Работа с рисками

Чтобы описать процесс противодействия финансовому мошенничеству, можно выделить несколько его свойств.

Во-первых, этот процесс можно назвать многоуровневым. В нём принимают участие разные стороны, включая мерчантов, провайдеров, платёжные системы и эмитентов, и каждая из этих сторон обеспечивает противодействие на своём уровне: применительно к потоку платежей, который её затрагивает. При этом могут использоваться разные инструменты, некоторые из которых могут быть общими для нескольких сторон (как в случае с аутентификацией 3‑D Secure), а другие — частными, специфичными для каждой из сторон (как в случае с «белыми» и «чёрными» списками). И за счёт последовательного применения таких инструментов обеспечивается многоступенчатая фильтрация операций и достигается действенный уровень общей эффективности.

Во-вторых, для этого процесса характерны как прямые, так и обратные связи между разными уровнями. Так, если для некоторой операции было установлено, что её следует считать мошеннической, уже после того, как её провели, информация об этом доводится до всех причастных сторон и позволяет корректировать работу по противодействию подобным операциям на разных уровнях.

В-третьих, на каждом из уровней этот процесс можно представить как непрерывный цикл с четырьмя стадиями: настройкой, контролем, реагированием и анализом.

Процесс противодействия финансовому мошенничеству можно назвать многоуровневым — в нём принимают участие разные стороны, включая мерчантов, провайдеров, платёжные системы и эмитентов, и каждая из этих сторон обеспечивает противодействие как на своём уровне, так и совместно. На каждом из уровней этот процесс можно представить как непрерывный цикл с четырьмя стадиями: настройкой, контролем, реагированием и анализом.

Таким образом, процесс противодействия финансовому мошенничеству можно представить как систему связных действий, циклически повторяемых на разных уровнях.

Далее описаны основные стадии этого процесса — настройка, контроль, реагирование и анализ — с фокусировкой на тех аспектах, которые могут быть актуальными в работе мерчантов.

Перед выполнением операций в платёжной платформе ecommpay проверяется их допустимость. В рамках такой проверки параметры каждой операции проверяются на соответствие заданным правилам и операция автоматически относится к одной из следующих категорий:

Перед выполнением операций в платёжной платформе ecommpay проверяется их допустимость. По результатам такой проверки операция автоматически относится к одной из следующих категорий:

• Мошенническая — если хотя бы один из параметров операции присутствует в «чёрном» списке или риск в выполнении операции (по совокупности её параметров) оценивается как высокий. В этом случае операция отклоняется и от ecommpay к веб-сервису отправляется итоговое оповещение со статусом операции decline и кодом ошибки (полный список таких кодов ошибок и пояснений к ним представлен в блоке коды RCS).
• Подозрительная — если по заданным алгоритмам не удаётся однозначно оценить риск в выполнении операции и требуются уточнения. В этом случае операция отправляется на выполнение, а специалисты ecommpay дополнительно анализируют, можно ли считать её благонадёжной или мошеннической, и при необходимости передают информацию для согласований сотрудникам мерчанта. И уже по итогам оценки специалистами могут применяться различные меры, в том числе выполнение возврата и дополнение «чёрного» списка.
• Подозрительная — если по заданным алгоритмам не удаётся однозначно оценить риск в выполнении операции. В этом случае операция отправляется на выполнение, а специалисты ecommpay дополнительно её анализируют и при необходимости передают информацию для согласований сотрудникам мерчанта.
• Благонадёжная — если хотя бы один из параметров операции присутствует в «белом» списке или риск в выполнении операции (по совокупности её параметров) оценивается как несущественный. В этом случае операция отправляется на выполнение.

После начальной оценки рисков со стороны мерчанта и ecommpay контроль не заканчивается: одобрение операции на стороне ecommpay не исключает признания этой же операции неблагонадёжной со стороны других участников проведения платежа, а одобрение операции всеми участниками не исключает выявления мошенничества постфактум. В таких случаях информация о попытках и фактах мошенничества, выявленных другими участниками, передаётся в ecommpay и далее, специалистами ecommpay, сотрудникам мерчанта. Кроме того, со стороны мерчанта можно контролировать выполнение операций и получать информацию об отклонённых и мошеннических операциях через интерфейс Dashboard или электронную почту (подробнее об этом далее), а в любой нестандартной ситуации можно обращаться через электронную почту к специалистам ecommpay по работе с рисками.

После проверки в платёжной платформе операция может быть признана неблагонадёжной или мошеннической и другими участниками. В таких случаях информация о попытках и фактах мошенничества передаётся в ecommpay и далее — сотрудникам мерчанта. Кроме того, можно контролировать выполнение операций и получать информацию об отклонённых и мошеннических операциях через интерфейс Dashboard или электронную почту (подробнее об этом далее).

В зависимости от того, как оценивается риск операции при её выполнении, а также от того, признаётся ли операция мошеннической уже после её выполнения, на стороне мерчанта могут быть актуальны те или иные действия. И эффективность таких действий может существенно влиять на успешность борьбы с мошенничеством и ведения бизнеса в целом.

Основными ситуациями для реагирования со стороны мерчанта являются следующие:

• Операция отклонена как неблагонадёжная на стороне ecommpay. В этом случае рекомендуется уточнить причину отклонения (через разбор программного оповещения или интерфейс Dashboard) и при необходимости отреагировать следующим образом:
  • дополнить «чёрный» список — если операция действительно мошенническая и можно выделить критерий для блокировки последующих подобных операций (например, номер телефона пользователя);
  • дополнить «белый» список — если есть уверенность, что операция благонадёжная, но с нетипичным поведением пользователя, и при этом можно выделить критерий для подтверждения благонадёжности последующих подобных операций;
  • связаться со специалистами ecommpay — если есть вопросы по выполнению операции;
  • повторно инициировать операцию — если это актуально в работе с пользователем и (за счёт обновления «белого» списка или договорённостей со специалистами ecommpay) есть готовность к выполнению операции без её повторного отклонения.
• Операция признана подозрительной на стороне ecommpay. В этом случае следует проанализировать причину и характер подозрений в мошенничестве и при необходимости связаться с пользователем для уточнения деталей и со специалистами ecommpay для согласования необходимых действий, после чего предпринять эти действия. К таким действиям могут относиться, например, выполнение возвратов и дополнение «белых» и «чёрных» списков.
• Операция одобрена на стороне ecommpay, но отклонена как неблагонадёжная на стороне другого участника. В этом случае рекомендуется уточнить причину отклонения (через Dashboard или специалистов ecommpay) и при необходимости отреагировать следующим образом:
  • дополнить «чёрный» список — если операция действительно мошенническая и можно выделить критерий для блокировки последующих подобных операций;
  • повторно инициировать операцию — если причина отклонения допускает повторную попытку и есть уверенность в благонадёжности операции и понимание того, что она была отклонена из-за некорректно или неполно указанных данных.
• Операция выполнена, но признана мошеннической постфактум. В этом случае рекомендуется уточнить критерии, характеризующие операцию как мошенническую (через Dashboard или специалистов ecommpay), проанализировать остальные операции с участием пользователя, инициировавшего мошенническую операцию, по всем проектам мерчанта и при необходимости дополнить «чёрные» списки. В случае, если мошенническая операция была выполнена без использования протокола 3‑D Secure, рекомендуется выполнить возврат средств пользователю, пострадавшему от мошенничества (в том числе для предотвращения опротестований и связанных с ними дополнительных комиссий и репутационного урона).

Кроме того, в любой нестандартной ситуации рекомендуется обращаться к специалистам ecommpay по работе с рисками.

Чтобы обеспечивать эффективное проведение платежей — с высоким уровнем конверсии и надёжной защитой от мошенничества — необходимо регулярно анализировать общую ситуацию. Оценивать количество корректных и некорректных отклонений, выявлять дополнительные критерии для использования в «белых» и «чёрных» списках, определять необходимость изменений в работе с процедурами подтверждения подлинности пользователей и правилами оценки допустимости операций на стороне ecommpay и так далее. Все аспекты борьбы с мошенничеством требуют регулярного внимания, в том числе потому что схемы мошенничества в электронной коммерции постоянно развиваются в попытках обойти действующие средства защиты.

Чтобы обеспечивать эффективное проведение платежей, необходимо регулярно анализировать общую ситуацию: оценивать количество корректных и некорректных отклонений, выявлять дополнительные критерии для использования в «белых» и «чёрных» списках, актуализировать правила оценки допустимости операций на стороне ecommpay и так далее.

С вопросами о том, как можно выстроить анализ эффективности в работе с рисками, можно обращаться к курирующему менеджеру ecommpay.

Платёжная платформа позволяет отслеживать информацию о попытках и фактах мошенничества, выявленных на стороне ecommpay и платёжных систем. Для этого можно использовать инструменты Dashboard и автоматическую рассылку на электронную почту.

Отслеживать информацию об операциях, признанных мошенническими на стороне платёжных систем, можно не только с помощью инструментов Dashboard, но и с помощью автоматической рассылки на адрес электронной почты, привязанный к учётной записи Dashboard. Уведомления в рамках такой рассылки отправляются в 14:00 UTC+0 при наличии в платформе новой информации о фактах мошенничества. По умолчанию эта рассылка включена для всех учётных записей. Её можно отключить самостоятельно в профиле используемой учётной записи или с помощью сотрудника с ролью Merchant admin в разделе Моя команда.

Чтобы отключить рассылку самостоятельно, следует:

1. Открыть профиль учётной записи.

   Для этого необходимо щёлкнуть имя или иконку учётной записи справа в главном меню и выбрать в выпадающем списке пункт Мой профиль.

2. Перевести выключатель Получать письма о мошеннических транзакциях в неактивное положение.

   Для этого необходимо перейти в режим редактирования личной информации, щёлкнув на панели Профиль, перевести соответствующий выключатель в нужное положение и сохранить изменения, щёлкнув кнопку Сохранить, расположенную в правой верхней части панели Профиль.

3. Убедиться, что все изменения сохранены.

   Об этом свидетельствуют неактивное положение переключателя.

Для проверки допустимости выполнения операций их параметры проверяются в платформе на соответствие различным правилам, в том числе на соответствие «белым» и «чёрным» спискам. Такие списки могут быть общими для всех мерчантов и частными для отдельных проектов мерчанта.

• «Белый» список — это перечень критериев, при соответствии любому из которых операция признаётся заведомо благонадёжной.
• «Чёрный» список — перечень критериев, при соответствии любому из которых операция признаётся заведомо мошеннической.

При работе с конкретными операциями используется ряд правил:

1. Если хотя бы один из параметров операции присутствует в «чёрном» списке ID покупателя, Номер аккаунта или E-mail, то приоритет отдаётся «чёрному» списку и операция признаётся мошеннической.
2. Если не выполняется первое условие и, вместе с тем, среди параметров операции присутствуют те, которые входят в списки IP и BIN как взаимоисключающие (один в «белый», другой в «чёрный», в любой комбинации), то приоритет отдаётся «белому списку» и операция признаётся заведомо благонадёжной.
3. Если по результатам таких проверок, как AML (Anti-Money Laundering; на включение имени в санкционные списки) и Compliance (на допустимость выполнения операции из конкретной страны), операция признаётся неблагонадёжной, то она отклоняется даже при наличии параметров, присутствующих в «белых» списках.

В интерфейсе Dashboard поддерживается возможность работать с критериями «белых» и «чёрных» списков по отдельным проектам и совокупности проектов мерчанта. Для этого в разделе Риски выделен подраздел B/W list, который позволяет:

• просматривать список критериев, с использованием инструментов поиска и фильтрации, если это необходимо;
• добавлять критерии, поштучно или пакетами;
• удалять критерии, только поштучно.

Поиск критериев «белых» и «чёрных» списков осуществляется с помощью фильтров на верхней панели, в том числе с возможностью указывать несколько значений одной категории (например, customer_id) через запятую или пробел.

Вместе с тем, добавлять критерии оценки риска можно и из карточек платежей. Такая возможность поддерживается для любых операций: без ограничения на типы платежей и платёжные методы и без обязательного выявления мошенничества на стороне платёжных систем.

Доступ к возможностям работы с критериями оценки риска регулируется отдельными правами. По умолчанию учётным записям, отнесённым к ролям Risks и Merchant Admin, доступны просмотр «белых» и «чёрных» списков и добавление критериев в «чёрные» списки. В дополнение к этому через обращения к специалистам технической поддержки можно регулировать для отдельных учётных записей право добавления критериев в «белые» списки. Такой подход в отношении «белых» списков обоснован их приоритетом, в том числе при автоматическом анализе рисков в некоторых случаях, и позволяет уменьшать риски выполнения мошеннических операций.

При работе с карточками платежей можно добавлять в «чёрные» списки (и при наличии соответствующего права — в «белые») критерии отдельных операций — по любым платежам без каких-либо ограничений. Это может быть удобным при разборе отдельных случаев признания операции подозрительной или мошеннической, и для такого оперативного добавления следует:

При работе с карточками платежей можно добавлять критерии отдельных операций в «чёрные» списки (и при наличии соответствующего права — в «белые»). Для этого следует:

1. Найти платёж, к которому относится целевая операция — та, значения параметров которой необходимо добавить в «чёрный» («белый») список.

   Для этого можно воспользоваться поиском (подробнее) или реестрами и фильтрами в разделах Платежи и Риски.

2. Открыть карточку платежа.

   Для этого следует щёлкнуть соответствующую строку в реестре выбранного раздела.

3. Добавить критерии в «чёрный» («белый») список.

   Для этого необходимо:

   1. Щёлкнуть кнопку Добавить в список, расположенную на панели Операция.
   2. Выбрать в открывшемся окне: тип списка («белый» или «чёрный»), доступные для конкретной операции категории (по которым необходимо добавить критерии в список) и идентификаторы проектов (для которых необходимо применить изменения). При необходимости можно добавить комментарий, общий для всех добавляемых критериев.
      Прим.: В отдельных случаях в окне Добавить в список для выбора могут быть доступны те категории, которые не использовались для выполнения выбранной операции — например, категория email для операции, в запросе на выполнение которой не указывался этот параметр. В таких случаях при попытке добавить запись в «белый» или «чёрный» список, список не пополняется.
   3. Подтвердить добавление критериев в «чёрный» («белый») список, щёлкнув кнопку Применить.

   
   
   

4. Убедиться, что критерии добавлены в «чёрный» («белый») список.

   Для этого можно проверить, что записи добавлены в реестр со списком критериев в подразделе B/W List.

1. Открыть карточку платежа, к которому относится целевая операция — та, значения параметров которой необходимо добавить в «чёрный» («белый») список, в реестре разделов Платежи или Риски.
2. Вызвать окно добавления критериев в списки, щёлкнув кнопку Добавить в список на панели отдельной операции.
3. Указать в открывшемся окне критерии для добавления в «чёрный» («белый») список и щёлкнуть кнопку Применить.
4. Убедиться, что критерии добавлены в «чёрный» («белый») список, проверив реестр со списком критериев в подразделе B/W List.

При работе с разделом Риски можно добавлять различные критерии в «чёрные» списки (и при наличии соответствующего права — в «белые») через форму в подразделе B/W List. Это может быть удобным при анализе разных случаев и выявлении дополнительных критериев оценки риска, в том числе когда необходимо внести записи в «белый» или «чёрный» список без привязки к конкретным операциям. Для такого добавления записей следует:

1. Открыть форму одиночного добавления критериев.

   Для этого следует открыть раздел Риски, перейти в подраздел B/W List и щёлкнуть кнопку Управление списками слева на панели фильтрации (если кнопка Управление списками не отображается, то необходимо щёлкнуть кнопку справа на панели фильтрации).

2. Добавить критерии.

   Для этого необходимо выбрать тип списка («белый» или «чёрный»), указать в целевых полях необходимые критерии и щёлкнуть кнопку Применить.

   При некорректном заполнении хотя бы одного из полей отображаются соответствующие уведомления об ошибках. В таком случае следует скорректировать значения (либо отказаться от их ввода) и повторно щёлкнуть кнопку Применить.

3. Убедиться, что критерии добавлены, дождавшись.

   Об этом свидетельствует появление окна с уведомлением об успешной отправке запросов на добавление. Также можно проверить, что записи добавлены в реестр со списком критериев в подразделе B/W List.

1. Открыть форму одиночного добавления критериев, щёлкнув кнопку Управление списками в подразделе B/W List.
2. Указать критерии для добавления в «чёрный» («белый») список и щёлкнуть кнопку Применить.
3. Убедиться, что критерии добавлены, дождавшись появления окна с уведомлением об успешной отправке запросов на добавление или проверив реестр со списком критериев в подразделе B/W List.

Удалять критерии «белых» и «чёрных» списков можно в разделе Риски, при этом стоит учитывать, что удалять их можно только поштучно. Для этого необходимо:

1. Перейти в подраздел критериев, щёлкнув кнопку B/W Lists в разделе Риски.
2. Найти в реестре необходимую запись, используя инструменты фильтрации, если это необходимо.
3. Удалить запись, щёлкнув кнопку в соответствующей строке.
4. Проверить , что запись удалена из реестра.