Leggere un risultato di IP lookup: guida pratica per i team di supporto

Gli agenti del supporto sono le persone che, nella pratica, leggono risultati di IP lookup tutto il giorno, spesso mentre dall’altra parte c’è un cliente già irritato che aspetta una risposta. Questa è la guida sul campo che metteremmo loro in mano.

Partite dal tipo di connessione, non dallo score

Lo score è una sintesi. Il tipo di connessione è il dato di partenza. Conviene procedere in quest’ordine:

• Residential — una linea ISP consumer. Quasi sempre indica una persona reale, salvo che l’indirizzo sia noto come uscita di un proxy residenziale.
• Mobile — una rete di operatore mobile dietro NAT su larga scala. Migliaia di utenti possono condividere lo stesso indirizzo, quindi ragionare solo sull’IP qui è poco affidabile.
• Business — un range aziendale. È condiviso da un ufficio: aspettatevi molti utenti dietro un solo indirizzo.
• Hosting / datacenter — un server, non una connessione domestica. Qualcosa sta facendo da tramite, scraping o automazione.

Se un cliente contesta un blocco e il tipo è residential, è probabile che il blocco sia un falso positivo dovuto alle vostre regole. Se invece è hosting, chiedete attraverso cosa si sta collegando.

Poi guardate organizzazione e ASN

L’ASN indica chi gestisce la rete. "AS13335 Cloudflare" non si comporta affatto come un piccolo rivenditore hosting con una lunga storia di abusi, anche se entrambi ricadono in range datacenter. Spesso il nome dell’organizzazione basta per chiudere un ticket in pochi secondi: un gateway VPN aziendale, un’università, un provider privacy molto conosciuto.

Considerate la geolocalizzazione come una stima

L’accuratezza a livello di Paese è alta. Quella a livello di città no. La geolocalizzazione IP deriva da dati di registrazione e misurazioni di rete, e un cliente che si trova in una città può legittimamente risultare in un’altra a cento chilometri di distanza, soprattutto su rete mobile. Non dite mai a un cliente: “il nostro sistema dice che sei in X, quindi stai mentendo”. Dite piuttosto che la sua rete viene instradata attraverso X.

Capite bene cosa significano i flag

• Proxy — il traffico viene inoltrato tramite un intermediario. Può essere un gateway aziendale, oppure uno strumento usato per attività abusive.
• VPN — un servizio commerciale per la privacy. È estremamente comune anche tra utenti normali e perfettamente legittimi.
• TOR — l’indirizzo compare in una lista pubblica di exit node. Indica un’elevata intenzione di anonimato, ma viene usato anche da giornalisti e ricercatori.

Un flag VPN, da solo, non significa frode. Milioni di persone tengono una VPN sempre attiva perché è inclusa nel browser o nell’antivirus.

Una scala di escalation praticabile

• Residential, score basso, un solo controllo fallito → quasi certamente un falso positivo. Ripristinate l’accesso.
• VPN o business, score medio → chiedete al cliente di riprovare senza VPN, oppure di verificarsi via email.
• Hosting o TOR, score alto, più altri segnali (nuovo account, Paese di fatturazione non coerente, tentativi rapidi e ripetuti) → mantenete la restrizione ed escalate alla coda antifrode.
• Qualsiasi blocco che colpisca un account pagante di lunga data → prima applicate un override, poi indagate. Il costo di una decisione sbagliata non è simmetrico.

Annotate il motivo

Quando risolvete un ticket, registrate il verdetto che avete visto e la decisione presa. Nel giro di qualche settimana quelle note diventano il miglior dataset possibile per tarare le soglie: casi reali, etichettati da persone, provenienti dal vostro traffico. Vale molto più di qualsiasi cut-off generico consigliato.