# 不正使用防止のベストプラクティス 不審請求の申請と不正な支払いから保護するためのベストプラクティスは以下のとおりです。 お客様のビジネスに最適な効果的な不審請求の申請と不正使用を防止する戦略を立てることは、不正使用の発生防止に役立ちます。お客様の全体的戦略の一環としてこれらのベストプラクティスのいくつかを採用することにより、過度なチャージバックを防止し、顧客の負担や損失を軽減することができます。 ## あらゆる人が使用できるツール どの Stripe ユーザーでも実装できる、不正利用と不審請求の申し立ての発生を減らすためのツールは以下のとおりです。 ### 顧客に明確かつ明白に対応する 顧客と頻繁に明確なコミュニケーションをとることで、不審請求の申し立ての [原因](https://docs.stripe.com/disputes/categories.md)の多くを回避することができます。迅速に問題に対応し、返金や交換注文の処理を行うことで、顧客が決済に対して不審請求を申し立てる機会を大幅に減らすことができます。また、カスタマーサービスの連絡先を目立つように表示し、顧客が常に注文プロセスや配送状況について最新状況を把握できるようにします。 > 利用規約では、返金ポリシーとキャンセルポリシーを明確に記載します。ユーザーに利用規約への同意を求めることで、不審請求の申請が発生した場合にカード発行会社がお客様のポリシーを考慮する可能性を高めることができます。 - [ ] ToS への同意を求める 一般に、利用規約およびポリシーは、ウェブサイト上の分かりやすい場所に提示し、顧客に同意するように要求します。決済時にリンクを表示するだけではなく、決済ページ上、またはポップアップ形式で全文を表示し、注文を送信する前の必要事項として顧客の同意を求めます。 - [ ] ポリシーの全文を表示する カード発行会社は、顧客へのポリシーの提示方法について非常に厳密なことがあります。顧客が同意するチェックボックスにリンクしか含まれていない場合、カード発行会社は、顧客がポリシーを認識していたと判断するには不十分な証拠として、却下することがあります。購入の前に、顧客にポリシーの全文が提示されたという合理的な証拠が必要です。 - [ ] 配送を追跡する 顧客に物品を発送する場合には、できる限りオンライン追跡と配達確認に対応している運送業者やサービスを利用します。この情報は入手次第、すぐに顧客に提供します (不審請求の申請に対する反証資料として追跡情報を提出する場合には、カード発行会社はリンクにアクセスしないため、スクリーンショットを提出する必要があります)。 - [ ] 明確な明細書表記を使用する [明細書表記](https://docs.stripe.com/get-started/account/set-up.md#public-business-information)のわかりやすい名前は、[アカウント設定](https://dashboard.stripe.com/settings/account/?support_details=true)で設定できます。顧客が明細書を見たときに購入内容を簡単に識別できるよう、ウェブサイトのドメインまたはビジネス名を使用することをお勧めします。 明細書表記は 5 ～ 22 文字です。5 文字以上で構成します。特殊文字 `<`, `>`, `'`, `"` は使用できません。 - [ ] ビジネス用の口座を個別に分ける 異なる事業に同じ Stripe アカウントを使用することは避けてください。事業ごとに Stripe アカウントを 1 つ使用する必要があります。これにより、事業ごとに異なる明細書表記と連絡先情報を使用できます。複数の事業の支払いを処理する必要がある場合には、それぞれに[追加アカウント](https://docs.stripe.com/get-started/account/multiple-accounts.md)を作成してください。 ### 疑わしい支払いに対して事前に返金することを検討する [不正利用であることが確かな](https://docs.stripe.com/disputes/prevention/identifying-fraud.md)支払いに対しては即時に返金すべきです ([3D セキュア](https://docs.stripe.com/payments/3d-secure/authentication-flow.md#disputed-payments)などの何らかの形で*ライアビリティシフト* (With some 3D Secure transactions, the liability for fraudulent chargebacks (stolen or counterfeit cards) shifts from you to the card issuer)の対象となっている場合を除く)。不審請求の申請を受けることがわかっている場合は、不正な支払いに対して全額返金することで、[不審請求の申請手数料](https://docs.stripe.com/disputes/how-disputes-work.md#dispute-fees)、[不審請求の申請率](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage)の増加、商品の潜在的損失を防ぐことができます。 > 全額返金された支払いに対しては、顧客が不審請求の申請を行うことはできませんが、一部返金済みの支払いに対しては不審請求の申請を行うことができます。カードネットワークのルールでは、一部返金済みの支払いに対して全額返金を求める不審請求の申請を行うことができます。 ただし、支払いに不正使用の疑いがあっても、それが確信に至らない場合があります。こうした曖昧な分類の支払いに対して、積極的に返金することが合理的な場合と、そうでない場合があります。 以下のいずれかが該当する場合、積極的な返金戦略を実行することができます。 - **まだフルフィルメントが行われていない注文**。商品の損失は、返金によって防げる可能性があります。不正使用の疑いが発覚した時点で、商品またはサービスの提供を取り消せる場合は、より積極的に返金できます。一方、商品がすでに配送されていたり、サービスがすでに利用されている場合など、取り返しのつかない状態であれば、返金「せず」、不正使用であるかどうか様子を見る方が合理的です。 - **過度の不審請求の申請**。*カードネットワーク* (A network that processes the transactions of a particular card brand. It might be an intermediary in front of an issuing bank as with Visa or Mastercard, or a standalone entity as with American Express)の定義により、最近の不審請求の申請アクティビティが[過度](https://docs.stripe.com/disputes/measuring.md#excessive-dispute-activity)であると判断される場合です。貴社の Stripe アカウントの状態にリスクが及ぶ、またはチャージバックモニタリングプログラムの対象となるリスクが生じます。 - **チャージバックモニタリングプログラム**。すでに[チャージバックモニタリングプログラム](https://docs.stripe.com/disputes/monitoring-programs.md)に登録されていて、プログラムを終了する必要がある場合です。 - **新規企業または中小企業**。企業で発生する支払い額が相当に低い (たとえば、毎月 100 件の支払い) 場合です。この場合、不審請求の申請アクティビティがほとんど発生していなくても、数件の申請が、[不審請求の申請率](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage)に非常に大きく影響することがあります。 上記のいずれも該当しない場合は、不正使用が疑われる支払いを事前に返金する頻度についてより慎重になることをお勧めします。 > #### 不正使用のための支払いの返金 > > 支払いを返金するには、[ダッシュボード](https://dashboard.stripe.com)で支払いを選択して、**カード不正使用のため返金**をクリックします。これにより、支払いが返金されるとともに Stripe に不正使用が報告され、不正使用検出機能の向上に役立てることができます。 ### 注文配送の遅延 物品を発送する場合は、配送に 24 ～ 48 時間の遅延を設けることを検討します。この時間はカード保有者にアカウントでの不正使用を明らかにして報告する機会を与えます。このようなシナリオでも不審請求の申請を受ける可能性はありますが、少なくとも商品の損失を防げます。ただし、カード保有者の全員が毎日明細書をチェックしているわけではなく、またカード発行会社が取引について前もってカード保有者に連絡を取らない場合もあります。 不正利用者にとってはサービスのコスト増加は問題にならないため、翌日配達やお急ぎ便を希望する*顧客* (Customer objects represent customers of your business. They let you reuse payment methods and give you the ability to track multiple payments)はリスクが高いと見なします。このようなタイプの決済を特定する 1 つの戦術として、お急ぎ便または翌日配達の料金を、他のどの配送オプションの何倍もする極端に高い金額に設定する方法があります。 正規の顧客がそのような高額な費用を支払う可能性は低いですが、不正利用者は追加費用に関係なく、商品をできるだけ早く発送することを望みます。そのため、異常に高額な配送オプションを選択した顧客を手動で審査し、注文が本物に見えるかどうかを確認できます。これを行うには、[オーソリと確定を別々に行うプロセス](https://docs.stripe.com/disputes/prevention/best-practices.md#use-auth-and-capture-when-creating-payments)を [Radar レビュー](https://docs.stripe.com/disputes/prevention/best-practices.md#manually-review-payments)と組み合わせて使用することをお勧めします。 ### 確認済みの住所への配送 郵便番号と番地のチェックが適用された[確認済みの請求先住所](https://docs.stripe.com/disputes/prevention/verification.md#avs-check)に配送することが、最も安全性の高いオプションです。確認されていない住所を使用すると、後で支払いに対する不審請求が申請された場合に、注文が正当なカード保有者に配送されたことを証明できません。 これは、異なる住所への配送を阻むものではありませんが、関連するリスクを低減するためにできる対策はすべて行う必要があります。たとえば、すでに正当であることがわかっているリピート顧客、または完全に確認可能な請求先住所を指定した顧客の場合にのみ、異なる住所に注文を配送することをお勧めします。また、以下のいずれかの項目は疑わしい決済を表している可能性があります。 - 通常よりはるかに規模の大きな注文、または最も高価な商品のみの注文 - 注文後の顧客による配送先住所の変更 - 顧客が急送便での配送をリクエストした - 再販価値の高い商品の注文 - 配送先が請求先住所またはカード発行国と異なる (請求先住所がスペインだが、配送先住所がフランスの場合など) 注文と配送先住所情報の審査は、注文に受け入れ難いリスクがあるかどうかを判断するのに役立ちます。 ### 不審請求の申請率のベンチマーク アカウントの[不審請求の申請率](https://docs.stripe.com/disputes/measuring.md#dispute-rate-usage)は、不審請求の申請および不正防止対策の効果を確認する際に使用される重要な基準です。Stripe ダッシュボードで定期的にこれを確認して、不審請求の申請の防止対策の効果を測ることができます。 ## Radar のユーザー向けツール [Radar](https://stripe.com/radar) は、不正利用に対処するために Stripe に組み込まれた一連の機能とツールであり、追加の導入作業を行う必要はありません。 ### 手動での支払いの確認 [ご利用のプラン](https://docs.stripe.com/radar/how-radar-works.md#compare-plans)で機能がサポートされている場合は、特定の決済を[レビュー](https://docs.stripe.com/radar/transaction-reviews.md)対象にできます。ただし、別途オーソリと確定を分離している場合を除き、これらの決済は引き続き処理され、カードに請求されます。これらの決済は[レビューキュー](https://dashboard.stripe.com/radar)に追加され、より詳しく確認できます。不正利用が疑われる場合は返金できます。 Stripe が[レビューキュー](https://dashboard.stripe.com/radar)に追加した決済は、できるだけ早くレビューしてください。不正利用の[リスクが高い](https://docs.stripe.com/radar/transaction-risk-prevention.md#elevated-risk)決済は、レビュー対象として自動的にマークされます。また、追加のルールを作成して、レビューキューに配置する決済の種類をカスタマイズすることもできます。 支払いを審査する際の考慮事項を以下に示します。 - 請求先住所と配送先住所が一致しているか。 - 請求先住所は AVS による検証を受けているか。また、カードの発行国と一致しているか。 - 顧客のメールアドレスとカード保有者の名前が一致しているか。 - 顧客から急送が依頼された注文であるか - 同じ IP アドレスから異なるクレジットカードで複数の注文が実行されていないか。 - この顧客は支払い拒否された注文を多数試行していないか。 レビュー時に決済について不明な点がある場合は、必ず電話またはメールで顧客に連絡してください。決済の請求先住所と配送先住所が一致しない場合は、[Google Maps と Street View](https://www.google.com/maps/streetview) を使用して配送先住所を調べ、詳細を確認します。不正利用者が使用する一般的な戦術は、貨物や郵便転送サービス、あるいは商品を実際の実際の目的地に転送する保管施設に注文を発送させることです。 ### Radar ルールを使用して、支払いを自動的にブロックするか、審査の対象にする Radar は決済フローに直接組み込まれ、カスタムルールエンジンと AI アルゴリズムを組み合わせています。決済に Stripe を使用するすべてのビジネスの支払いのパターンを検出し、各決済のリスクを評価します。 [ルール](https://docs.stripe.com/radar/rules.md)を使用すると、特定の検出基準に基づいて支払いを自動的に評価し、適切な措置を取ることができます。また、複数の基準を使用するルールを作成することで、複数の条件に該当する支払いを許可またはブロックすることができます。事業ごとにリスクは異なります。 ### 国およびカードタイプの制限 特定の国々からの不正利用が増加している場合、`:ip_country:` および `:card_country:` というルール属性を使用して、決済を受け付けたくない国からの決済をブロックするルールを設定できます。たとえば、`Block if :ip_country: = ca and :card_country: = 'ca'` というルールを作成して、カナダから行われた決済とカナダで発行されたカードをブロックできます。同様に、ビジネスを運営している国のみに対応する場合、その他の国からのあらゆる決済をブロックするルールを作成できます。たとえば、`Block if :ip_country: != au and :card_country: != 'au'` というルールは、オーストラリア以外から行われた決済をブロックします。 ブランドごと (Mastercard など)、または資金調達タイプ (プリペイドなど) ごとに、受け付けるカードのタイプに制限を設定できます。これは特に、特定のカードタイプで過剰な不正使用が発生している場合に有益です。たとえば、Visa 発行のデビットカードからの支払いをブロックするルール例は、`Block if :card_brand: = visa and :card_funding: = 'debit'` のようになります。 ## 開発者向けのツール 以下は、実装に開発作業が必要となるツールです。[Stripe パートナー](https://stripe.com/partners)を利用して決済の実装を提供する場合、ご自身で直接実装することはできなくなります。 ### Stripe で取引を処理する [Visa Compelling Evidence 3.0](https://docs.stripe.com/disputes/best-practices.md#visa-ce-30) のルールは取引履歴に依拠しており、特定の期間内に同じカード保有者と過去に行った取引が不正利用でないことを証明して、[フレンドリー詐欺](https://docs.stripe.com/disputes/prevention/fraud-types.md#friendly-fraud)に異議を唱えます。Visa の不正利用に対する不審請求の申し立てを受けた場合、Stripe はプラットフォーム上の履歴から対象取引を特定し、必要とされる反証資料を不審請求の申し立ての回答に事前入力します。この反証資料を利用して、不審請求の申し立てを自社に有利な形に覆す確率を大幅に高めることができます。 Stripe では、外部で処理された取引の適格性を判断したり、反証資料を提出することはできないため、以下をお勧めします。 - 可能な限り、Stripe の処理を使用する - Stripe との取引に顧客の IP アドレス、メールアドレス、配送先住所、商品の説明を含める ### できるだけ多くの支払い情報の収集 決済時に要求した情報が最小限だったために、不審請求の申請に対する主張が認められない結果に終わる場合があります。利用できる情報が少なければ、顧客が正当であるかどうかを Stripe やカード発行会社が判断することが困難 (時には不可能) になります。たとえば、カード決済の処理で請求先郵便番号は常に必要なわけではありませんが、これを含めることで、カード発行会社はその支払いを検証できるようになります。検証に失敗すれば、不正使用の兆候となりうるため、その支払いの拒否を検討します。 [Checkout](https://docs.stripe.com/payments/checkout.md) または[高度な不正利用検知機能](https://docs.stripe.com/disputes/prevention/advanced-fraud-detection.md)を使用すると、実装で以下のような決済関連情報を把握できます。 - *顧客* (Customer objects represent customers of your business. They let you reuse payment methods and give you the ability to track multiple payments)の名前 - 顧客のメールアドレス - セキュリティコード番号 - 請求先住所と郵便番号 - 配送先住所 (請求先住所と異なる場合) - 追跡情報 ### 3D セキュアなどのカード保有者の認証方法を実装する *3D セキュア* (3D Secure (3DS) provides an additional layer of authentication for credit card transactions that protects businesses from liability for fraudulent card payments)は、顧客と*レジットカード発行会社* (The entity that issued a payment card to a cardholder. This could be a bank, such as with the Visa or Mastercard network, or it could be the card network itself, such as with American Express)の間での確認ステップを決済フローに追加するものです。3D セキュアによって認証された決済は、[ライアビリティシフト](https://docs.stripe.com/payments/3d-secure/authentication-flow.md#disputed-payments)と呼ばれるルールを通じて、ほとんどの不正利用による不審請求の申し立てから保護される可能性があります。ただし、[クレジットカードブランドモニタリングプログラム](https://docs.stripe.com/disputes/monitoring-programs.md)にカウントされる[不正利用の早期警告](https://docs.stripe.com/disputes/how-disputes-work.md#early-fraud-warnings)は受けることになります。 詳細については、[カード認証と3D セキュア](https://docs.stripe.com/payments/3d-secure.md)をご覧ください。 ### プログラムによる顧客の本人確認 場合によっては、顧客の本人確認を行うと有益です。[Stripe Identity](https://docs.stripe.com/identity.md) を使用して政府発行の身分証明書を確認し、証明書の保有者の顔写真と照合することを検討してください。あるいは、さらなる本人確認手段として、顧客に [Facebook](https://developers.facebook.com/docs/facebook-login/overview/) や [LinkedIn](https://developer.linkedin.com/docs/oauth2) のアカウントをリンクするように求めることもできます。これは、不正利用者が実行できない追加ステップになり得ます。正当な顧客の中にもこの追加ステップを希望しない人がいる場合もあるため、結果として購入完了率が低下する可能性があります。 ### 支払い作成時のオーソリとキャプチャの使用 クレジットカードの支払い試行は 2 つの段階で処理されます。最初に支払いの_オーソリ_が行われ、支払い金額に対する *カード発行会社* (The entity that issued a payment card to a cardholder. This could be a bank, such as with the Visa or Mastercard network, or it could be the card network itself, such as with American Express) のオーソリがリクエストされます。支払いが承認されると、デフォルトでは、その後すぐに_キャプチャー_が行われ、カードからその金額が差し引かれます。 [キャプチャー後](https://docs.stripe.com/payments/place-a-hold-on-a-payment-method.md)決済フロー (「オーソリとキャプチャー」とも呼ばれる) は、これら 2 つのステップを別々に行う処理です。オーソリを先に実行して、クレジットカードの金額を保留し、顧客の明細書に保留中の取引として表示されますが、実際には顧客の口座から資金を移動することはありません。決済は、オーソリ後 7 日間までいつでもキャプチャーできます。決済をキャプチャーすると、決済が完了し、顧客のクレジットカードから売上が差し引かれます。決済がキャプチャー制限時間内にキャプチャーされない場合、オーソリは自動的にリリースされます。 配送遅延と同様に、この方法では潜在的な不正利用を特定するのに十分な時間を確保できるため、取引を慎重にレビューして (必要に応じて返金する) ことができます。カード保有者は、未確定のオーソリに対して不審請求を申し立てることはできず、完全に確定された支払いに対してのみ申し立てを行うことができます。[利用プラン](https://docs.stripe.com/radar/how-radar-works.md#compare-plans)がこの機能をサポートしている場合は、[レビュープロセス](https://docs.stripe.com/disputes/prevention/best-practices.md#manually-review-payments)でこれらの決済を手動で確定できます。 ### 各支払いにカスタムの明細書表記を設定 明細書表記とは、顧客のカード明細書で、決済に関連付けられた会社の情報が表示されるテキストです。明細書表記を使用する方法の 1 つは、短いランダムなコードを挿入し、顧客に確認を求めることです。取引に不正利用の可能性が疑われる場合には、顧客に連絡し、オンライン明細書に表示されたコードを尋ねることができます。コードが提供されない場合は、決済を返金することができます。 ダッシュボードで[デフォルトの明細書表記](https://dashboard.stripe.com/settings/public)を編集するか、または API で支払いを作成するたびに[動的な明細書表記](https://docs.stripe.com/get-started/account/statement-descriptors.md#dynamic)を設定できます。 この方法は、カード保有者のオンラインカード発行会社やクレジットアカウントにアクセスできる不正利用者には役立ちませんが、そのようなケースはまれです。明細書表記をこのように使用することで、その顧客が正規の顧客である可能性が高いという確証を得ることができます。他の防止策と同様に、この方法によって顧客の手間が増えると、一部の正規の支払いが返金される可能性があります。 ### 不正利用率上昇アラートの確認 [Stripe の稼働状況のお知らせ](https://docs.stripe.com/health-alerts.md)を受け取ったら、不審請求の申し立てに共通のパターンがないか確認してください。支払いに同様のパターンが見られる場合は、不審請求の申し立てを未然に防ぐために返金を検討できます。 Stripe は、以下の攻撃タイプについて警告します。 | 攻撃タイプ | 説明 | | --- | --- | | `spike` | Stripe は、1 日単位で不正利用率の上昇を検出します。 | | `sustained_attack` | Stripe は、長期間または数日間にわたって不正利用率の上昇を検出します。 | > 不正取引に関するアラートの利用は、お客様ご自身の責任で行ってください。Stripe は、アラートの正確性または不正確性、およびアラートに基づいてお客様が行う、または行わない行為に伴う損失、損害、または費用について責任を負いません。