你的电商网站正遭到攻击！六大欺诈订单手法详解及基于《分期付款销售法》的应对措施

修订后的《分期付款销售法》所要求的“多方面、多层次的反欺诈措施”是什么

大家是否知道，根据2018年6月1日施行的《改正割赋贩卖法》，电商网站被强制要求引入“多方面、多层次的反欺诈措施”？你们是否已经采取了相应的对策？

修订后的《分期付款销售法》要求以EC（非面对面交易）为主的信用卡商户根据风险及损害发生情况引入强化安全措施，该法案于2018年6月1日施行。其中提到的晦涩的官样文章“多方面、多层次的反欺诈措施”究竟指什么？

信用卡交易安全对策协议会于2018年3月发布了作为安全对策实务指南的“执行计划 -2018-”。根据该计划，“多方面、多层次的反欺诈措施”指的是“本人认证”、“券面认证”、“属性·行为分析”和“配送地址信息”。

对于经营高风险商品（家电、门票、数字内容、电子货币）的商户，法律明确强化了“多方面、多层次的反欺诈措施”，并强制要求其至少实施4项基本措施（“身份认证”、“券面认证”、“属性/行为分析”、“配送地址信息”）中的1项以上；对于退单频发的商户，则要求引入2项以上。

许多电商运营商可能并不知晓“多方面、多层次的反欺诈措施已被强制化”，这是因为尽管已强制化，但对违规企业并无处罚规定。

不过，有一点需要注意。如果电商网站持续发生超过一定金额的欺诈损失，可能会被卡品牌判定为“高风险商户”，从而面临由支付代理公司强制要求引入3D Secure等措施的情况，这可能导致信用卡支付手续费率上升及转化率恶化。“执行计划 -2018-”的概要中包含如下补充说明。

即使引入了上述4项措施中的2项以上，若欺诈损害仍未减少，仍被认定为“欺诈显在化商户”的商户，将从收单银行等机构接收欺诈利用发生状况等信息共享，并被要求持续探讨并引入防止欺诈利用的追加措施。 ～摘自《执行计划 -2018-》

电商运营商需要在遭受欺诈订单之前，依据《改正割赋贩卖法》及“执行计划 -2018-”，在电商网站上导入“多方面、多层次的反欺诈措施”，并持续进行反欺诈对策。为此，必须了解欺诈订单犯罪者的手法及其对策方法。

了解《分期付款销售法》修订背景及欺诈订单增加的手法等

2017年与EC相关的欺诈利用造成的损害金额为236亿日元

根据日本信用卡协会于2018年3月31日发布的调查结果，2017年因信用卡欺诈使用造成的损失金额约为236亿日元。其中，以电商网站为主的非面对面交易中的信用卡欺诈使用大幅激增。

然而，这些数值仅反映了部分表面化的损害。也存在正规卡持有人未察觉欺诈利用，或EC网站方面漏看欺诈订单等情况。

很多人可能会想：“只有部分知名网站会成为欺诈使用的目标吧？”但这绝非与己无关。实施欺诈使用的犯罪团伙等正通过各种手段瞄准易于进行欺诈使用的电商网站，企图进行欺诈订单。

以下数值是由提供欺诈检测服务等业务的括号公司（Kakko），通过其实时欺诈订单检测服务“O-PLUX”审核，从而在事前防止了欺诈利用的金额。2017年这一金额高达106亿日元。

此类欺诈利用不断增加的背景是什么？括号公司解决方案事业部销售部门销售&营销集团组长青木泰贵先生如是说。

一个重大问题是信用卡信息的泄露。2017年，有20多家公司的90多万张卡片信息泄露。恶意第三方会对这些卡片信息进行筛选，以确定其是否可被非法使用，并在暗网等处进行销售。

由于非法获取商品的转售渠道增加，企图在EC网站上进行欺诈利用的恶意第三方也在增多

除了大型犯罪组织外，由留学生等组成的年轻群体和小规模犯罪集团也在增加。因此，以往主流的高价家电之外，化妆品和美妆产品等相对低单价的商品也逐渐成为欺诈使用的目标。

犯罪集团的手法大致可分为6类

犯罪集团会使用何种手法？据成功提前防止了106亿日元欺诈订单的括号公司青木先生介绍，代表性手法可分为六类。

① 利用空置房间进行收货

“在空置房间增多的城市地区，滥用行为频发”（青木先生）。例如，在集合住宅中，如果包裹的收件地址没有具体的室号，拨打联系电话时，即使是寄给日本人的包裹，却由外国人接听。被运往的房间是空置的，而负责接收非法订单的人就潜伏在其中……这类案例屡见不鲜。

此外，在公寓看房房源、租赁办公室、出租工作室等场所也出现了欺诈订单增多的趋势。

② 滥用海外转运服务

随着跨境电子商务的扩大，滥用海外转运服务的案例也在增加。这是指利用非法获取的卡片信息，将货物送达地址指定为转运服务的指定地址。由于使用海外转运服务的人越来越多，虽然来自海外的订单配送地址是仓库地址，但往往难以察觉这是欺诈订单。

③ 利用‘代收’‘代转’兼职

据悉，也有越来越多利用部分消费者个人信息或身份证照片，在网上商店办理手机合约并转售的现象。

犯罪集团委托某些消费者从事所谓的‘代收’‘代转’兼职，要求他们以本人名义申请手机合约，并将收到的货物送往指定地点。当装有SIM卡或手机终端的货物送达该消费者处后，将其寄往预先指定的地址……一旦确认货物已送达指定地址，报酬便会支付到消费者的银行账户等地方。

④ 篡改购买信息，规避黑名单

也有很多案例是利用地址信息的表述差异。如果不进行规范化处理，犯罪集团订购的地址信息与负面列表不一致的现象就会发生。有很多犯罪集团的第三方会利用地址信息的非规范化及表述差异，反复进行欺诈订单。

⑤ 利用繁忙期

这是一种事先掌握电商业务、畅销商品、季节性波动等情况，并利用深夜、周末节假日、繁忙期等时机的手法。在繁忙期，公司内部检查无法完全到位，有时甚至能通过目视审查。虽然24小时全年无休的目视审查是最佳方案，但从成本等方面来看，实现这一点确实困难。

⑥ 寻找易受攻击的网站

“对于实施了反欺诈措施的电商网站，犯罪集团不会靠近。如果实施了措施，他们就会转移到其他安全性较弱的网站”（青木先生）。犯罪集团会浏览各种电商网站，寻找安全性薄弱的地方下手。

电商网站如何提前防止欺诈订单？

所需的‘多方面、多层次’的具体对策

在电商购物成为常态的今天，犯罪团伙正以“有利可图”的电商平台为目标反复进行欺诈订单，此时已不能再用“与我们无关”来搪塞，可以说已经到了无法置身事外的境地。面对法律的要求以及欺诈订单日益增加的局面，我们更应关注反欺诈措施。因此，本次将介绍由Kakko提供的欺诈检测服务“O-PLUX”。

“O-PLUX”是一项欺诈检测服务，涵盖了《修订版分期付款销售法》及《执行计划 -2018-》中记载的“多方面、多层次对策”中的“属性/行为分析”和“配送地址信息”，从大型电商平台到月销售额达数亿日元的电商平台均有使用。

关于3D Secure和安全码，通过列表型攻击（利用从网站等处获取的用户ID和密码列表尝试非法登录的攻击手法）被突破的案例并不少见。此外，人们普遍担忧这会导致转化率恶化，即购物车放弃率增加。

另一方面，“属性/行为分析”是通过对过往交易信息进行风险评估来判定欺诈交易，而“配送地址信息”则是将过往欺诈订单的配送地址等数据化，作为判断是否涉嫌欺诈的依据。使用“属性/行为分析”和“配送地址信息”进行的欺诈订单应对措施，可以说能够轻松且便捷地满足《修订版分期付款销售法》所要求的“多方面、多层次对策”。

“O-PLUX”利用“属性/行为分析”和“配送地址信息”进行分析时，结合以下三个视角自动审查订单内容：①信息是否存在矛盾（与过往订单信息不一致）；②信息是否存在可疑之处（与可疑信息一致）；③是否与过往欺诈行为相符（与“O-PLUX”中积累的负面信息一致）。

除了“电话号码连通性”、“临时居住地址”、“转运服务地址”、“空置房信息”和“设备信息”外，还利用了与约1.2万个网站共享的负面列表等数据。通过活用各种数据，可以实现与人工目视审查相关的业务自动化。

然而，像“O-PLUX”这样的欺诈检测服务在电商行业中尚未普及。“包括大型电商平台在内，许多地方仍主要依靠人工目视审查”（青木先生），在这种状况下，人们对欺诈订单应对措施的重视程度更低。这是为什么呢？其中一个原因是引入该服务的优势未能清晰传达。

引入欺诈检测服务的优势还有其它方面，那就是能够快速应对不断进化的作案手法。

攻击者的手法日新月异。当出现新的作案手法时，“O-PLUX”的检测审核团队会将相关信息同步给已引入的企业。不同企业之间可以共享新信息，这是一个巨大的优势。仅靠自身很难掌握新的手法或趋势，甚至可能误判非欺诈订单为欺诈订单。能与众多企业共享信息的优势十分显著。

解决方案事业部运营部门组长中生绿先生如此说道。据称，来自已引入企业的反馈中有“欺诈订单存在波动期，没人知道何时会遭受欺诈攻击。与其提心吊胆，不如建立通过系统提前防范的体制，从而能专注于业务工作”的声音。

【案例】“DOSPARA”的人工审查非法订单的工作量几乎为零

运营电脑网购平台“DOSPARA”的Third Wave公司，早在数年前就开始大力加强针对电子商务网站非法订单的对策。

在使用卡品牌提供的本人认证机制（3D Secure）的同时，引入了Kakko的非法检测服务“O-PLUX”。该公司率先采纳了“信用卡交易安全对策协议会”所要求的“多方面、多层次的安全措施”，从而有效遏制了非法订单。

Third Wave的相关负责人表示：“在着手应对非法订单时，首先引入的是‘3D Secure’。虽然担心引入后会导致页面跳转增加，进而引发购物车放弃率上升的问题，但鉴于本公司经营高价值商品，为防止万一发生欺诈行为，我们认为有必要将其作为预防措施。”

然而，仅引入3D Secure并未完全阻止欺诈订单。“由于试图绕过3D Secure的欺诈行为持续存在，若不予改善，支付代理公司通知我们可能会调整信用卡结算费率，这促使我们的意识发生了转变”（Third Wave）。

首先实施对订单信息的目视检查。尽管在识别易受攻击商品等非法检测方面积累了经验，但由于订单数量庞大，目视检查的工作量也急剧增加。

即使只粗略查看可疑订单，短短1到2小时就会过去，而且目视难以发现的欺诈案例也不在少数。公司内部经过检查后认为，有必要提高对策的精度并实现自动化。（Third Wave相关人士）

此外，还有无法花费过多时间进行审核的原因。“DOSPARA”通常会在消费者下单当天完成发货。因此，不能辜负那些追求所谓快速配送的用户期望。

DOSPARA搜索能够实现以下目标的安全服务。最终判断最优选择是Kakko提供的非法检测服务“O-PLUX”。

• 希望实施“多方面、多层次”的安全措施
• 希望实现订单审核的自动化
• 希望加快订单审核速度
• 希望提高审核精度

基于包含历史欺诈记录的订单信息进行审核后，其精度很高，甚至能发现绕过公司内部目视审核的欺诈行为；并且通过API连接，每笔订单都能自动进行审核，因此感觉可以大幅减轻包括发货流程在内的运营负担。。在成本方面，与目前人工实施对策所投入的费用相比，判断总成本可以得到控制。。（Third Wave相关人士）回顾引入背景时，DOSPARA的相关人员对从“O-PLUX”获取审核结果响应时间平均约为0.5秒这一事实表示惊讶。“在电子商务中，速度至关重要。顾客的购买行为会受到

回顾引入背景时，DOSPARA的相关人员对从“O-PLUX”获取审核结果响应时间平均约为0.5秒这一事实表示惊讶。“在电子商务中，速度至关重要。顾客的购买行为似乎未受影响，因此感到安心。”因此，快速配送得以维持原有水平。

人工目视检查几乎不再需要，仅对判定为NG的订单信息进行目视检查。据称，人工操作时间已缩减至每天约5分钟。