Progettare un risk score di cui il team si fidi davvero

Ogni stack antifrode, prima o poi, produce un numero tra 0 e 100. La differenza tra un buon punteggio e uno mediocre raramente sta nella matematica: sta nel fatto che le persone che devono agire su quel numero si fidino o meno di ciò che rappresenta.

Valutate le evidenze, non le sensazioni

Il punto di partenza è mettere nero su bianco i segnali grezzi e capire quanto pesano davvero nel vostro traffico:

| Signal | Typical weight | Why | | --- | --- | --- | | TOR exit node | High | Anonimato intenzionale, raro tra i clienti ordinari | | Hosting / datacenter | Medium-high | I server non fanno shopping | | Commercial VPN | Low-medium | Molto comune anche tra utenti legittimi | | Residential proxy | High | Progettato proprio per sembrare traffico normale | | Mobile carrier | Neutral | Condiviso, ma usato in larghissima parte da persone reali | | ASN abuse history | Medium | Le reti economiche attirano attacchi economici |

Questi pesi devono nascere dai vostri dati, non da un articolo online — incluso questo. Prendete un mese di chargeback confermati e di ordini certamente legittimi, poi verificate quali flag separano davvero i due gruppi nel vostro caso specifico.

Lasciate visibile il ragionamento

Un punteggio di 78 senza spiegazione è poco più di un lancio di moneta con qualche passaggio in più. Restituite insieme al numero anche i motivi che hanno contribuito allo score, e mostrateli nell’interfaccia di review. Succedono due cose: gli analyst iniziano a intercettare bug nelle regole al posto vostro, e le contestazioni si risolvono con un messaggio invece che con cinque.

Calibrate con tre fasce, non con una sola soglia

• Low — si procede senza interventi visibili.
• Medium — si introduce un po’ di frizione: verifica email, 3-D Secure, ritardo prima del payout.
• High — si mette in coda per una review, oppure si rifiuta dove la policy lo consente.

Una soglia unica obbliga a trasformare un segnale continuo in una decisione binaria, e quasi sempre rende più costosi gli errori. Le fasce permettono di spendere frizione invece di consumare fiducia.

Non lasciate mai decidere solo l’IP

L’IP intelligence risponde alla domanda: “che tipo di rete è questa?” Non può rispondere a: “questa persona è davvero chi dice di essere?” Va combinata con età dell’account, velocity, coerenza del dispositivo, corrispondenza tra dati di fatturazione e spedizione, storico dei pagamenti. Il verdetto sull’IP dovrebbe spostare una decisione, raramente determinarla da solo.

Misurate esplicitamente il costo dei falsi positivi

Bloccare un fraudster salva il valore dell’ordine. Bloccare un cliente reale costa l’ordine e la relazione, e succede molto più spesso di quanto molti team stimino. Tracciate entrambi i lati:

• Frodi confermate intercettate ogni settimana.
• Ticket di supporto generati da azioni di rischio ogni settimana.
• Tasso di reversal su quei ticket — cioè quante volte la review stabilisce che il blocco era sbagliato.

Se il vostro tasso di reversal supera indicativamente uno su cinque, le soglie sono troppo aggressive, qualunque cosa dicano i numeri sulle frodi.

Rivedete tutto con cadenza regolare

I pattern di attacco cambiano. Un peso che funzionava in primavera può diventare rumore entro l’autunno. Inserite in calendario una revisione ricorrente dello score, rieseguite i casi recenti già etichettati contro le regole attuali e correggete il tiro. Un punteggio che nessuno rivede da un anno non è un controllo: è un sistema legacy.

Il test della fiducia

Chiedete a un analyst di spiegare in una frase una decisione high-risk presa ieri a caso. Se ci riesce, lo score sta funzionando. Se alza le spalle e dice “lo ha segnalato il sistema”, avete un numero, non un segnale.