For mange år siden måtte jeg få tak i et personlig dokument jeg trengte fra et statlig kontor. Jeg hadde tatt med meg all dokumentasjonen som jeg ble fortalt at jeg trengte, men det var et problem – en byråkratisk teknikalitet som gjorde en av dokumentasjonsbitene ugyldig i kontoristens øyne.
Jeg prøvde å argumentere for at hvis vi zoomet ut og så på det store bildet, var det tydelig at jeg var meg og hadde rett til mitt eget dokument. Kontorist ville imidlertid ikke høre om det, og svarte: "Det burde ikke være lett å få tak i dette dokumentet." Jeg var ikke enig og spøkte: "Det burde være lett å få dette dokumentet hvis man har rett til det." Dessverre fikk jeg ikke dokumentet med den bemerkningen, og jeg ble tvunget til å returnere en annen dag.
Grunnen til at jeg deler denne historien med deg er fordi den kan lære oss en viktig leksjon om å balansere svindel og brukeropplevelse. Eksempelet mitt illustrerer hvor off-base den konvensjonelle visdommen er som sier å gjøre noe vanskeligere for en legitim bruker å få, reduserer risikoen. Hvis en bruker er legitim, og hvis vi vet at de er legitime, hvorfor skulle vi noen gang ønske å gjøre brukeropplevelsen deres mer utfordrende?
Alt som gjør det er å introdusere en annen type risiko - risikoen for at brukeren gir opp og går andre steder for å få det de trenger. Jeg hadde ikke muligheten til å gå andre steder når jeg trengte dokumentet mitt fra myndighetene. Brukerne av nettapplikasjonen din har derimot i de fleste tilfeller den muligheten. Det er verdt å tenke på hvordan brukeropplevelsen kan balanseres mot behovet for å oppdage og redusere svindeltap.
Her er fem måter bedrifter kan forbedre sine svindeldeteksjonsmuligheter for å bedre balansere svindeloppdagelse og brukeropplevelse.
1. Enhetsinformasjon
Jeg blir ofte overrasket over hvor mange svindelregler som fokuserer på IP-adresser. Som du vet, IP-adresser er trivielle for en svindlere å endre – i det øyeblikket du blokkerer dem fra én IP-adresse, går de videre til en annen. Det samme gjelder blokkering av hele land eller rekker av IP-adresser - det er trivielt for en svindlere å omgå det. Fokus på IP-adresser skaper upålitelige regler som genererer et stort volum av falske positiver.
Pålitelig enhetsidentifikasjon er derimot helt annerledes. Å kunne identifisere og spore sluttbrukerøkter via deres enhetsidentifikatorer, i stedet for deres IP-adresser, gjør det mulig for svindelteam å finpusse på enheter som samhandler med applikasjonen. Dette gjør det mulig for svindelteam å utføre en rekke kontroller og analyser som utnytter enhetsidentifikasjon, for eksempel å lete etter kjente svindelenheter, se etter enheter som logger på et relativt høyt antall kontoer og andre metoder.
2. Atferdsmessig intelligens
Det kan være ganske vanskelig å skille mellom legitime brukere og svindlere på lag 7 (applikasjonslaget) i OSI-modellen. Flytter opp til lag 8, eller brukerlaget, gjør imidlertid den differensieringen mye mer plausibel.
I de fleste tilfeller oppfører legitime brukere og svindlere forskjellig i økter. Dette er hovedsakelig fordi de har forskjellige mål og nivåer av kjennskap til nettapplikasjonen. Å studere sluttbrukeratferd gir bedrifter et annet verktøy de kan bruke for å skille mer nøyaktig mellom svindel og legitim trafikk.
3. Miljøintelligens
I mange tilfeller eksisterer det miljømessige ledetråder (miljøet er der sluttbrukeren kommer fra) som kan hjelpe et svindelteam med å skille mellom svindel og legitim trafikk. Å ha innsikt i og riktig utnytte disse miljømessige ledetrådene krever en viss investering, selv om det gir store utbytter når det gjelder å oppdage svindel mer nøyaktig.
4. Kjent god brukeridentifikasjon
Etter hvert som organisasjoner blir bedre til å forstå hvordan uredelig trafikk ser ut, høster de også en annen fordel: De blir bedre til å identifisere hvilken god trafikk og hva kjente gode brukere ser ut som. Med andre ord, hvis jeg kan være rimelig sikker på at den aktuelle økten og sluttbrukeren som navigerer i den begge er gode, kan jeg være rimelig sikker på at jeg ikke trenger å samle på massevis av friksjon i form av autentiseringsforespørsler, multifaktor autentiseringsutfordringer (MFA), eller annet.
5. Sesjonsfokus
Noen team fokuserer noe nærsynt på transaksjoner. Det er litt som å prøve å se skjønnheten i havet gjennom et sugerør. Riktignok kan du se en del av havet, men du går glipp av det meste. På samme måte er det å se på hele sluttbrukerøkten, i stedet for på individuelle transaksjoner eller grupper av transaksjoner, en fin måte å skille falsk trafikk fra legitim trafikk mer nøyaktig. Teknikkene nevnt ovenfor, sammen med andre, fungerer alle langt bedre med et bredere, mer strategisk syn på hva som skjer.
Reduser friksjonen
Bedrifter trenger ikke velge mellom effektiv svindeloppdagelse og brukervennlighet. Det er mulig å administrere og redusere risiko uten å introdusere ytterligere friksjon for sluttbrukerne når de reiser gjennom nettapplikasjonene dine. Tiden er inne for å kaste ut den konvensjonelle visdommen som sier noe annet.
