Как спроектировать риск-скоринг, которому команда действительно поверит

В любой антифрод-системе рано или поздно появляется число от 0 до 100. Но хороший скоринг отличается от плохого не столько формулой, сколько тем, верят ли ему люди, которые по нему принимают решения.

Оценивайте факты, а не ощущения

Начните с простого: выпишите сырые сигналы и честно определите, сколько каждый из них значит именно в вашем трафике:

| Сигнал | Типичный вес | Почему | | --- | --- | --- | | TOR exit node | Высокий | Намеренная анонимность, редко встречается у обычных покупателей | | Hosting / datacenter | Средне-высокий | Серверы обычно не ходят за покупками | | Commercial VPN | Низко-средний | Очень часто используется добросовестными пользователями | | Residential proxy | Высокий | Создан специально, чтобы выглядеть как легитимный пользователь | | Mobile carrier | Нейтральный | IP-адреса общие, но за ними в подавляющем большинстве реальные люди | | ASN abuse history | Средний | Дешёвые сети часто притягивают дешёвые атаки |

Эти веса должны браться из ваших реальных исходов, а не из статьи в блоге — включая эту. Возьмите месяц подтверждённых чарджбэков и месяц подтверждённых хороших заказов, а затем посмотрите, какие флаги действительно разделяют эти две группы в ваших данных.

Показывайте логику вместе со скором

Скор 78 без объяснения — это почти подбрасывание монетки, только с лишними шагами. Возвращайте вместе с числом причины, которые повлияли на оценку, и показывайте их в интерфейсе ручной проверки. Это даёт сразу два эффекта: аналитики начинают находить ошибки в правилах раньше вас, а спорные ситуации закрываются одним сообщением вместо пяти.

Используйте три зоны риска, а не один порог

• Низкий — пропустить без лишних действий.
• Средний — добавить трение: подтверждение email, 3-D Secure, задержку перед выплатой.
• Высокий — отправить на ручную проверку или отклонить, если это допускает политика.

Один жёсткий порог заставляет принимать бинарное решение по непрерывному сигналу — и почти гарантирует, что ошибки будут дорогими. Зоны риска позволяют тратить не доверие пользователя, а дозированное трение.

Не позволяйте IP решать всё в одиночку

IP intelligence отвечает на вопрос: «что это за сеть?» Но он не отвечает на вопрос: «этот человек действительно тот, за кого себя выдаёт?» Сочетайте IP-сигналы с возрастом аккаунта, частотой действий, стабильностью устройства, совпадением платёжного и доставочного адресов, а также историей платежей. Вердикт по IP должен сдвигать решение, но редко принимать его полностью.

Считайте цену ложных срабатываний отдельно

Заблокировать мошенника — значит сохранить стоимость заказа. Заблокировать настоящего клиента — значит потерять заказ и отношения с человеком. И такое случается гораздо чаще, чем обычно кажется командам. Отслеживайте обе стороны:

• Сколько подтверждённого фрода поймано за неделю.
• Сколько обращений в поддержку вызвали риск-действия за неделю.
• Доля отменённых решений по этим обращениям — как часто ручная проверка признаёт блокировку ошибочной.

Если доля отмен выше примерно одного случая из пяти, ваши пороги слишком агрессивны, даже если показатели по фроду выглядят красиво.

Пересматривайте скоринг по расписанию

Сценарии атак меняются. Вес, который хорошо работал весной, к осени может превратиться в шум. Поставьте регулярное событие в календарь: пересматривать скоринг, прогонять свежие размеченные кейсы через текущие правила и вносить изменения. Скор, к которому никто не возвращался год, — это уже не контроль, а легаси.

Тест на доверие

Попросите аналитика одним предложением объяснить случайное high-risk решение за вчера. Если он может это сделать, скоринг работает. Если он пожимает плечами и говорит: «система пометила», — у вас есть число, но нет сигнала.