Frodi con carte rubate nel tuo negozio online: segnali e cosa controllare prima di spedire

Ordine di un cliente nuovo, importo alto, spedizione urgente a un indirizzo diverso da quello di fatturazione. Pagato con carta, senza problemi. Lo prepari, parte, e dopo qualche settimana arriva uno storno (chargeback): il titolare della carta non riconosce l'acquisto. Hai perso il prodotto, il denaro, le spese di spedizione e, per giunta, paghi la commissione dello storno.

La frode con carte rubate non si vede al momento del pagamento, perché il pagamento va a buon fine. Si vede nei dettagli dell'ordine, ed è per questo che il controllo va fatto prima di spedire, l'ultimo momento in cui puoi ancora non perdere nulla.

Come funziona questa frode

• Dati rubati. I numeri di carta provengono da fughe di dati, da phishing o da skimmer installati nel checkout di altri negozi, e vengono venduti a lotti.
• Test delle carte. Prima di usarle, il truffatore verifica quali funzionano con pagamenti piccoli e ripetuti su negozi poco protetti. Se vedi decine di tentativi falliti di importo basso in poco tempo, ti stanno usando come banco di prova.
• Acquisto di prodotti facili da rivendere. Elettronica, profumi, carte regalo, ricambi costosi, abbigliamento di marca. Ciò che si trasforma rapidamente in denaro.
• Spedizione a un indirizzo di transito. Punti di ritiro, locker o persone che rispediscono il pacco.

Da cosa ti protegge 3D Secure e da cosa no

Dalla direttiva europea sui servizi di pagamento (PSD2), i pagamenti con carta in Europa richiedono l'autenticazione forte del titolare, che nei negozi online avviene con 3D Secure: la banca del cliente gli chiede di confermare nella sua app o con un codice. Quando un pagamento è stato autenticato in questo modo, la responsabilità per uno storno per frode passa in genere alla banca emittente della carta, non a te.

Ci sono però sfumature importanti:

• Le esenzioni. Il gateway può chiedere che un pagamento non passi dall'autenticazione (importi bassi, analisi del rischio). È più comodo per il cliente, ma se quel pagamento si rivela fraudolento, la responsabilità di solito torna a te.
• Copre solo la frode. Uno storno per «prodotto non ricevuto» o «non conforme alla descrizione» non si vince con 3D Secure, ma con le prove di consegna e di ciò che hai venduto.
• Non copre il titolare che mente. Se è lo stesso titolare a comprare e poi dice di non essere stato lui, 3D Secure è la tua prova migliore, ma dovrai presentarla.

I segnali che tradiscono un ordine fraudolento

Nessun segnale preso da solo dimostra nulla: un cliente legittimo può fare un regalo a qualcuno in un'altra città. Ciò che conta è l'accumulo.

La routine prima di spedire

1. Fissa una soglia. Oltre un certo importo, o con due o più segnali della tabella, l'ordine non parte senza che qualcuno lo guardi.
2. Controlla il pagamento nel pannello del gateway: che esista, che l'importo coincida e se è stato autenticato con 3D Secure.
3. Cerca il cliente nei tuoi ordini precedenti per email, telefono e indirizzo.
4. Chiama il numero di telefono dell'ordine. Una breve telefonata per confermare la consegna scioglie molti dubbi: il cliente legittimo risponde e ringrazia.
5. Se hai ancora dubbi, rimborsa invece di spedire. Un rimborso prima della spedizione ti costa poco; uno storno dopo la spedizione ti costa il prodotto, il denaro e la commissione.
6. Non cambiare l'indirizzo di un ordine sospetto dopo il pagamento. Se il cliente insiste, annulla e fallo riacquistare.

Quando ti usano per testare le carte

Un'ondata di piccoli pagamenti falliti non ti costa prodotti, ma ti costa commissioni, può portare il tuo gateway a riesaminare il tuo account e sporca le tue statistiche. Le misure che funzionano sono limitare i tentativi di pagamento per cliente e per connessione, attivare le regole antifrode offerte dal tuo gateway e filtrare il traffico automatizzato prima che arrivi al checkout.

E la frode che nasce dentro il tuo negozio

C'è un'altra frode che non riguarda il cliente: che qualcuno abbia modificato il tuo modulo di pagamento per incassare sul proprio conto, o abbia inserito uno skimmer nel tuo checkout per rubare le carte dei tuoi clienti. Entrambe richiedono di scrivere sul tuo server, e la via d'ingresso più comune sono i moduli non aggiornati e le password di accesso rubate. Tenere aggiornati PrestaShop, PHP e i moduli non è una formalità: è la differenza tra essere vittima della frode o il suo strumento.

Checklist

• Soglia di controllo manuale per importo e per numero di segnali.
• 3D Secure attivo, ed esenzioni riviste per gli importi alti.
• Verifica nel pannello del gateway prima di spedire gli ordini segnalati.
• Telefonata di conferma in caso di dubbio.
• Rimborso preventivo anziché spedizione dubbia.
• Limite ai tentativi di pagamento e regole antifrode del gateway attivate.

Come risolverlo in PrestaShop

Nessuno di questi due moduli assegna un punteggio di rischio al cliente: quello lo fanno le regole del tuo gateway e la tua routine di controllo. Quello che fanno è coprire la frode che entra dal tuo stesso negozio. RKR Order Guard verifica il numero di transazione di ogni ordine in base al gateway, avvisa nella scheda dell'ordine —dove si trova chi lo deve spedire— quando un incasso non sembra legittimo e sorveglia l'impronta dei file dei tuoi moduli di pagamento; inoltre evita che una notifica doppia ti lasci due ordini e due addebiti. RKR Security Alert ti avvisa su Telegram degli accessi al back office da IP nuovi, delle modifiche ai gateway di pagamento e ai dipendenti, e scansiona i file alla ricerca di skimmer e backdoor.