Outils anti-fraude avancés

Les outils avancés de lutte contre la fraude de Stripe Issuing vous aident à identifier et à prévenir les transactions frauduleuses grâce aux indicateurs et aux outils de l’API. Ce guide vous aide à comprendre comment utiliser ces indicateurs et fonctionnalités pour réduire le nombre de transactions frauduleuses tout en limitant l’impact sur les transactions légitimes.

Démarrer avec les outils avancés de lutte contre la fraude

Les outils avancés de lutte contre la fraude fournissent des ressources que vous pouvez intégrer dans votre processus de prise de décision pour les autorisations Issuing et pour empêcher les utilisations non autorisées. En savoir plus sur les autorisations en temps réel.

L’utilisation d’outils avancés de lutte contre la fraude vous permet de réaliser les opération suivantes :

• Recevez des indicateurs évaluant plusieurs vecteurs de fraude sur les autorisations, afin de prendre des décisions plus éclairées pour leur approbation ou leur refus.
• Recevez des notifications en cas de compromission de cartes émises, afin de pouvoir annuler et remplacer de manière proactive les cartes à haut risque.
• Déclenchez des étapes de détection de la fraude par SMS pour toutes les autorisations, afin de réduire les activités frauduleuses tout en atténuant l’impact sur les transactions légitimes.

Utilisez des indicateurs pour votre logique d’autorisation

Dans un premier temps, nous vous recommandons de procéder à des tests rétroactifs de votre activité d’autorisation et des transactions frauduleuses passées par rapport aux indicateurs de l’API Stripe afin de déterminer les seuils d’approbation et de refus optimaux pour votre portefeuille.

Lorsque vous définissez des seuils, choisissez l’une des trois finalités suivante, selon les besoins de votre entreprise :

• Optimiser le taux d’autorisation : cette option est idéale si vous préférez approuver un plus grand nombre d’autorisations, même si cela se traduit par une augmentation de la fraude sur les transactions.
• Réduire la fraude : il s’agit de la meilleure option si vous essayez de réduire la fraude au minimum, même si cela signifie que les transactions légitimes sont plus susceptibles d’être refusées.
• Équilibre entre le taux d’autorisation et la réduction de la fraude : c’est le meilleur compromis entre les deux options précédentes.

Dans la plupart des cas, la prévention de la fraude et l’optimisation du taux d’autorisation sont inversement proportionnelles, mais vous pouvez identifier des seuils qui combinent les deux en même temps, en fonction de la composition de votre portefeuille. Si vous êtes un nouvel utilisateur sans beaucoup de données existantes sur lesquelles vous appuyer pour les tests rétroactifs, commencez avec nos seuils recommandés. Nous vous recommandons de les affiner au fil du temps en fonction de votre expérience en matière de fraude, afin d’ajouter des indicateurs supplémentaires ou de réajuster les seuils en fonction des performances.

Vous pouvez également tester le comportement de l’API en simulant des autorisations avec des indicateurs de fraude spécifiques dans des environnements de test via le Dashboard Issuing ou l’API.

Pour comparer votre activité passée avec les indicateurs de l’API Stripe, commencez par identifier les transactions pour lesquelles un litige pour fraude a été déclaré, défini comme ayant fraudulent comme evidence.reason. Ensuite, comparez cet ensemble de transactions à l’ensemble des transactions signalées par chaque indicateur. Le degré de chevauchement entre les deux indique dans quelle mesure un indicateur est susceptible de prédire de futurs litiges pour fraude.

Veillez à analyser un échantillon représentatif de transactions récentes, mais tenez compte du fait que les litiges peuvent prendre plusieurs semaines avant d’être signalés. Nous recommandons d’examiner uniquement les transactions effectuées au cours des six derniers mois, mais pas au cours des 60 derniers jours.

Par exemple, sélectionnez une période de 90 jours se terminant il y a 60 jours. Au cours de cette période, comparez toutes les autorisations avec high comme risk_level à l’ensemble des transactions qui ont donné lieu à un litige pour fraude. Si cet indicateur a permis de repérer 90 % des transactions qui ont donné lieu à un litige, mais seulement un petit nombre de transactions non contestées, il s’agit probablement d’un indicateur fiable pour vous. En revanche, si cet indicateur ne signale que 5 % des transactions réellement contestées, il n’est probablement pas très fiable.

Lorsque vous définissez votre logique d’autorisation, mettez en œuvre des règles qui empêchent avec précision les litiges pour fraude, mais qui ont un impact limité sur les autorisations légitimes. Visez une précision d’environ 10 %, ce qui signifie qu’au moins 1 autorisation sur 10 refusée par votre logique est en réalité frauduleuse.

Identifier et remplacer les cartes bancaires compromises

Les outils avancés de lutte contre la fraude vous informent par le biais de l’API Cards lorsque Stripe soupçonne qu’une carte émise a été compromise, ce qui rend plus probable son utilisation non autorisée à l’avenir. Dans un tel cas, nous vous recommandons d’annuler et de réémettre automatiquement les cartes. En savoir plus sur le remplacement de cartes.

Envoyer des étapes de détection de la fraude par SMS en cas d’événements à haut risque

Même avec des outils de lutte contre la fraude avancés et des indicateurs de l’API, il n’est pas toujours évident de décider s’il convient d’approuver ou de refuser une autorisation. Par exemple :

• Le refus de l’autorisation d’un titulaire de carte peut l’empêcher de régler un achat important.
• Il arrive régulièrement que des titulaires de cartes effectuent des dépenses légitimes qui peuvent sembler inhabituelles (par exemple, lors d’un voyage d’affaires à l’étranger).
• L’autorisation semble légitime, mais l’utilisateur est nouveau sur votre plateforme et nécessite un examen plus approfondi.

Les étapes de détection de la fraude vous permettent de procéder à des vérifications supplémentaires sur les autorisations tout en atténuant l’impact sur les dépenses par carte bancaire. Lorsqu’elles sont déclenchées, les étapes de détection de la fraude refusent l’autorisation et envoient un SMS au numéro de téléphone du titulaire de la carte pour lui demander de confirmer l’autorisation.

• À moins qu’il n’ait également accès au numéro de téléphone enregistré, le fraudeur ne sera pas en mesure de réaliser cette étape et se verra dans l’incapacité de poursuivre la fraude.
• En cas d’envoi d’étapes de détection de la fraude par SMS, le titulaire légitime de la carte peut répondre à l’invite afin d’effectuer une nouvelle tentative d’autorisation et d’obtenir gain de cause lors de cette deuxième tentative. Cela réduit le risque que le titulaire de la carte ne puisse pas mener à bien son achat.

En savoir plus sur les étapes de détection de la fraude.

Fonctionnalités des outils avancés de lutte contre la fraude

Étapes de détection de la fraude

Les étapes de détection de la fraude vous permettent de demander une vérification supplémentaire par SMS dans des situations où vous ne souhaitez pas refuser purement et simplement une autorisation potentiellement risquée.

Dans le cadre de la protection contre la fraude, il peut arriver que des faux positifs soient refusés. Pour permettre aux titulaires de cartes de passer outre d’éventuels refus de faux positifs et limiter la gêne, vous pouvez déclencher une vérification par SMS.

La vérification par SMS fonctionne comme une option de remplacement en cas de refus de paiement. Pour les titulaires de cartes, la procédure est la suivante :

1. Tentative d’autorisation, mais qui se solde par un refus pour cause de fraude.
2. Réponse à une étape de détection de la fraude envoyée par SMS au numéro de téléphone du titulaire de la carte enregistré sur Stripe.
3. Deuxième tentative d’autorisation et obtention de l’approbation.

Si vous activez les étapes de détection de la fraude, Stripe déclenche automatiquement une vérification par SMS pour les autorisations que nous considérons comme présentant un risque élevé.

Si le titulaire de la carte parvient à effectuer la vérification dans les 60 minutes, l’entreprise est inscrite sur la liste d’autorisation de cette carte pendant 7 jours. Les autorisations ponctuelles effectuées pendant cette période ne feront pas l’objet d’un refus pour cause de fraude.

En savoir plus sur les le flux de confirmation antifraude.

Indicateurs d’autorisation

Lors de l’autorisation, nous fournissons un ensemble complet de signaux que vous pouvez utiliser pour prendre des décisions éclairées d’approbation ou de refus via des réponses Webhook en temps réel.

Évaluation du risque de fraude

Demandez l’accès si notre système d’évaluation du risque de fraude vous intéresse.

Risque de litige du marchand

Recevez des évaluations détaillées des risques que présente le marchand acquéreur, ou vendeur, concerné par une autorisation.

Prendre des décisions avisées en fonction du niveau de risque

Si vous disposez de données sur le niveau de risque et la probabilité de litige d’un marchand acquéreur, vous pouvez prendre des décisions plus éclairées quant à l’approbation des autorisations. Stripe effectue cette évaluation en considérant toute l’activité concernant les transactions d’acquisition d’une entreprise sur Stripe Issuing, y compris des données telles que son historique de taux de litiges.

Le risque de litige du marchand fournit le taux de litige et le risque pour un marchand acquéreur donné à travers toute l’activité de transaction Issuing de Stripe. Plus la valeur est élevée, plus les autorisations passées du marchand ont donné lieu à un litige. Cette valeur peut être utile pour décider d’approuver ou non le premier achat effectué par l’une de vos cartes auprès d’un marchand acquéreur donné.

Déterminer le niveau de risque

Pour déterminer le niveau de risque, examinez le hash de risque de litige du marchand. L’exemple suivant montre comment utiliser chaque valeur.

Exemples de réponses

Une autorisation à risque normal, avec seulement 5 % des autorisations passées de ce marchand ayant donné lieu à un litige :

{
  "id": "iauth_1CmMk2IyNTgGDVfzFKlCm0gU",
  "object": "issuing.authorization",
  // ...
  "risk_assessment": {
    "merchant_dispute_risk": {
      "risk_level": "normal",
      "dispute_rate": 5
    }
  }
}

Une autorisation à haut risque, avec 57 % des autorisations passées de ce marchand ayant donné lieu à un litige :

{
  "id": "iauth_1CmMk2IyNTgGDVfzFKlCm0gU",
  "object": "issuing.authorization",
  // ...
  "risk_assessment": {
    "merchant_dispute_risk": {
      "risk_level": "high",
      "dispute_rate": 57
    }
  }
}

En savoir plus sur le risque de litige du marchand.

Risque de test de cartes bancaires

Le test des cartes bancaires est une forme courante de fraude dans laquelle des contrevenants testent des numéros de cartes volées ou passent en revue les numéros de compte principal (PAN) jusqu’à en trouver un valide. Ils utilisent ce numéro PAN valide auprès d’une entreprise dont les contrôles de vérification sont faibles. Pour contrer cela, Stripe évalue la probabilité que vous soyez touché par une attaque par test de cartes, intervient en votre nom et vous informe via l’API de la gravité de l’incident. Nous déterminons également si des cartes ont pu être compromises lors de l’attaque.

Prendre des décisions avisées sur les risques des tests des cartes bancaires

Stripe intervient automatiquement dans les scénarios de test de cartes bancaires les plus évidents. Nous proposons une approche équilibrée dans les situations à risque normal afin d’éviter trop de rigidité. Ces cas nécessitent un examen minutieux de divers facteurs, y compris l’autorisation et les détails du titulaire de la carte. Par conséquent, nous recommandons l’évaluation minutieuse de tous les facteurs pertinents avant de décider de bloquer ou non une autorisation.

Nous évaluons le risque de test de cartes bancaires en évaluant, entre autres, la fréquence et l’intensité des refus de cartes associés à un numéro d’identification bancaire (BIN) ou à une entreprise spécifique. Ces refus de paiement constituent l’indicateur significatif le plus probant, car ils révèlent souvent une augmentation notable de la vitesse et de la fréquence par rapport aux refus de cartes ordinaires.

Déterminer le risque de test de cartes bancaires

Pour déterminer le niveau de risque de test de cartes bancaires, examinez le hash risk assessment card testing risk. L’exemple suivant montre comment utiliser chaque valeur. Nous fournissons également les champs suivants :

• Taux de refus de paiement pour numéro de compte non valide : pourcentage de refus de paiement imputables à un numéro de carte inexistant au cours de l’heure écoulée, auprès de la même entreprise. Des taux plus élevés correspondent à une plus grande probabilité d’activité de test des cartes bancaires, ce qui signifie que des fraudeurs sont peut-être en train de tenter différentes combinaisons de numéros de cartes pour en deviner une correcte.
• Taux de refus de paiement pour identifiants non valides : pourcentage de refus dus à des données de vérification erronées (comme le CVV ou la date d’expiration) au cours de l’heure écoulée, auprès de la même entreprise. Des taux plus élevés correspondent à une plus grande probabilité que des fraudeurs tentent d’utiliser des informations d’identification valides auprès d’entreprises soumises à des exigences de vérification. Cette hausse signifie que les fraudeurs disposent probablement d’un numéro PAN valide, mais qu’ils ne peuvent pas fournir de données de vérification valides.

Exemples de réponses

Une autorisation à risque normal :

{
  "id": "iauth_1CmMk2IyNTgGDVfzFKlCm0gU",
  "object": "issuing.authorization",
  // ...
  "risk_assessment": {
    "card_testing_risk": {
      "risk_level": "normal",
      "invalid_account_number_decline_rate_past_hour": 2,
      "invalid_credentials_decline_rate_past_hour": 1
    }
  }
}

Une autorisation à haut risque :

{
  "id": "iauth_1CmMk2IyNTgGDVfzFKlCm0gU",
  "object": "issuing.authorization",
  // ...
  "risk_assessment": {
    "card_testing_risk": {
      "risk_level": "highest",
      "invalid_account_number_decline_rate_past_hour": 79,
      "invalid_credentials_decline_rate_past_hour": 83
    }
  }
}

En savoir plus sur les risques de tests de cartes bancaires.

Probabilité de contestation pour fraude

L’évaluation de la contestabilité pour fraude de Stripe évalue si une autorisation peut être contestée en cas de fraude.

Prendre des décisions avisées basées sur la contestabilité des autorisations

Le fait de pouvoir déterminer si vous pouvez ou non contester une autorisation pour fraude au moment de l’autorisation vous permet de prendre des décisions avisées. Prenons l’exemple d’une autorisation considérée comme à « risque normal » :

• Si vous savez que vous pouvez contester l’autorisation en cas de fraude, vous pouvez l’approuver.
• Si vous savez que vous ne pouvez pas contester l’autorisation (en cas de fraude), vous pouvez choisir de la refuser ou de déclencher une étape de vérification supplémentaire pour fraude.

Stripe évalue la probabilité de contestation en comparant les caractéristiques de l’autorisation (par exemple, si 3DS a été utilisé ou si la carte était présente avec une puce). Nous effectuons cette évaluation par rapport aux règles du réseau de cartes en matière de litiges afin de déterminer de manière proactive ce qui se passerait en cas de litige.

Déterminer la probabilité qu’un litige soit déposé

Pour déterminer la probabilité de contestation d’une autorisation en cas de fraude, examinez le champ fraud disputability likelihood. Ce champ contient diverses valeurs enum qui vous indiquent si vous pouvez contester l’autorisation. Chaque autorisation possède une étiquette very_likely, neutral, very_unlikely ou unknown :

• Lorsque des autorisations reçoivent un score very_likely, il est très probable que les litiges déposés sur la base de ces autorisations soient acceptés par le réseau de cartes. Le réseau rejette rarement les contestations d’autorisation very_likely. Lorsqu’il le fait, c’est généralement en raison de circonstances exceptionnelles. Il peut s’agir d’une carte qui introduit un litige pour la deuxième fois ou qui dépasse le nombre de litiges autorisé pour une carte dans un délai spécifique défini par Visa ou MasterCard.
• Lorsque les autorisations reçoivent un score very_unlikely, les litiges sont presque toujours automatiquement rejetés par le réseau de cartes.
• Lorsque les autorisations reçoivent un score neutral, Stripe considère que l’issue du litige dépend de divers facteurs. Traditionnellement, ces litiges sont plus susceptibles d’être acceptés par le réseau de cartes. Cependant, ce comportement peut changer à tout moment.

La plupart des activités d’émission sont classées comme very_likely. Cependant, la fréquence de chacune de ces valeurs dépend des spécificités de votre activité d’émission. Par exemple, les autorisations en ligne sont plus susceptibles de porter la valeur very_likely que les autorisations physiques. En savoir plus sur la probabilité de contestation pour fraude.

Alerte en cas de carte bancaire compromise

Stripe vous informe via l’API lorsque nous pensons qu’une carte a été compromise. Cela vous permet d’annuler et de réémettre une carte, de soumettre des litiges ou d’informer un titulaire de carte.

Prévenir les abus ultérieurs et communiquer avec les titulaires de cartes

L’annulation d’une carte suspectée d’être compromise peut vous aider à prévenir l’utilisation frauduleuse des numéros PAN qui ont été compromis. Vous pouvez utiliser ces indicateurs pour lancer des communications et un flux de réémission pour les titulaires de carte. Si Stripe constate qu’une carte a été compromise dans le cadre d’un événement à haut risque, nous signalons la carte comme compromise.

Atténuer les risques et prendre des mesures

Lorsque Stripe détermine qu’un numéro de carte ou un numéro PAN a vraisemblablement été compromis dans l’un ou plusieurs des événements à risque suivants, Stripe marque la carte comme compromise.

• Une attaque par test de cartes ayant abouti à une autorisation
• Le titulaire de la carte bancaire a confirmé par SMS qu’il n’a pas tenté d’effectuer une autorisation antérieure sur la carte
• La carte a fait l’objet d’un litige pour fraude dans le passé
• Le numéro PAN a été trouvé après une recherche sur le dark Web

Lorsqu’un événement à risque a lieu, nous mettons à jour le hash d’alerte de fraude pour vous en informer. La valeur started_at correspond à la date à laquelle l’événement à risque a eu lieu. Si un autre événement à risque se produit, les deux valeurs sont mises à jour pour refléter l’événement le plus récent.

Si l’une de ces valeurs est renseignée, nous recommandons de contacter le titulaire de la carte, d’annuler la carte et d’en émettre une nouvelle. Vous atténuez ainsi le risque d’une utilisation non autorisée ultérieure sur ce qu’un fraudeur considère probablement comme un numéro PAN valide dont il peut se servir pour effectuer des achats.

Utilisation d’outils avancés de lutte contre la fraude via le Dashboard Stripe

Si vous souhaitez utiliser les indicateurs d’autorisation des outils avancés de lutte contre la fraude via le Dashboard Stripe, Stripe propose un moteur de règles. Pour demander l’accès, veuillez contacter Stripe à l’aide du formulaire de contact du service Support de Stripe.