电商欺诈防范完整指南

欺诈是每个商家都必须面对的问题。一套完善的欺诈防范策略能帮你把损失降到最低，让骗子不敢盯上你的网店。有了得当的防范措施，你就能自动拦截欺诈，每周省下大量原本用于人工审核订单的时间。

本文将介绍制定这套策略的方法、需要警惕的欺诈类型，以及能真正保护业务的有效防范手段。

什么是欺诈防范？

欺诈防范是一套帮助企业识别、预防和处置欺诈的策略，其目标是防止欺诈损害企业的财务、声誉或客户。

欺诈防范为什么重要？

• 财务损失与经营不稳
• 声誉风险
• 法律合规问题
• 效率难题

财务损失与经营不稳

对企业而言，处理欺诈的代价高昂。一旦成为金融犯罪的受害者，钱就会从你的银行账户流入骗子的口袋。如果发起欺诈的是你的客户，他们会利用退单来钻空子，这种情形被称为“善意欺诈”。根据支付解决方案公司Cybersource的数据统计，商家在处理这类纠纷时，每发生100美元（约700元人民币）的争议金额，对应的纠纷管理成本为35美元（约245元人民币）。

声誉风险

许多消费决策都由口碑促成，或至少受其影响。如果有一位客户在你的网站上有过不愉快的经历，他很可能会把这类欺诈风险告诉自己的亲朋好友，从而让人们对购买你的产品望而却步。

法律合规问题

保护消费者免受欺诈的法律早已存在。企业必须遵守反洗钱法规，这些法规禁止骗子藏匿通过欺诈活动（比如盗用的信用卡信息）获得的收益。

为企业处理支付的金融机构同样有义务遵守反洗钱法规，做法包括核实客户身份、监控交易中的可疑行为，并上报可疑活动。

不满足这些要求，不仅会给骗子留下可乘之机，还会让你面临法律诉讼，即便你本身是欺诈行为的受害方也不例外。

效率难题

欺诈问题复杂，处理起来也十分耗时。争议索赔、收集证据、应对欺诈的种种后果，都会占用你宝贵的时间，而这些时间原本可以用在更有价值的地方。

欺诈的类型

• 网络钓鱼骗局
• 善意欺诈
• 信用卡试卡攻击
• 退款滥用
• 会员权益滥用
• 账户接管欺诈
• 三角欺诈
• 身份盗用

网络钓鱼骗局

网络钓鱼是指欺诈者假冒他人身份的行为。他们诱骗人们相信自己是另一个人，指望对方交出敏感信息。举个例子，有人自称是你银行的工作人员，发来一封钓鱼邮件，目的就是想未经授权登入你企业的银行账户。

Cybersource的电商欺诈报告发现，网络钓鱼是零售商遇到最多的一类欺诈，近半数（43%）的企业经历过此类欺诈。

善意欺诈

善意欺诈又称退单欺诈，其实并不像名字听上去那么“善意”。它指的是客户从商家处购买了商品后，又联系信用卡发卡机构对这笔费用提出争议。他们会声称自己没有收到产品，或者说这不是本人授权的交易。

不幸的是，欺诈性退单相当普遍。Cybersource发现，超过三分之一的企业都遭遇过这类欺诈手段，零售商的平均退单率为0.52%。

信用卡试卡攻击

信用卡试卡攻击，有时也称支付欺诈，是指骗子利用盗来的信用卡信息在你的网店进行欺诈性购买。他们常用的作案手法包括：

• 枚举攻击：欺诈者用自动化脚本或机器人系统性地猜测并核验卡片信息。他们起初没有任何具体信息，而是通过脚本或机器人生成大量卡号，直到找到一个能用的为止。
• 有效性核验：欺诈者验证已获取的信用卡信息是否有效，通常通过小额交易或使用验证工具完成。这种情况下，欺诈者手里已经掌握了部分卡片信息，无需再去猜卡号，只需检查这些卡号是否有效即可。

三分之一的企业都经历过这类信用卡欺诈，但防范起来并不难。像Shopify Payments（该功能中国大陆地区暂不可用）这样的电商支付服务配备了实时欺诈检测工具，可以核实客户的账单地址是否与卡片登记的地址一致。地址不符，订单即被取消。

退款滥用

退款滥用是指客户滥用你的退货政策，通常的做法包括提交过多的退货、退回假货，或声称商品不符合用途。

这类欺诈在时尚行业尤为常见。有些购物者会玩“穿完就退”的把戏：买下一件衣服，穿过之后吊牌还留着，再退回去申请全额退款。

会员权益滥用

会员计划（忠诚度计划）本是为了回报常经常消费的客户，但有时也会让商家沦为网络欺诈的受害者。研究估计，22%的企业经历过会员权益欺诈，即客户通过盗取积分或钻空子来滥用会员计划。

账户接管欺诈

账户接管欺诈是身份盗用的一种，一旦有人未经授权登入你的企业账户（比如你的平台登录凭据），就可能发生。骗子登录后能看到你的私密信息，甚至可能把你的账户扣作人质，只有在拿到钱后才肯放行。

如果有人黑进了客户在你网站上创建的账户，同样会发生账户接管欺诈。骗子可能会用客户已存的卡进行未经授权的消费，或者以他人名义测试盗来的卡片信息。

三角欺诈

三角欺诈是一种复杂的数字欺诈，骗子会仿冒你的网店，用低价折扣引诱购物者上钩。在假店里下单的客户交出了自己的支付信息，骗子便用这笔订单里盗来的钱，冒用该客户的信息在你真正的网店里进行欺诈性购买。随后，这些信息会被拿到暗网上出售，或用于对其他商家实施欺诈性购买。

这类网络欺诈往往能潜伏数月而不被察觉，因为客户照样收到了产品，浑然不知自己的敏感个人信息已经被非法窃取。

身份盗用

身份盗用是指骗子冒用他人的身份（如姓名、电子邮箱或网络账户等）来进行欺诈性交易。骗子可以通过数据泄露或网络钓鱼攻击获取这些信息，有时这些信息还会被拿到暗网上兜售，供欺诈者购买。

对商家而言，身份盗用尤其棘手，因为你以为自己面对的是真实客户。举个例子，如果有人登入某个账户并要求退款到另一张卡上，你可能意识不到联系你的并非账户本人，而是非法登入该账户、伺机索取退款的骗子。

如何防范欺诈

1. 使用Shopify Payments
2. 部署IP欺诈评分工具
3. 使用验证软件
4. 限制订单数量
5. 完善店铺政策
6. 审核高风险订单
7. 就欺诈防范方案培训员工
8. 定期更新网络安全措施
9. 保存准确的记录

1. 使用Shopify Payments

一个安全的电商支付网关对防范欺诈大有帮助。Shopify Payments符合PSD2规范，并提供3D Secure结账功能，表现尤为出色。这项功能把欺诈性退单的责任从商家转移到发卡机构身上，从而保护商家免受欺诈。只要是美国境内符合条件的Shop Pay交易（适用于目标市场为美国的跨境商家），商家也无需为退单争议处理产生的任何费用负责。

使用Shopify Payments的商家可以启用试卡攻击和代理检测功能，这两项功能都已自动集成在Shopify Payments中，无需另行接入或开启。该工具运用机器学习和CAPTCHA测试，有助于防范结账环节中来自机器人和真人的试卡攻击测试。

此外，Shopify的欺诈分析功能会通过评估IP地址、账单信息、订单特征等诸多因素，帮助商家识别高风险订单。

2. 部署IP欺诈评分工具

IP欺诈评分工具会依据一个人IP地址中的各项因素，对订单可能存在的欺诈风险进行排序。该工具还能检测出不匹配的地址，并分析该订单是否由机器人下单。

Shopify已内置类似的功能。Shopify的欺诈分析工具会标明某笔订单的退单风险是低、中还是高。高风险订单会通过订单通知邮件标记出来，方便你审核高风险订单、防范欺诈。

3. 使用验证软件

验证软件用于确认结账时输入的信息，是否出自本人，且为合法购买。在电商网站上启用该软件后，可通过以下要求识别潜在的欺诈风险：

• 身份验证：客户到底是不是本人，还是有骗子在冒充？通过要求购物者用双重认证或生物识别来确认本人身份的验证软件，可以打击身份欺诈。
• 卡片验证：任何人都能轻松窥探到信用卡或借记卡正面的卡号和有效期，而位于卡片背面的CVV安全码是一层额外的保障，可以证明客户确实持有这张卡。
• 地址验证：骗子盗到了信用卡信息，往往并不知道客户的账单地址。用一款能确认持卡人账单地址与结账时输入的收货地址是否一致的验证工具，就能在他们实施欺诈前将其揪出。

这种欺诈防范手段比你想象的更为普遍。据Cybersource统计，平均每家企业都用着五种欺诈检测工具，其中信用卡验证、身份核验和双重认证的使用率名列前茅。

有了Shopify，你可以设定规则来提示客户验证身份。它会通过欺诈分析自动评估CVV是否正确、账单/收货地址是否一致等信息，让你远离欺诈性订单。

4. 限制订单数量

骗子如果用的是盗来的信用卡信息，往往会下大额订单。他们指望着仅从少数几个商家下手，这样欺诈性交易就不会被察觉。

限制订单数量可以让你的网店免遭这类欺诈。举例来说，如果购物者最多只能订购10件，他们就没那么多机会去做大额交易，进而让那些毫无防备的持卡人蒙受巨大损失。

分析历史订单数据，看看人们通过网站购物时通常会下单多少件。这样一来，既能遏制欺诈，又不会把真正想大额消费的正常客户拦在门外。

5. 完善店铺政策

欺诈往往发生在有人钻零售商政策的空子时，尤其是会员和退货政策。梳理一遍现有的政策，看看是否存在漏洞。一旦发现客户开始占便宜，就及时更新这两项政策。

假设你是一家退货政策宽松的服装零售商。任何人通过你的网店买衣服，都可以在14天内全额退款，前提是衣物未穿过、无损坏。

然而，你开始注意到，有些客户退回已经没有厂家吊牌的商品，虽然他们坚称是从你这里买的，你却无法核实其说法。要防范这类退货欺诈，可以规定只有吊牌完好的商品才能退货。

或者，如果你在处理退货上亏损过多，可以把政策改为只提供换货或店铺积分，而不退现金。这是一项聪明的欺诈防范政策，因为对那些想拿盗来或穿过的商品来骗取全额退款的骗子而言，你的生意就没那么有吸引力了。

6. 审核高风险订单

欺诈性订单往往有些共同特征，很容易识破。这些特征包括：收货地址与登记持卡人的住址不符、多次尝试完成同一笔交易，或是小额订单（可能是骗子在测试一张盗来的卡是否还能用）。

要记住，国际订单的拒绝率通常更高。Cybersource发现，美国订单的平均拒绝率仅为2.7%，而对于美国之外海外地区的订单，这个数字高达5.3%。

人工审核高风险订单可能相当耗时，尤其是每天都要处理大量订单时。这正是Shopify Flow的用武之地。这款工具能把人工流程自动化，帮助商家顺畅地审核、管理和履行订单。

你可以设置欺诈检测规则，自动取消某些订单、为低风险订单收款、在需要团队审核时向他们发出提醒等等。

7. 就欺诈防范方案培训员工

企业主不可能盯着生意的方方面面。随着规模扩大，你很可能会雇人来负责营销、库存管理或订单履行等工作。这些人都应接受充分的培训，学会如何识别欺诈攻击和上报疑似欺诈事件。

在欺诈意识培训计划中，可以涵盖以下内容：

• 欺诈防范的重要性
• 如何保护公司敏感信息
• 常见的欺诈骗局
• 可用于检测欺诈的工具和方法
• 疑似欺诈应向谁上报

8. 定期更新网络安全措施

电商全程在线完成，是一个特别容易被欺诈的行业。网络安全措施可以抵御恶意软件、勒索攻击以及重要账户被非法入侵等威胁。

做一次全面的审计和风险评估，看看你的网络安全措施在哪些地方还有短板。第一步，所有账户都应启用双重认证，并使用绝不在别处重复使用的强密码。员工的设备上也应安装防火墙或杀毒软件。

问题在于，为了攻破常用的电商欺诈防范策略，罪犯的欺诈手段也在不断演变。最佳的做法是主动出击。因此，要定期重复这项审计，并留意可疑活动，以便日后加以拦截。

9. 保存准确的记录

万一你真的成了欺诈的受害者，或者客户发起了欺诈性退单，就需要证据对争议提出异议。据Cybersource统计，约九成的商家会提交有力的证据来解决善意欺诈争议。

Shopify商家可以在需要时轻松收集这些信息，尤其是使用Shopify Payments处理线上支付时。所有与支付和订单相关的数据都集中存放在一处。而对于美国境内符合条件的Shop Pay交易发生的欺诈性退单，Shopify会自动向持卡人的银行提交有关该订单的证据。如果你还有其他想补充的信息，也可以在退单回应中添加证据。

顶级欺诈检测与防范工具

Shopify Protect

退单给零售商带来巨大风险。处理这类欺诈不仅耗时，代价也很高。Shopify Protect（仅美国市场可用）正是为解决这一难题而生。

通过Shop Pay接受线上支付的美国Shopify店铺，可自动使用Shopify Protect。美国境内符合条件的Shop Pay订单可免受欺诈性退单的困扰。如果你遭遇欺诈性退单，Shopify会补偿争议款项和退单费用，替你承担这笔订单的损失。 

Wyllo

Wyllo（NoFraud现已纳入Wyllo品牌）是一款可与你网店集成的Shopify应用。它运用人工智能和机器学习来检测并拦截高风险订单。如果软件拿不准，该案例会被上报给Wyllo的欺诈检测专家团队进行人工审核。

Wyllo还提供财务担保，帮你应对退单欺诈。如果有客户漏网并发起了欺诈性退单，Wyllo会向你偿付。