5 sposobów na poprawę wykrywania oszustw i doświadczenia użytkownika

Wiele lat temu musiałem zdobyć dokument osobisty, którego potrzebowałem, z urzędu rządowego. Przywiozłem ze sobą całą dokumentację, o której mi powiedziano, że jest mi potrzebna, ale pojawił się problem — biurokratyczny szczegół techniczny, który w oczach urzędnika sprawił, że jeden z dokumentów stał się nieważny.  

Próbowałem argumentować, że jeśli pomniejszymy obraz i spojrzymy na niego z szerszej perspektywy, stanie się jasne, że jestem sobą i mam prawo do własnego dokumentu. Urzędnik jednak nie chciał o tym słyszeć i odpowiedział: „Zdobycie tego dokumentu nie powinno być łatwe”. Nie zgodziłem się z tym i zażartowałem: „Zdobycie tego dokumentu powinno być łatwe, jeśli ktoś jest do tego uprawniony”. Niestety po tej uwadze nie otrzymałem dokumentu i zmuszony byłem wrócić innego dnia.

Dzielę się z Tobą tą historią, ponieważ może ona dać nam ważną lekcję na temat równoważenia oszustw i doświadczenia użytkownika. Mój przykład ilustruje, jak błędne jest konwencjonalne przekonanie, że utrudnianie dostępu legalnemu użytkownikowi zmniejsza ryzyko. Jeśli użytkownik jest legalny i jeśli wiemy, że jest legalny, to dlaczego mielibyśmy kiedykolwiek utrudniać mu korzystanie z niego?

Wszystko to wprowadza inny rodzaj ryzyka — ryzyko, że użytkownik zrezygnuje i pójdzie gdzie indziej, aby zdobyć to, czego potrzebuje. Nie miałem możliwości pójścia gdzie indziej, kiedy potrzebowałem mojego dokumentu od rządu. Z drugiej strony użytkownicy Twojej aplikacji online w większości przypadków mają tę opcję. Warto zastanowić się, w jaki sposób można zrównoważyć doświadczenie użytkownika z potrzebą wykrywania i ograniczania strat związanych z oszustwami.

Oto pięć sposobów, w jakie przedsiębiorstwa mogą poprawić swoje możliwości wykrywania oszustw, aby lepiej zrównoważyć wykrywanie oszustw i wygodę użytkowników.

1. Inteligencja urządzenia

Często dziwi mnie, jak wiele przepisów dotyczących oszustw koncentruje się na adresach IP. Jak wiesz, Adresy IP są trywialne dla oszusta, aby się zmienił — w chwili, gdy zablokujesz ich z jednego adresu IP, przechodzą na inny. To samo dotyczy blokowania całych krajów lub zakresów adresów IP — ominięcie tego przez oszusta jest trywialne. Skupienie się na adresach IP tworzy niewiarygodne reguły, które generują ogromną liczbę fałszywych alarmów.

Niezawodna identyfikacja urządzenia natomiast jest zupełnie inna. Możliwość identyfikowania i śledzenia sesji użytkowników końcowych na podstawie identyfikatorów ich urządzeń, a nie adresów IP, umożliwia zespołom zajmującym się oszustwami doskonalenie urządzeń wchodzących w interakcję z aplikacją. Dzięki temu zespoły ds. oszustw mogą przeprowadzać różnorodne kontrole i analizy wykorzystujące identyfikację urządzeń, takie jak wyszukiwanie znanych urządzeń oszustów, wyszukiwanie urządzeń logujących się na stosunkowo dużą liczbę kont i inne metody.

2. Inteligencja behawioralna

W warstwie 7 (warstwa aplikacji) modelu OSI odróżnienie legalnych użytkowników od oszustów może być dość trudne. Przeprowadzka do warstwa 8lub warstwa użytkownika sprawia jednak, że to rozróżnienie jest znacznie bardziej prawdopodobne.

W większości przypadków legalni użytkownicy i oszuści zachowują się odmiennie w ramach sesji. Dzieje się tak głównie dlatego, że mają różne cele i poziomy znajomości aplikacji internetowej. Badanie zachowań użytkowników końcowych daje przedsiębiorstwom kolejne narzędzie, dzięki któremu mogą dokładniej odróżnić oszustwo od legalnego ruchu.

3. Inteligencja środowiskowa

W wielu przypadkach istnieją wskazówki środowiskowe (środowisko, z którego pochodzi użytkownik końcowy), które mogą pomóc zespołowi ds. oszustw odróżnić oszustwo od legalnego ruchu. Wgląd w te wskazówki dotyczące ochrony środowiska i odpowiednie ich wykorzystanie wymaga pewnych inwestycji, ale przynosi ogromne korzyści, jeśli chodzi o dokładniejsze wykrywanie oszustw.

4. Znana dobra identyfikacja użytkownika

W miarę jak organizacje lepiej rozumieją, jak wygląda fałszywy ruch, czerpią również kolejną korzyść: stają się lepsze w identyfikowaniu dobrego ruchu i znani dobrzy użytkownicy wygląda jak. Innymi słowy, jeśli mogę mieć wystarczającą pewność, że dana sesja i korzystający z niej użytkownik końcowy są dobre, mogę być w miarę pewny, że nie muszę nakładać na siebie ton tarć w postaci żądań uwierzytelnienia, wieloczynnikowych wyzwania związane z uwierzytelnianiem (MFA) lub w inny sposób.

5. Koncentracja na sesji

Niektóre zespoły skupiają się nieco krótkowzrocznie na transakcjach. To trochę jak próba zobaczenia piękna oceanu przez słomkę. To prawda, że ​​możesz zobaczyć część oceanu, ale większość z niego tęsknisz. Podobnie, spojrzenie na całą sesję użytkownika końcowego, a nie na pojedyncze transakcje lub grupy transakcji, jest świetnym sposobem na dokładniejsze oddzielenie fałszywego ruchu od ruchu legalnego. Techniki wymienione powyżej, wraz z innymi, działają znacznie lepiej z szerszym, bardziej strategicznym spojrzeniem na to, co się dzieje.

Zmniejsz tarcie

Przedsiębiorstwa nie muszą wybierać pomiędzy skutecznym wykrywaniem oszustw a łatwością obsługi. Możliwe jest zarządzanie ryzykiem i jego ograniczanie bez powodowania dodatkowych problemów dla użytkowników końcowych podczas przeglądania aplikacji online. Nadszedł czas, aby odrzucić konwencjonalną mądrość, która mówi inaczej.