Gian lận hoàn tiền và những kẻ trả hàng hàng loạt: tiếp cận bằng device graph

Gian lận hoàn tiền là hạng mục mà đa số nhà bán lẻ đầu tư thiếu, bởi nó ẩn bên trong một chỉ số họ muốn giữ cao — tỷ lệ chấp nhận trả hàng — và bởi thiệt hại đến từng khiếu nại một chứ không phải trong một lần chargeback kịch tính duy nhất. Một kẻ trả hàng hàng loạt khiến nhà bán mất vài trăm đô mỗi tháng sẽ không chạm bất kỳ ngưỡng nào. Một nghìn kẻ như vậy, dù có phối hợp hay không, đã thành một khoản mục.

Bài viết này nói về việc phát hiện đầu có tổ chức và bán tổ chức của dải đó bằng device graph: cấu trúc liên kết các tài khoản, phương thức thanh toán và địa chỉ giao hàng mà một kẻ vận hành đơn lẻ dùng để công nghiệp hóa việc trả hàng. Đối tượng độc giả là các đội chống gian lận và quản trị rủi ro tại các nền tảng thương mại điện tử và marketplace, những đội đã vận hành kiểm soát payment fraud ở khâu thanh toán và giờ nhìn xuống hạ nguồn tới phễu trả hàng.

Thế nào được tính là gian lận hoàn tiền?

Gian lận hoàn tiền là bất kỳ yêu cầu trả hàng hay hoàn tiền nào thu về giá trị mà khách hàng không có quyền hưởng, dù qua lừa dối hay lạm dụng chính sách. Đó là một dải liên tục, và việc tách các băng ra rất quan trọng vì phản ứng khác nhau ở mỗi băng.

Ở đầu vô hại: trả hàng chính đáng. Khách mua nhầm cỡ, món hàng không khớp mô tả, hàng đến bị hư. Đây là chi phí của việc kinh doanh và là thứ mà các chính sách trả hàng hào phóng được thiết kế để hấp thụ. Bạn không muốn chống lại nó.

Ở giữa: lạm dụng cơ hội. Wardrobing — mua một chiếc váy, mặc một lần rồi trả lại. Lạm dụng chọn cỡ (fit-finder) — đặt năm cỡ với ý định trả bốn, ở quy mô lớn, trên mọi đơn hàng. Trả hàng hàng loạt tới mức tỷ lệ trả cao đến mức khách hàng thực chất đang thuê hàng tồn kho. Đây là hành vi cá nhân, thường không phối hợp, và phản ứng đúng là chính sách: phí trả hàng, điều khoản nhập kho lại, cửa sổ chặt hơn cho các tài khoản bị gắn cờ.

Ở đầu có tổ chức: các đường dây gian lận. Khiếu nại hộp rỗng (báo rằng gói hàng đến rỗng), khiếu nại không nhận được (DNA) trên các gói đã giao, khiếu nại hư hỏng giả với bằng chứng tái sử dụng, tráo trả sai món (trả lại hòn đá, giữ chiếc điện thoại), và cú kép hoàn tiền-rồi-chargeback. Các hoạt động này chạy nhiều tài khoản, luân chuyển phương thức thanh toán và địa chỉ, và coi luồng hoàn tiền như một nguồn thu. Đây là nơi phát hiện tự động sinh lợi cho chính nó.

Device graph có giá trị nhất trước băng giữa và băng có tổ chức, vì cả hai đều mang một đặc tính mà băng chính đáng thiếu: một kẻ vận hành đứng sau nhiều danh tính.

Vì sao kiểm soát ở cấp tài khoản bỏ sót kẻ trả hàng hàng loạt

Kiểm soát ở cấp tài khoản bỏ sót kẻ trả hàng hàng loạt vì hành vi lạm dụng được định nghĩa ở cấp con người, không phải cấp tài khoản, và một kẻ lạm dụng quyết tâm sẽ kiểm soát nhiều tài khoản. Cờ tỷ lệ trả hàng của bạn trên tài khoản A không nói gì về việc các tài khoản A, B, C và D là cùng một người trên cùng một chiếc laptop, mỗi cái được giữ ngay dưới ngưỡng gắn cờ.

Đây chính là điểm mù mà phát hiện đa tài khoản xử lý ở phía đăng ký, áp dụng vào phía trả hàng. Tài khoản là đơn vị phân tích sai. Một kẻ lạm dụng hiểu ngưỡng tỷ lệ trả hàng của bạn sẽ chỉ đơn giản phân bổ việc trả hàng qua đủ số tài khoản để ở dưới ngưỡng trên từng cái. Nếu ngưỡng của bạn là tỷ lệ trả 40%, họ chạy năm tài khoản mỗi cái 35%. Mọi tài khoản trông đều chấp nhận được; kẻ vận hành đang trả lại một phần ba mọi thứ họ đặt.

Email và phương thức thanh toán cũng không khép được khoảng trống. Email thì miễn phí và vô hạn. Phương thức thanh toán thì rẻ — thẻ trả trước, thẻ ảo và thẻ quà tặng đầy rẫy, và một tổ chức có bài bản đối xử với một thẻ đã cháy như cách kẻ phát tán thư rác đối xử với một tên miền đã cháy. Địa chỉ giao hàng có vẻ bền hơn, nhưng các dịch vụ reshipper, địa chỉ chuyển tiếp gói hàng và kho chuyển tiếp hàng hóa cho phép một kẻ vận hành trình ra hàng chục điểm giao hàng trông khác nhau.

Thứ sống sót xuyên qua tất cả những cái đó là môi trường phần cứng và mạng mà kẻ vận hành thực sự làm việc từ đó. Họ có thể xoay email, thẻ và địa chỉ trên mỗi đơn, nhưng họ vẫn ngồi tại một tập hữu hạn các thiết bị trên một tập hữu hạn các mạng. Device graph là khóa liên kết mà dữ liệu tài khoản cố tình giữ lại.

Cách device graph liên kết mẫu hình

Device graph liên kết hành vi lạm dụng hoàn tiền bằng cách phân giải mọi tài khoản, đơn hàng và khiếu nại về lại thiết bị và môi trường mạng đã tạo ra nó, rồi phơi bày các cụm nơi một dấu vết phần cứng tỏa ra qua nhiều danh tính. Đó chính là phân tích device graph nền tảng dùng cho liên kết tài khoản, được định hướng vào bài toán trả hàng.

Điểm khởi đầu là một định danh thiết bị ổn định sống sót qua các nỗ lực né tránh của kẻ vận hành. Cookie không làm được — chúng bị xóa giữa các tài khoản bởi bất kỳ ai làm việc này một cách có chủ đích. Một device fingerprint dựng từ các tín hiệu trình duyệt, phần cứng, mạng và hành vi tạo ra một định danh bền vững xuyên qua bộ nhớ đã xóa, các phiên ẩn danh và việc tạo tài khoản mới. (Cơ chế dựng định danh đó được trình bày trong cách hoạt động của device fingerprinting; bản ngắn gọn là nó là một khớp xác suất trên nhiều tín hiệu, không phải một token lưu trữ đơn lẻ.)

Với một định danh thiết bị bền vững gắn vào mọi tài khoản và mọi khiếu nại, các cạnh của đồ thị quan trọng đối với gian lận hoàn tiền trở nên hiện rõ:

Một thiết bị, nhiều tài khoản. Một device fingerprint đơn lẻ gắn với năm, mười hay năm mươi tài khoản là tín hiệu cấu trúc chính. Một hộ gia đình dùng chung máy tính gia đình sinh ra hai hoặc ba tài khoản liên kết; một hoạt động trả hàng hàng loạt sinh ra hàng chục, và các tài khoản có hành vi trả hàng tương quan với nhau.

Nhiều phương thức thanh toán, một thiết bị. Cạnh nghịch đảo. Khi mười thẻ khác nhau — khác BIN, khác tên — đều giao dịch từ cùng một thiết bị, câu chuyện "các khách hàng khác nhau" sụp đổ. Các thiết bị dùng chung hợp lệ thấy một tập nhỏ, ổn định các phương thức thanh toán; các hoạt động lạm dụng cày qua chúng.

Phân cụm địa chỉ theo thiết bị. Các địa chỉ reshipper và chuyển tiếp trông không liên quan ở trường địa chỉ nhưng hội tụ về cùng các device fingerprint. Đồ thị cho thấy "mười hai khách hàng giao đến mười hai địa chỉ" là một kẻ vận hành mà các gói hàng đều đi qua cùng một kho chuyển tiếp, đặt từ cùng hai chiếc laptop.

Tương quan hành vi trên toàn cụm. Các tài khoản trong một cụm thiết bị không chỉ dùng chung phần cứng — chúng dùng chung hành vi. Thời điểm đặt hàng tương tự, danh mục sản phẩm tương tự, lý do trả hàng nhập vào bằng ngôn từ tương tự. Một cụm nơi mọi tài khoản nộp khiếu nại "hàng đến bị hư" ở tỷ lệ 30% không phải là trùng hợp.

Đầu ra không phải một điểm gian lận đơn lẻ. Đó là một cấu trúc liên kết: khiếu nại này đến từ một tài khoản thuộc về một cụm gồm mười một tài khoản trên ba thiết bị, đã cùng nhau nộp bốn mươi hai khiếu nại trả hàng với một giá trị đô la đã biết, với tỷ lệ trả hàng cao hơn nhiều so với mức nền. Cấu trúc đó là thứ khiến quyết định của người rà soát thủ công trở nên nhanh và có căn cứ bảo vệ.

Chấm điểm ở đâu: thời điểm đặt hàng hay thời điểm khiếu nại?

Chấm điểm ở thời điểm khiếu nại. Gian lận hoàn tiền tự lộ ra trong lần trả hàng, không phải trong lần mua, và chấm điểm ở thời điểm khiếu nại nghĩa là bạn quyết định với đầy đủ ngữ cảnh về lịch sử trả hàng của tài khoản — và của cụm — thay vì đoán mò lúc thanh toán.

Ở thời điểm đặt hàng bạn biết rất ít thứ có tính dự báo về lạm dụng hoàn tiền. Đơn hàng trông bình thường; thanh toán được duyệt; món hàng được gửi đi. Chặn ở thời điểm đặt hàng dựa trên nghi ngờ cụm thiết bị nghĩa là chặn những giao dịch hợp lệ của những người tình cờ dùng chung một thiết bị, đó là một cuộc đánh đổi tệ — bạn mất doanh thu thật để ngăn một lần trả hàng có thể chẳng bao giờ đến.

Ở thời điểm khiếu nại, bức tranh đã đầy đủ. Bạn biết tỷ lệ trả hàng của tài khoản, tỷ lệ trả hàng của cụm, loại khiếu nại cụ thể (một khiếu nại DNA trên gói đã-giao-và-đã-ký về bản chất khác hẳn một lần trả hàng vì sai cỡ), và liệu cụm thiết bị này có lịch sử cùng loại khiếu nại đó hay không. Đây cũng là nơi hành vi lạm dụng tốn kém: một khiếu nại hộp rỗng hay DNA trên một đường dây có tổ chức là một khoản mất tiền mặt trực tiếp, và đó chính xác là loại khiếu nại mà lịch sử gắn với thiết bị phơi bày.

Về mặt thực hành, điều đó nghĩa là chạy smart signals và tra cứu device graph như một phần của quy trình trả hàng và khiếu nại, không chỉ ở khâu thanh toán. Phán quyết cấp cho một phản ứng có phân cấp thay vì một lệnh chặn nhị phân:

• Rủi ro thấp: tự động duyệt hoàn tiền. Đại đa số các lần trả hàng. Đừng thêm ma sát cho khách hàng chính đáng.
• Rủi ro nâng cao (mẫu hình lạm dụng cá nhân): chuyển tài khoản sang một bậc chính sách chặt hơn — phí trả hàng, yêu cầu bằng chứng, cửa sổ ngắn hơn — mà không buộc tội ai. Wardrobing và trả hàng hàng loạt là các vấn đề chính sách, và chính sách là công cụ tương xứng.
• Rủi ro cao (tín hiệu đường dây có tổ chức): chuyển tới rà soát thủ công với đầy đủ ngữ cảnh cụm thiết bị đính kèm. Yêu cầu bằng chứng cho khiếu nại (ảnh, xác nhận từ đơn vị vận chuyển). Giữ khoản hoàn tiền chờ rà soát thay vì tự động cấp.

Device graph không đưa ra quyết định cuối cùng trên bất kỳ khiếu nại đơn lẻ nào. Nó làm cho ngữ cảnh của người rà soát trở nên đầy đủ, và nó biến một luồng các khiếu nại trông vô tội một cách riêng lẻ thành một mẫu hình dễ đọc.

Những tín hiệu thiết bị nào quan trọng nhất với lạm dụng trả hàng

Các tín hiệu phân biệt hành vi lạm dụng hoàn tiền là những tín hiệu phơi bày một kẻ vận hành đứng sau nhiều danh tính và một môi trường đứng sau nhiều khiếu nại — liên kết thiết bị, ngữ cảnh mạng, và tính nhất quán hành vi trên toàn cụm.

Liên kết thiết bị là nền tảng, như đã mô tả ở trên: định danh bền vững kết nối các tài khoản, thẻ và địa chỉ. Không có nó, không gì khác trong đồ thị được neo lại.

Ngữ cảnh mạng thêm chiều thứ hai. Lớp IP intelligence phân biệt một kết nối dân cư với một trung tâm dữ liệu, một VPN, hay một residential proxy. Các hoạt động trả hàng có tổ chức thường làm việc từ hạ tầng lưu trữ (hosting) hoặc luân chuyển qua các proxy để làm cho tài khoản của họ trông đa dạng về địa lý — và bản thân hạ tầng đó là một tín hiệu. Một cụm tài khoản dùng chung một thiết bị và cũng giao dịch từ các IP proxy là một mẫu hình mạnh hơn liên kết thiết bị đơn thuần.

Tính nhất quán hành vi là chiều thứ ba. Các khiếu nại từ một hoạt động trả hàng thực thụ mang dấu vân tay ngôn ngữ và quy trình — cùng lối diễn đạt trong trường lý do trả hàng, cùng loại khiếu nại, cùng thời điểm so với lúc giao hàng. Khi các khiếu nại của một cụm thiết bị đồng nhất về hành vi, sự đồng nhất đó là bằng chứng của một bàn tay duy nhất.

Lý do để kết hợp các tín hiệu này thay vì dựa vào bất kỳ tín hiệu đơn lẻ nào: mỗi cái đều có thể né tránh một cách độc lập, nhưng sự nhất quán xuyên suốt tất cả chúng thì khó làm giả. Một kẻ vận hành có thể giả mạo một tín hiệu thiết bị, hoặc đi qua một residential proxy, hoặc thay đổi ngôn từ khiếu nại — nhưng làm cả ba một cách nhất quán trên hàng chục tài khoản, trên mọi đơn hàng và mọi khiếu nại, tốn kém đủ để nó thôi sinh lời. Đó chính là nguyên tắc nhất quán môi trường vốn làm nền cho device intelligence nói chung, áp dụng vào kinh tế học cụ thể của việc trả hàng.

Điều này thay đổi gì về mặt vận hành

Áp dụng góc nhìn device graph cho việc trả hàng thay đổi ba thứ. Thứ nhất, đơn vị phân tích chuyển từ tài khoản sang kẻ vận hành, đây là cấp duy nhất mà việc trả hàng hàng loạt thậm chí còn hiện ra. Thứ hai, các quyết định hoàn tiền có được lịch sử — một khiếu nại lần đầu từ một tài khoản trong một cụm lạm dụng lâu đời được xử lý với ngữ cảnh mà cụm cung cấp, chứ không phải như một tờ giấy trắng. Thứ ba, phản ứng trở nên có phân cấp và có căn cứ bảo vệ: các bậc chính sách cho lạm dụng cá nhân, rà soát thủ công kèm bằng chứng cho các đường dây có tổ chức, và không thêm ma sát cho đa số khách hàng chính đáng.

Không điều nào trong số này đòi hỏi buộc tội khách hàng hay chặn cứng việc trả hàng. Nó đòi hỏi biết được những khiếu nại nào đến từ cùng một bàn tay, và xử lý một mẫu hình phối hợp khác với một mẫu hình đơn lẻ.

Tracio cung cấp danh tính thiết bị bền vững và liên kết device graph mà cách tiếp cận này phụ thuộc vào — một định danh khách truy cập ổn định sống sót qua cookie đã xóa và tài khoản mới, ngữ cảnh mạng từ IP intelligence, và các smart signals làm nổi lên phân cụm tài khoản-tới-thiết bị và thanh toán-tới-thiết bị. Phán quyết và các tín hiệu nền tảng trả về trong dưới 50ms ngay tại điểm khiếu nại, với cụm liên kết sẵn có cho người rà soát.

Muốn xem device graph phơi bày những kẻ trả hàng hàng loạt trong chính dữ liệu trả hàng của bạn như thế nào?

Bắt đầu dùng thử miễn phí — 2.500 lượt xác minh miễn phí, không cần thẻ tín dụng. Đặt lịch demo để đi qua phần phát hiện gian lận hoàn tiền trên chính phễu trả hàng và mô hình chính sách của bạn.