один оператор за множеством личностей.

Почему контроль на уровне аккаунтов упускает серийных возвращателей

Контроль на уровне аккаунтов упускает серийных возвращателей, потому что злоупотребление определяется на уровне человека, а не аккаунта, и упорный злоупотребитель управляет множеством аккаунтов. Ваш флаг процента возврата на аккаунте A ничего не говорит о том, что аккаунты A, B, C и D — это один человек на одном ноутбуке, каждый держится чуть ниже порога срабатывания.

Это та же слепая зона, которую обнаружение мультиаккаунтинга закрывает на стороне регистрации, применённая к стороне возвратов. Аккаунт — неверная единица анализа. Злоупотребитель, понимающий ваш порог по проценту возврата, просто распределит свои возвраты по достаточному числу аккаунтов, чтобы на каждом остаться ниже него. Если ваш порог — 40% возвратов, он ведёт пять аккаунтов по 35% каждый. Каждый аккаунт выглядит приемлемо; оператор возвращает треть всего, что заказывает.

Email и платёжное средство эту брешь тоже не закрывают. Email бесплатен и бесконечен. Платёжные средства дёшевы — предоплаченные карты, виртуальные карты и подарочные карты в избытке, а организованная операция относится к сгоревшей карте так же, как спамер к сгоревшему домену. Адрес доставки кажется более устойчивым, но сервисы реотправки, адреса пересылки посылок и склады фрахтовой пересылки позволяют одному оператору предъявить десятки внешне различных точек доставки.

Что переживает всё это — так это аппаратное и сетевое окружение, из которого оператор на самом деле работает. Он может менять email, карту и адрес на каждом заказе, но по-прежнему сидит за конечным набором устройств в конечном наборе сетей. Граф устройств — тот ключ связывания, который данные аккаунта намеренно скрывают.

Как граф устройств связывает паттерн

Граф устройств связывает злоупотребление возвратами, сводя каждый аккаунт, заказ и заявку обратно к устройству и сетевому окружению, которые их породили, а затем выявляя кластеры, где один аппаратный след расходится по множеству личностей. Это тот же самый анализ графа устройств, что используется для связывания аккаунтов, развёрнутый к задаче возвратов.

Отправная точка — стабильный идентификатор устройства, переживающий попытки уклонения оператора. Cookies для этого не годятся — их очищает между аккаунтами любой, кто делает это намеренно. Отпечаток устройства, построенный из сигналов браузера, железа, сети и поведения, даёт идентификатор, который сохраняется сквозь очищенное хранилище, режим инкогнито и создание свежего аккаунта. (Механика построения этого идентификатора разобрана в как работает фингерпринтинг устройств; если кратко — это вероятностное сопоставление по множеству сигналов, а не единый сохранённый токен.)

С постоянным идентификатором устройства, привязанным к каждому аккаунту и каждой заявке, становятся видны рёбра графа, важные для возвратного фрода:

Одно устройство, много аккаунтов. Один отпечаток устройства, связанный с пятью, десятью или пятьюдесятью аккаунтами, — главный структурный сигнал. Семья, делящая домашний компьютер, даёт два-три связанных аккаунта; операция серийных возвратов даёт десятки, и у этих аккаунтов коррелированное поведение возвратов.

Много платёжных средств, одно устройство. Обратное ребро. Когда десять разных карт — разные BIN, разные имена — все проводят операции с одного устройства, история про «разных клиентов» рушится. Легитимно общие устройства видят небольшой стабильный набор платёжных средств; операции злоупотребления прогоняют их пачками.

Кластеризация адресов по устройству. Адреса реотправки и пересылки выглядят несвязанными в поле адреса, но сходятся на одних и тех же отпечатках устройств. Граф показывает, что «двенадцать клиентов, отправляющих на двенадцать адресов» — это один оператор, чьи посылки все маршрутизируются через один склад пересылки, заказанные с одних и тех же двух ноутбуков.

Поведенческая корреляция по кластеру. Аккаунты в кластере устройств не просто делят железо — они делят поведение. Похожее время заказов, похожие категории товаров, похожие причины возврата, введённые похожим языком. Кластер, где каждый аккаунт подаёт заявки «товар пришёл повреждённым» с частотой 30%, — не совпадение.

Результат — не единый скор фрода. Это связанная структура: эта заявка приходит от аккаунта, принадлежащего кластеру из одиннадцати аккаунтов на трёх устройствах, которые совокупно подали сорок две заявки на возврат на известную сумму, с процентом возврата намного выше базового. Именно эта структура делает решение ручного проверяющего быстрым и обоснованным.

Где скорить: в момент заказа или в момент заявки?

Скорьте в момент заявки. Возвратный фрод раскрывается в возврате, а не в покупке, и скоринг в момент заявки означает, что вы решаете, обладая полным контекстом истории возвратов аккаунта — и кластера, — а не гадаете на кассе.

В момент заказа вы знаете очень мало из того, что предсказывает злоупотребление возвратами. Заказ выглядит нормально; платёж авторизуется; товар отгружается. Блокировать в момент заказа по подозрению на кластер устройств — значит блокировать легитимные покупки людей, которые просто делят устройство, а это плохой обмен: вы теряете реальную выручку, чтобы предотвратить возврат, которого может и не случиться.

В момент заявки картина полна. Вы знаете процент возврата аккаунта, процент возврата кластера, конкретный тип заявки (заявка о неполучении (DNA) на доставленную и подписанную посылку категорически отличается от возврата не того размера) и был ли у этого кластера устройств тот же тип заявки в истории. Здесь же злоупотребление и дорого обходится: заявка о «пустой коробке» или DNA у организованной группы — прямая денежная потеря, и это именно тот тип заявки, который вскрывает привязанная к устройству история.

Практически это означает запуск умных сигналов и обращения к графу устройств как части процесса возвратов и заявок, а не только на кассе. Вердикт питает градуированный ответ, а не бинарную блокировку:

• Низкий риск: авто-одобрение возмещения. Подавляющее большинство возвратов. Не добавляйте трения честным клиентам.
• Повышенный риск (паттерн индивидуального злоупотребления): переведите аккаунт на более строгий тариф политики — сборы за возврат, требования доказательств, более короткие окна — никого не обвиняя. Вардробинг и серийные возвраты — проблемы политики, и политика здесь — соразмерный инструмент.
• Высокий риск (сигналы организованной группы): направьте на ручную проверку с приложенным полным контекстом кластера устройств. Требуйте доказательство заявки (фото, подтверждение перевозчика). Придержите возмещение до проверки, а не выдавайте автоматически.

Граф устройств не выносит окончательного решения по любой отдельной заявке. Он делает контекст проверяющего полным и превращает поток по отдельности невинно выглядящих заявок в читаемый паттерн.

Какие сигналы устройств важнее всего для злоупотребления возвратами

Сигналы, различающие возвратный фрод, — это те, что вскрывают одного оператора за множеством личностей и одно окружение за множеством заявок: связывание устройств, сетевой контекст и поведенческая согласованность по кластеру.

Связывание устройств — основа, как описано выше: постоянный идентификатор, соединяющий аккаунты, карты и адреса. Без него ничто иное в графе не заякорено.

Сетевой контекст добавляет второе измерение. Слой IP-разведки отличает домашнее подключение от дата-центра, VPN или резидентного прокси. Организованные операции возвратов часто работают из хостинговой инфраструктуры или ротируются через прокси, чтобы их аккаунты выглядели географически разнообразными, — и сама эта инфраструктура является сигналом. Кластер аккаунтов, который делит устройство и вдобавок проводит операции с прокси-IP, — более сильный паттерн, чем связывание устройств в одиночку.

Поведенческая согласованность — третье. Заявки от настоящей операции возвратов несут лингвистические и процедурные отпечатки — одни и те же формулировки в полях причины возврата, одни и те же типы заявок, одно и то же время относительно доставки. Когда заявки кластера устройств поведенчески однородны, эта однородность — свидетельство одной руки.

Причина комбинировать это, а не полагаться на что-то одно: каждый по отдельности обходим, но связность по всем ним подделать трудно. Оператор может подделать сигнал устройства, или маршрутизироваться через резидентный прокси, или варьировать язык заявок — но делать всё три согласованно по десяткам аккаунтов, на каждом заказе и каждой заявке, достаточно дорого, чтобы это перестало быть прибыльным. Это тот же принцип согласованности окружения, что лежит в основе device intelligence в целом, применённый к конкретной экономике возвратов.

Что это меняет операционно

Принятие взгляда на возвраты через граф устройств меняет три вещи. Во-первых, единица анализа смещается с аккаунта на оператора — единственный уровень, на котором серийные возвраты вообще видны. Во-вторых, решения по возмещениям обретают историю — первая заявка от аккаунта в долгоживущем злоупотребляющем кластере трактуется с контекстом, который даёт кластер, а не как чистый лист. В-третьих, ответ становится градуированным и обоснованным: тарифы политики для индивидуального злоупотребления, ручная проверка с доказательствами для организованных групп и никакого добавленного трения для честного большинства.

Ничто из этого не требует обвинять клиентов или жёстко блокировать возвраты. Требуется знать, какие заявки исходят из одних и тех же рук, и трактовать скоординированный паттерн иначе, чем изолированный.

Tracio предоставляет постоянную идентичность устройства и связывание графа устройств, на которых держится этот подход, — стабильный идентификатор посетителя, переживающий очищенные cookies и свежие аккаунты, сетевой контекст из IP-разведки и умные сигналы, вскрывающие кластеризацию «аккаунт-устройство» и «платёж-устройство». Вердикт и лежащие в основе сигналы возвращаются менее чем за 50 мс в точке подачи заявки, а связанный кластер доступен проверяющему.

Хотите увидеть, как граф устройств вскрывает серийных возвращателей в ваших собственных данных о возвратах?

Начните бесплатный пробный период — 2500 проверок бесплатно, без банковской карты. Закажите демо, чтобы пройти обнаружение возвратного фрода на вашей конкретной воронке возвратов и модели политики.