Гайд по основным типам карточного фрода и как с ними бороться мерчантам
Новый клиент делает платеж за платежом подряд на одну и ту же сумму, использует услуги и активно проявляет себя: вы уже обрадовались лояльному пользователю, а он делает чарджбэки на все платежи через пару дней. Знакомо?
Это типичный паттерн поведения карточных мошенников, которые ищут вебсайты со слабой защитой, чтобы использовать платежные шлюзы в свою пользу. Часть из них пытается получить услугу бесплатно за собственные деньги, а часть за чужие, используя, в том числе, краденные карты.
Как не попасться на таких «дельцов» и защитить свой бизнес от карточных мошенников разберем сегодня.
Главные типы карточных мошенников
Прежде чем выстраивать защиту, важно понять с кем именно вы имеете дело, потому что мотивация и поведение у разных типов пользователей разные, а соответственно и стратегии борьбы будут отличаться.
Дружественный фрод (friendly fraud) — это реальный человек со своей картой, который намеренно пользуется услугой, а потом оспаривает платеж в банке. Поскольку большинство банков по умолчанию на стороне держателя карты, а доказать, что цифровая услуга была оказана значительно сложнее, чем кажется, для недобросовестных пользователей открывается золотая жила. А для мерчанта такой пользователь выглядит абсолютно нормально вплоть до момента, когда чарджбэк уже случился.
Второй тип — кардер, работающий с чужими картами, чаще всего украденными или купленными на даркнет-маркетплейсах. Его цель обналичить карту через вашу платформу, либо получить цифровой товар, который легко перепродать. Главное для него — это скорость, он действует пока карта еще не заблокирована и спешит потратить как можно больше с доступного баланса.
Как распознать friendly fraud
Так называемый «дружественный фрод», поступающий от реальных клиентов, обычно опознать наиболее сложно. Этот тип клиентов-мошенников ведет себя как рядовой пользователь, и именно в этом его главное преимущество, его тяжело выявить. Тем не менее, несколько паттернов все их же выдают, в зависимости от конкретного сервиса они могут отличаться.
Повторяющиеся платежи на одинаковую сумму в короткий промежуток времени — один из самых характерных признаков. Человек как будто торопится использовать максимум вашей услуги в срочном порядке, хотя нормальный пользователь в такой спешке обычно не замечен. Следом идет активность сразу после оплаты: скачал, посмотрел, использовал — и через несколько дней чарджбэк с формулировкой «услуга не была оказана». Особенно часто это происходит со стримингами, обучающими платформами и SaaS. Продукты в этих нишах не физические и доказать, что они были предоставлены клиенту можно путем скриншотов и тщательного отслеживания поведения клиента на платформе и именно на слабость в этих вопросах рассчитывают такие потребители.
Еще один сигнал, который можно заметить если смотреть на данные — чарджбэки приходят кластером, не один, а сразу несколько с интервалом в день-два. Подобные клиенты часто возвращаются по несколько раз, если удалось обмануть продукт изначально: тот же email или устройство при открытой регистрации может снова успеть «купить» услугу, если не сделать превентивную блокировку. В 2026 году в индустрии сформировался интересный паттерн поколений: зумеры замечены в авторстве дружественного фрода чаще других поколений. Некоторые зумеры даже считают, что это часть клиентского сервиса карточных систем и функция, которая по умолчанию должна быть им доступна. Если они были не в настроении, то могут сказать, что «услуга не соответствовала описанию» и получить свои средства обратно. Участники индустрии уже обращают на это внимание, но пока бороться с этим явлением прицельно нельзя без участия платежных сетей Visa и Mastercard. Если политика по отношению к таким событиям изменится, возможно их станет меньше. На сегодняшний день многие мерчанты страдают от такого мошенничества и стратегии борьбы с ним часто могут пересекаться с легитимными клиентами.
Признаки атаки кардеров
Если пользователь может показаться обычным и не привлечь особого внимания поначалу, то кардер точно привлечет вашего внимание сразу. Он даже не пытается выглядеть органично — он торопится и это видно.
Несколько неудачных попыток оплаты подряд с разных карт являются одним из самых чистых сигналов в индустрии, который называется тестирование карт. Человек перебирает карты или суммы до первой успешной транзакции. При этом данные карты и данные аккаунта часто не совпадают географически: карта выпущена в Германии, IP из Индонезии, имя с ошибками или вовсе без него. В таких случаях, новый аккаунт сразу идет на оплату без какого-либо привычного поведения на сайте — не смотрел каталог, не читал описание, сразу на страницу оплаты. Все это нетипичные признаки для обычного клиента, который зачастую выбирает услугу и сравнивает предложения.
Отдельно стоит обращать внимание на IP и подсети: один адрес или близкая подсеть генерирует несколько регистраций и оплат за короткое время, часто на небольшие суммы — кардеры намеренно начинают с микротранзакций чтобы проверить карту, прежде чем идти на крупные суммы. Использование VPN, Tor или нестандартных браузеров также должно настораживать — легитимный пользователь редко оплачивает цифровые услуги через анонимайзеры. Открытая дверь для таких «покупателей» практически гарантирует мерчанту проблемы с эквайерами, а получить критическую долю подобных платежей можно буквально за полчаса. Некоторые мошенники используют целые автоматизированные системы и ботов, которые позволяют им создавать аккаунты на сайтах за секунды, а не тратить время на ввод почты вручную.
Атаки карточных мошенников обычно быстрые и частые, приходят волнами и адаптируются к вашим настройкам. Установленные базовые лимиты могут быстро обходиться, как только они поймут, какие они. Кстати, в этом ключе обе стороны используют ИИ: мерчанты для защиты, а мошенники для нападения.
Что делать?
Хорошая новость в том, что оба типа мошенников оставляют следы — и эти следы читаются в данных если знать, что искать. В то же время, отметим, что универсального решения не существует: то, что останавливает кардера, может создать трения для легитимного пользователя, а слишком мягкие правила использования сервиса оставляют дыры для дружественного фрода.
Базовый принцип защиты строится на нескольких уровнях одновременно — правила на уровне транзакций, поведенческий анализ аккаунтов и работа с данными PSP, которые большинство мерчантов часто не читают. Каждый бизнес при этом имеет свой профиль риска: то, что является красным флагом для одной модели может быть абсолютно нормальным поведением для другой. Если на игровом сайте большие платежи это норма, то eSim сервис не может похвастаться тем же, там оплаты зачастую не доходят до 20 долларов.
Настройка защиты, которая не снижает конверсию и при этом реально работает — это отдельная экспертиза, и именно здесь цена ошибки наиболее высока. Если вы узнали свою ситуацию в описанных паттернах и хотите разобраться детально — это повод для консультации.
