Stripe Radar je vynikající v tom, co dělá: hodnotí transakci ve chvíli, kdy dochází k pohybu peněz. Ale právě v okamžiku, kdy k pohybu peněz nedochází, vznikl náš problém.
Nabízíme 7denní free trial. Pro jeho spuštění uživatel uloží kartu, ale nikdy není naúčtován žádný poplatek — v zákulisí jde o Stripe SetupIntent, nikoli platbu. Žádný poplatek znamená žádnou událost v čase platby, což znamená, že nejúčinnější pravidla Radaru nemají v nejdůležitějším okamžiku co vyhodnocovat: když je vytvářen podvodný účet a začíná čerpat trial kredity.
Toto je příběh o tom, jak jsme se z hašení podvodů v jednotlivých chatech dostali k automatizované, minutové vrstvě ochrany proti podvodům — postavené na našem vlastním produktu, Zero.
Radar je skvělý. "Skvělý" není "dokonalý."
Stripe Radar je skutečně dobrý v tom, co dělá. Jeho modely, trénované na více než $1 bilionu ročního objemu plateb, rozpoznají kartu, kterou už viděly, v 92 % případů, a Stripe uvádí, že Radar snižuje podvody v průměru o 32 % u firem, které jej používají.
Přečtěte si to číslo znovu: snižuje, ne eliminuje. Průměrné snížení o 32% je velké — ale znamená to, že značná část podvodného tlaku stále přichází k vám, a Stripe je v tom osvěžujícím způsobem upřímný. Jejich vlastními slovy: "snížení počtu falešně pozitivních často zvyšuje pravděpodobnost, že skutečné podvody projdou bez povšimnutí." Únik není chyba modelu; je to záměrná cena za to, že neblokujete skutečné zákazníky. Každý tým zabývající se podvody si vědomě vybírá, kolik toho nechá projít.
U produktu založeného na trialu je tento únik větší, než naznačuje hlavní číslo — protože nejúčinnější část Radaru se vůbec nespustí.
Proč brána může vždy jen snižovat
Existuje hlubší důvod, proč engine hodnotící v čase platby může podvody snižovat, ale nikdy je neukončí, a netýká se to modelů Stripe — jde o časování a informace. Ve chvíli, kdy je karta přidána, zákazník ještě nic neudělal. Žádná historie přihlášení, žádné chování v produktu, žádný vzorec používání — jen karta a několik síťových signálů. Radar dělá nejlepší možné rozhodnutí na základě nejtenčího možného důkazu, právě v okamžiku, kdy má nejméně informací.
To je skutečný strop. Bránu můžete ladit, ale nemůžete jí dát data, která ještě neexistují. Informace, které skutečně odlišují zneuživatele od zákazníka, vznikají většinou až poté, co brána musela rozhodnout.
Fáze 1: Hašení požáru v chatovacím okně
Naše první reakce byla zcela manuální. Když přišla vlna zneužití, někdo otevřel konverzaci s naším agentem a řešil incident v reálném čase: stáhl poslední registrace, podíval se na karty, našel vzorec, ručně zablokoval účty.
Fungovalo to, ale nebylo to škálovatelné. Každý incident začínal od nuly. Znalosti — jak tento kruh vypadá, které signály jsou spolehlivé — byly v hlavě jednoho člověka a v jednom chatu, a zmizely ve chvíli, kdy se okno zavřelo.
Také jsme se draze poučili na dobré straně trychtýře: když jsme chtěli zpět získat skutečné uživatele, kteří opustili nákup, neuvážený e-mail na podvodnou adresu napáchá škodu — potvrdí, že adresa je aktivní. Jakákoli automatizace by musela rozlišit mezi skutečným zájemcem a nastrčeným účtem.
Fáze 2: Zpevnění vstupních dveří pomocí Radaru
Dalším krokem bylo přesunout vše, co šlo, do Radaru — blokovací seznamy a pravidla rychlosti při přidání karty, nastavená podle aktuálního tlaku. Je to správný první krok a zastavil ty nejprimitivnější útoky.
Ale rychle se objevily dva limity. První je ten, který Stripe sám pojmenovává: engine v čase platby je regulační knoflík, ne zeď — otočíte ho nahoru a blokujete skutečné zákazníky, otočíte dolů a více podvodů projde. Druhý je strukturální a specifický pro trialy: že 32% se získává v čase platby a SetupIntent trial nemá žádnou platbu k ohodnocení. Pokud výslovně nepovolíte Radar na uložených platebních metodách, engine se vůbec nespustí — a i když ano, na SetupIntent platí pouze pravidla Block, Allow a 3DS. Akce "Review", která umožňuje lidskou kontrolu, se nikdy nespustí.
Takže nejúčinnější vrstva ve stacku v základu chybí právě v okamžiku, kdy ji nejvíce potřebujeme. Radar je brána u vstupních dveří. My potřebovali hlídku za nimi.
Fáze 3: Druhá vrstva, postavená na Zero
Po registraci se informační obrázek obrací. Účet začíná zanechávat stopu — a ta nejbohatší část této stopy je v systému, který platební procesor nikdy nevidí: náš poskytovatel identity, Clerk.
Tak jsme Zero dali přístup k němu. Clerk ví věci, které Stripe neví: jak byl účet vytvořen, způsob registrace a e-mail, relace a zařízení za ním a přesné načasování vůči ostatním registracím toho dne. Stripe zná kartu. Ani jeden systém sám o sobě neřekne celý příběh — ale agent může číst oba a propojovat je mezi sebou. Zneužití, které je u brány neviditelné, je vedle sebe zřejmé: zcela nový účet, jehož identita pro přihlášení neodpovídá fakturační identitě, vytvořený pár okamžiků po skupině podobných účtů. Toto propojení napříč systémy je přesně to, co brána v čase platby neumí — a co agent sedící nad oběma systémy zvládne.
Na tomto bohatším základě důkazů spouštíme každých pár minut sadu naplánovaných úloh Zero nad aktuálními daty o registracích a platbách. Řídí je tři principy:
1. Hlídejte, nejen bráníte. Místo vyhodnocení jednoho okamžiku agent prochází všechny nedávné registrace v krátkých intervalech, propojuje data o účtech a platební metadata, aby odhalil účty, které prošly vstupní bránou.
2. Stupňujte reakci podle jistoty. Ne každý signál si zaslouží stejnou akci. Vzorce s vysokou jistotou jsou řešeny automaticky — účet je okamžitě pozastaven a jeho trial zrušen, protože akce je vratná a čekání by stálo peníze. Signály s nižší jistotou se nikdy neřeší automaticky; jsou shromážděny do reportu pro lidskou kontrolu. Rozhodně tam, kde je to bezpečné, opatrně tam, kde není.
3. Udržujte lidskou auditní stopu. Každá automatizovaná akce zaznamená přesný signál, který ji spustil, takže ji lze během vteřin zkontrolovat — a vrátit zpět. Automatizace, kterou nelze auditovat, není důvěryhodná.
Stejnou pečlivost jsme uplatnili i na přívětivější straně trychtýře. Samostatná úloha najde skutečné uživatele, kteří opustili nákup, a připraví návrh e-mailu pro zpětné získání, který musí schválit člověk — za přísného filtru proti podvodům, abychom nikdy nepotvrdili špatnou adresu. Stejný engine, opačný cíl.
Co to udělalo s ekonomikou
Jakmile byla hlídka spuštěna, čísla se okamžitě změnila. Podívejte se na registrace v 90. percentilu — těžké účty, které způsobily největší škody. Výpočetní výkon, který jeden z nich spotřeboval v prvních hodinách, klesl zhruba z $4 na asi $0.25 — pokles o 94%. Průměrná ztráta na účet za stejné období klesla zhruba o 85%.
Tvar změny je výmluvný. Většina registrací nás nikdy nic nestála; ztráty byly vždy soustředěny v dlouhém, těžkém ocasu účtů, které existovaly jen proto, aby vyčerpaly trial kredity. Hlídka nezužovala trychtýř — usekla ten ocas. Ne méně registrací. Čistší registrace.
Proč agent, a ne skript
Mohli jsme napsat cron úlohu. Neudělali jsme to z jednoho důvodu: hrozba se mění rychleji než vývojový cyklus. Když útočník změní taktiku, aktualizujeme instrukce úlohy v běžném jazyce a nová logika je aktivní při dalším spuštění — bez nasazení, bez migrace schématu, bez ticketu. "Pravidla" jsou prompt a prompt lze změnit stejně rychle, jako útočník mění taktiku.
To je skutečné poučení. Radar je správný nástroj pro riziko v čase platby a spoléháme na něj. Ale produkt založený na trialu má strukturální slepé místo, které žádný nástroj v čase platby nepokryje — a řešením není větší engine pravidel. Je to rychlá, auditovatelná, nepřetržitá druhá vrstva, kterou můžete přeprogramovat rychlostí hrozby.
Doporučení pro týmy s trialy
- Zmapujte si okamžiky bez platby. Kdekoli uživatel získá hodnotu před tím, než je platba ohodnocena, je mezera, kterou nástroj v čase platby nevidí.
- Vrstvěte, nenahrazujte. Nechte Radar u vstupních dveří. Přidejte za něj nepřetržitou hlídku po registraci.
- Propojujte napříč systémy. Váš platební procesor a poskytovatel identity mají každý polovinu obrazu. Podvod je vidět v překryvu.
- Stupňujte akce podle jistoty a logujte každou. Automatizujte jen tam, kde je akce vratná a signál silný; ostatní předejte člověku.
- Optimalizujte rychlost adaptace. V boji s podvody vítězí tým, který nejrychleji mění pravidla.
Zajímá vás, co by mohl vždy aktivní agent automatizovat ve vašem stacku? Prozkoumejte Zero.
Poznámky: Údaje o Radaru jsou oficiální čísla Stripe (stripe.com/radar; "A primer on machine learning for fraud detection"). Údaje o ztrátách odrážejí náklady na výpočet na novou registraci v prvních hodinách po registraci, měřeno v porovnatelných obdobích před a po spuštění, s vyloučením interních účtů; vzorek po spuštění je stále časný a bude se časem zpřesňovat.
