Fraudele cu carduri în magazinele online: semnele unei comenzi suspecte

Vine o comandă nouă în magazin. Trei telefoane de ultimă generație, plătite integral cu cardul, livrare urgentă. Plata e aprobată, banii par să fi intrat. Arată ca o zi foarte bună.

După șase săptămâni vine un e-mail de la procesatorul de plăți: titularul cardului a contestat tranzacția. Spune că n-a făcut niciodată acea comandă și are dreptate. Cardul fusese furat. Banca îi dă banii înapoi, iar magazinul rămâne fără bani, fără telefoane și cu o taxă de contestație pe deasupra.

Pentru mulți proprietari de magazine online, aceasta e prima întâlnire cu frauda cu carduri. Și de cele mai multe ori nu e o întâmplare izolată: un magazin care a acceptat o comandă frauduloasă fără să observe ajunge repede pe lista celor care mai încearcă.

Ghidul acesta e pentru proprietarii și administratorii de magazine online, în special WooCommerce. Nu e scris pentru specialiști în plăți. Vei afla cum arată, concret, o comandă frauduloasă, ce semne trebuie să te pună pe gânduri, cum combini aceste semne ca să iei o decizie corectă, ce faci cu o comandă suspectă și cum îți protejezi magazinul tehnic, astfel încât să ajungă mai puține astfel de comenzi până la tine.

Un avertisment important de la început: niciun semn, luat singur, nu dovedește o fraudă. Clienții reali fac și ei comenzi mari, comandă noaptea, livrează la alte adrese și folosesc VPN. Scopul nu e să tratezi fiecare client ca pe un suspect, ci să recunoști combinațiile de semne care, împreună, spun o poveste.

Cât te costă, de fapt, o comandă frauduloasă

Mulți proprietari de magazine își imaginează că frauda îi costă „doar” valoarea comenzii. În realitate, costul e mult mai mare, pentru că se adună din mai multe părți:

• Valoarea produselor. Marfa a plecat și nu se mai întoarce. Fraudatorii aleg intenționat produse ușor de revândut.
• Banii încasați. Când titularul cardului contestă tranzacția, suma se retrage din contul tău, de obicei împreună cu comisioanele plătite deja la procesare.
• Taxa de contestație. Pentru fiecare contestație (în limbajul plăților, chargeback), procesatorul percepe o taxă separată, indiferent dacă o câștigi sau nu.
• Costul livrării. L-ai plătit tu, iar coletul a ajuns la fraudator.
• Timpul. Strângerea dovezilor, discuțiile cu procesatorul, verificarea altor comenzi suspecte, eventual plângerea la poliție.
• Riscul pentru contul de plăți. Procesatorii și rețelele de carduri urmăresc raportul dintre numărul de contestații și numărul de tranzacții. Un magazin cu prea multe contestații poate primi comisioane mai mari, rezerve blocate sau, în cazurile grave, închiderea contului de procesare.

Un calcul simplu: o comandă frauduloasă de 3.000 de lei, cu un produs cumpărat de magazin la 2.400 de lei, livrare de 30 de lei și o taxă de contestație de aproximativ 70–100 de lei. Pierderea directă trece de 2.500 de lei. Dacă marja de profit obișnuită a magazinului e de 15%, ai nevoie de vânzări legitime de peste 16.000 de lei doar ca să acoperi această singură comandă.

De aceea, în cazul fraudei, prevenția costă aproape întotdeauna mai puțin decât repararea.

De unde vin cardurile folosite în fraude

Ca să înțelegi de ce arată comenzile frauduloase așa cum arată, ajută să știi de unde provin datele de card. Pe scurt, fraudatorul care plasează comanda în magazinul tău nu e, de obicei, cel care a furat cardul. A cumpărat datele de la altcineva.

Datele de card ajung pe piețele ilegale din mai multe surse:

• Phishing. Pagini false de bancă, de curierat sau de magazin, unde victima își introduce singură datele cardului. Am scris despre asta pe larg în ghidul despre magazinele online false.
• Magazine online compromise. Un cod malițios introdus în pagina de checkout a unui magazin spart copiază datele de card în timp ce clientul le tastează. Clientul nu observă nimic, iar comanda se finalizează normal. E unul dintre motivele pentru care securitatea propriului magazin contează și din perspectiva fraudei.
• Scurgeri de date din sisteme care stocau, incorect, date de card.
• Dispozitive de copiere montate pe bancomate sau pe terminale de plată.
• Malware pe calculatorul sau telefonul victimei.

Datele ajung apoi la vânzare în pachete: număr de card, dată de expirare, cod CVV, uneori și numele, adresa, telefonul și e-mailul titularului. Prețul depinde de cât de „proaspete” sunt și de cât de complete. Iar cumpărătorul trebuie să afle repede care dintre carduri mai funcționează. Aici intervin magazinele online, inclusiv al tău.

Tipurile de fraudă pe care le vei întâlni

„Frauda cu cardul” e un termen umbrelă. În practică, magazinele online se confruntă cu mai multe tipuri distincte, fiecare cu semnele lui.

1. Testarea cardurilor (card testing)

Fraudatorul are o listă cu sute sau mii de carduri și nu știe care mai sunt active. Folosește un magazin online ca să le testeze: încearcă plăți de câțiva lei, una după alta, de obicei automat, cu un script. Cardurile care trec sunt apoi folosite pentru cumpărături mari, de regulă în alte magazine.

Cum arată în magazinul tău: zeci sau sute de comenzi eșuate într-un interval scurt, pe sume de câțiva lei, adesea pe același produs ieftin, cu nume și adrese aleatorii sau repetate. Uneori, câteva dintre ele trec.

De ce te afectează, deși nu pierzi marfă: plătești comisioane pentru fiecare încercare de autorizare, procesatorul vede un volum mare de tranzacții respinse și poate suspecta magazinul, iar câteva dintre plățile reușite se vor transforma în contestații. Ne vom întoarce la acest tip de atac într-o secțiune separată, pentru că e cel mai frecvent pe magazinele WooCommerce.

2. Cumpărătura cu cardul furat

E forma clasică: fraudatorul are datele unui card valid și cumpără produse pe care le poate revinde ușor. Comanda trece de obicei de toate verificările automate, pentru că datele cardului sunt corecte. Problema apare săptămâni mai târziu, când titularul real vede tranzacția pe extras și o contestă.

3. Frauda „prietenoasă” (friendly fraud)

Aici nu există un card furat. Titularul cardului face o comandă reală, primește produsul, apoi contestă tranzacția la bancă, susținând că n-a primit nimic sau că n-a autorizat plata.

Uneori e intenționat. Alteori e o neînțelegere: un membru al familiei a comandat fără să spună, clientul nu recunoaște numele firmei pe extras, a uitat de comandă sau a contestat tranzacția la bancă în loc să ceară un retur. Indiferent de intenție, rezultatul pentru tine e același: o contestație.

4. Preluarea contului (account takeover)

Fraudatorul intră în contul unui client real din magazinul tău, de obicei folosind o parolă scursă din altă parte și refolosită. Poate schimba adresa de livrare, poate folosi un card salvat, dacă magazinul permite, sau poate folosi punctele de fidelitate și creditul din cont. Comanda pare că vine de la un client fidel, ceea ce o face greu de observat.

5. Frauda prin triangulare

Una dintre cele mai înșelătoare forme. Fraudatorul deschide un magazin fals sau publică anunțuri cu prețuri foarte bune. Un cumpărător real comandă și plătește la el. Fraudatorul comandă apoi produsul din magazinul tău, cu un card furat, și îl trimite direct la adresa cumpărătorului real.

Pentru tine, comanda arată perfect: nume real, adresă reală, telefon real, chiar și un client care confirmă la telefon că a comandat. Doar că plata a fost făcută cu cardul altcuiva, iar contestația va veni oricum.

6. Frauda cu retururi și rambursări

Clientul returnează un produs folosit, contrafăcut sau o cutie goală. Alt scenariu: plătește cu un card furat, apoi cere rambursarea pe alt card sau prin transfer bancar. Ultimul caz e deosebit de periculos, pentru că pierzi banii de două ori.

7. Abuzul de coduri de reducere și de promoții

Nu e strict o fraudă cu cardul, dar apare adesea împreună cu ea: conturi create în serie pentru a folosi de mai multe ori un cod „doar pentru clienți noi”, coduri ghicite automat sau comenzi plasate pentru a profita de o eroare de preț.

Semnele unei comenzi suspecte

Iată semnele pe care le urmărim noi, grupate pe categorii. Încă o dată: niciunul nu e o dovadă, luat singur. Contează combinația lor și contextul magazinului tău. Un magazin de piese auto vede alte tipare decât unul de parfumuri sau de electronice.

Semne legate de datele clientului

1. Adresa de e-mail arată ciudat. O succesiune aleatorie de litere și cifre (xkq7841pzm@...), un domeniu de e-mail temporar, de unică folosință, sau o adresă care nu are nicio legătură cu numele din comandă. Clienții reali au, de obicei, adrese care conțin numele lor, o poreclă sau numele firmei. Atenție totuși: mulți oameni au adrese vechi, ciudate, create acum 20 de ani.

2. Numele e incomplet, inventat sau scris inconsecvent. „Ion Ion”, „Test Test”, doar inițiale, nume scrise cu majuscule și minuscule amestecate aleatoriu sau un nume care diferă de la un câmp la altul.

3. Telefonul e invalid sau nepotrivit. Un număr cu prea puține cifre, 0700000000, un prefix de altă țară decât adresa de livrare sau un număr care nu răspunde niciodată.

4. Contul e nou, iar comanda e mare. Un client care și-a creat contul cu cinci minute înainte și plasează imediat cea mai mare comandă din ultima lună. Nu e neapărat suspect, pentru că și clienții noi fac comenzi mari, dar combinat cu alte semne contează.

5. Același client, mai multe identități. Comenzi cu nume diferite, dar aceeași adresă de livrare, același telefon sau același IP. Sau, invers, același nume cu adrese de e-mail diferite la fiecare comandă.

Semne legate de adresă și de livrare

6. Adresa de facturare și cea de livrare diferă mult. Facturare în Cluj, livrare în alt județ sau în altă țară. E foarte des întâlnit și la clienții reali, de exemplu la cadouri sau la livrarea la birou. Devine relevant combinat cu alte semne, mai ales când produsul e scump.

7. Livrare la punct de ridicare, easybox sau adresă de redirecționare. Fraudatorii preferă locurile unde nu trebuie să se prezinte cu actul de identitate și nu lasă o adresă de domiciliu. Lockerele sunt extrem de populare și la clienții reali, așa că semnul are greutate doar în combinație cu altele.

8. Adresa e vagă, incompletă sau nu există. Fără număr, fără bloc, o stradă care nu există în localitatea respectivă sau o adresă care, căutată pe hartă, duce la un depozit, la un hotel sau la un teren gol.

9. Mai multe comenzi, cu carduri diferite, către aceeași adresă. Un semn puternic. Clienții reali nu folosesc, de obicei, cinci carduri diferite într-o săptămână.

10. Schimbarea adresei după plată. Clientul sună sau scrie imediat după comandă și cere livrarea la altă adresă decât cea introdusă. Combinat cu o comandă mare, e unul dintre cele mai sigure semnale de alarmă.

11. Presiune pentru livrare urgentă. Insistența de a expedia „chiar azi”, plata în plus pentru livrare rapidă la un produs care nu pare urgent, telefoane repetate. Fraudatorul vrea marfa înainte ca titularul cardului să observe tranzacția.

Semne legate de coș și de comportament

12. Produse scumpe și ușor de revândut. Telefoane, laptopuri, console, căști, parfumuri de firmă, carduri cadou, vouchere, produse de marcă. Fraudatorul nu cumpără ce-i trebuie, ci ce poate transforma repede în bani.

13. Cantități mari din același produs. Cinci bucăți din același telefon, în aceeași culoare, de la un client persoană fizică. Un client real cumpără rareori la fel.

14. Comandă fără interes pentru detalii. Clientul alege cel mai scump model, fără să compare, fără să întrebe de garanție, culoare sau mărime, fără să citească descrierea. Se poate vedea în istoricul de navigare, dacă îl urmărești: a intrat direct pe produs și a plătit în două minute.

15. Mai multe încercări de plată eșuate înainte de cea reușită. Trei carduri respinse, iar al patrulea trece. Un client real cu o problemă la card încearcă de obicei o dată sau de două ori, apoi sună la bancă sau alege rambursul. Un fraudator încearcă pe rând toate cardurile din listă.

16. Comenzi la ore neobișnuite, în rafale. Mai multe comenzi asemănătoare, la câteva minute distanță, în miez de noapte. Ora singură nu înseamnă nimic, dar rafalele de comenzi similare spun ceva.

17. Mesaje ciudate în câmpul de observații. Instrucțiuni neobișnuite („lăsați coletul la vecin”, „nu sunați, trimiteți SMS”), texte în altă limbă sau traduse automat, cereri de a nu include factura în colet.

Semne tehnice

18. Locația IP-ului nu se potrivește cu adresa. Comanda vine de pe un IP din altă țară decât adresa de facturare și cea de livrare. WooCommerce poate înregistra IP-ul clientului în comandă. Atenție: un client român în concediu sau care lucrează în străinătate și comandă pentru familie are exact același tipar.

19. VPN, proxy sau rețeaua Tor. Fraudatorii își ascund adesea locația reală. Multe persoane folosesc însă VPN din motive legitime, de confidențialitate sau pe laptopul de serviciu. E un semn de luat în calcul, nu un motiv de refuz automat.

20. Același dispozitiv sau IP, mai multe conturi și carduri. Dacă vezi pe același IP, într-o oră, trei conturi noi și șapte carduri diferite, nu mai e o coincidență.

Semne legate de plată

21. Numele de pe card diferă de numele clientului. Unele formulare de plată cer numele titularului cardului. Dacă acesta diferă complet de numele din comandă, merită atenție. La clienții reali se întâmplă când plătește un părinte, un partener sau firma.

22. Cardul e emis în altă țară decât adresa clientului. Procesatorul îți poate arăta țara în care a fost emis cardul. Un card emis în altă țară, folosit pentru o livrare în România, de pe un IP dintr-o a treia țară, e o combinație care cere verificare.

23. Verificarea 3D Secure a eșuat sau a fost ocolită. Dacă plata a trecut fără autentificare suplimentară, deși de obicei o cere, sau dacă ai mai multe încercări eșuate la pasul de autentificare, e un semnal. Despre 3D Secure vorbim pe larg mai jos.

24. Clientul cere să plătească altfel decât prin site. Propune să trimită banii prin transfer către altcineva, „să plătească prietenul din străinătate”, sau cere ca rambursarea, în caz de anulare, să fie făcută pe alt card ori în alt cont. Acesta e aproape întotdeauna un semn de fraudă.

Cum combini semnele: un sistem simplu de punctaj

Douăzeci și patru de semne sunt multe de ținut minte. În practică, cel mai bine funcționează un sistem de punctaj simplu, pe care îl aplici fiecărei comenzi de peste un anumit prag de valoare. Nu trebuie să fie perfect. Trebuie doar să fie consecvent, ca deciziile să nu depindă de cum se simte cineva în ziua respectivă.

Iată un exemplu de pornire, pe care îl poți adapta magazinului tău:

Semn	Puncte
Mai multe încercări de plată eșuate, cu carduri diferite	3
Schimbarea adresei după plată	3
Cerere de rambursare pe alt card sau prin transfer	3
Mai multe comenzi cu carduri diferite către aceeași adresă	3
IP, țara cardului și adresa în trei țări diferite	2
Cantități mari din același produs scump	2
Adresă incompletă sau inexistentă	2
IP din altă țară decât adresa	1
Cont nou, comandă de valoare mare	1
E-mail aleatoriu sau de unică folosință	1
Facturare și livrare foarte diferite	1
Livrare la locker, cu produs scump	1
Presiune pentru livrare urgentă	1
VPN sau proxy	1
Telefon invalid sau din altă țară	1

Și cum citești rezultatul:

• 0–2 puncte (verde): procesezi comanda normal.
• 3–4 puncte (galben): verifici înainte de expediere: un telefon, o căutare a adresei, istoricul clientului.
• 5 puncte sau mai mult (roșu): nu expediezi până nu ai o verificare clară. Dacă verificarea nu e posibilă, anulezi și rambursezi pe cardul de pe care s-a plătit.

După câteva luni, uită-te înapoi la comenzile care s-au dovedit frauduloase și la cele care au fost blocate degeaba. Ajustează punctajul. Fiecare magazin are tiparele lui, iar sistemul devine mai precis cu timpul.

Pentru comenzile de valoare redusă, sub un prag pe care îl alegi tu (de exemplu, 300 de lei), costul verificării manuale poate depăși riscul. Acolo te bazezi pe protecțiile automate, despre care vorbim mai jos.

Trei exemple, puse prin sistem

Ca să vezi cum funcționează în practică, iată trei situații tipice. Detaliile sunt construite pentru exemplificare, dar tiparele sunt cele pe care le întâlnim des.

Exemplul 1: comanda care pare suspectă, dar e reală

O comandă de 2.800 de lei pentru un laptop. Contul e nou, IP-ul e din Germania, iar livrarea e în Bacău, la altă adresă decât cea de facturare. Pe hârtie: cont nou (1), facturare și livrare diferite (1), IP din altă țară decât adresa (1). Trei puncte, deci galben.

Verificarea: un telefon la numărul din comandă. Răspunde un bărbat care explică liniștit că lucrează în Germania și cumpără laptopul pentru fiica lui, studentă. Știe ce model a comandat, știe adresa, întreabă de garanție. Cardul e emis de o bancă românească. Comanda se expediază. Un client nou, mulțumit, care probabil va reveni.

Exemplul 2: comanda care pare curată, dar nu e

O comandă de 4.500 de lei pentru două telefoane, plătită cu cardul, cu 3D Secure trecut. Adresa e completă, în București, iar numele e real. Punctaj aparent: cont nou, comandă de valoare mare (1). Verde. Dar comanda depășește pragul de valoare peste care magazinul verifică oricum manual, așa că urmează un telefon.

La telefon răspunde o doamnă care confirmă comanda, dar spune că a cumpărat telefoanele „de la un anunț, la un preț foarte bun” și că a plătit deja vânzătorului prin transfer. Exact tiparul triangulării: un cumpărător real, păcălit, iar comanda din magazinul tău e plătită cu cardul altcuiva. Comanda se anulează și se rambursează pe cardul de pe care s-a plătit. Doamnei i se recomandă să facă plângere la poliție împotriva vânzătorului de pe anunț.

Exemplul 3: rafala de noapte

Între 02:10 și 02:40 apar 140 de comenzi pentru același produs, un accesoriu de 19 lei. 131 au plata eșuată, 9 au trecut. Nume diferite, adrese aleatorii, același tip de adresă de e-mail generată automat.

Nu e nevoie de punctaj: e un atac de testare a cardurilor. Cele 9 comenzi reușite se anulează și se rambursează, se blochează temporar IP-urile implicate, se activează protecțiile de pe pagina de checkout și se anunță procesatorul de plăți. Asupra acestui scenariu ne oprim acum mai pe larg.

Testarea cardurilor pe magazinele WooCommerce

Dintre toate tipurile de fraudă, testarea cardurilor e cea pe care o vedem cel mai des pe magazinele WooCommerce. Motivul e simplu: atacul e automatizat, deci nu contează cât de cunoscut e magazinul tău. Contează doar dacă pagina de plată poate fi folosită repede și fără obstacole.

Cum îți dai seama că ești ținta unui astfel de atac

• Apar brusc multe comenzi cu status „Eșuată” sau „În așteptarea plății”.
• Comenzile sunt pe sume de câțiva lei, de multe ori pe același produs, cel mai ieftin din magazin.
• Numele, adresele și e-mailurile sunt aleatorii sau urmează un tipar evident.
• Procesatorul de plăți te anunță un volum neobișnuit de tranzacții respinse.
• Primești multe e-mailuri automate de „comandă eșuată” sau de „comandă nouă” într-un interval scurt.
• În unele cazuri nu apar deloc comenzi, ci doar încercări pe pagina „Adaugă metodă de plată” din contul de client. Atacatorii au descoperit că acolo pot verifica un card fără să plaseze o comandă.

Ce faci imediat

1. Nu expedia nimic din comenzile apărute în intervalul atacului, nici măcar pe cele plătite cu succes.
2. Anulează și rambursează plățile reușite. Sunt aproape sigur carduri furate, iar contestațiile vor veni oricum.
3. Activează protecția pe pagina de checkout: o verificare anti-robot (CAPTCHA modern, invizibil pentru clienții reali) și limitarea numărului de încercări de plată.
4. Dezactivează temporar crearea de conturi noi sau pagina de adăugare a metodelor de plată, dacă atacul vine pe acolo.
5. Anunță procesatorul de plăți. Majoritatea au echipe și instrumente pentru astfel de situații, iar faptul că i-ai anunțat contează dacă apar întrebări despre volumul de tranzacții respinse.
6. Uită-te în jurnalele serverului pentru a vedea de unde vin cererile și pe ce adrese din site. Atacurile ocolesc adesea pagina de checkout obișnuită și trimit cereri direct către interfețele de programare (API) ale magazinului.

Cum previi următorul atac

• Limitarea ratei pe checkout. WooCommerce are mecanisme de limitare a numărului de cereri pentru API-ul folosit la finalizarea comenzii. De obicei trebuie activate și configurate explicit, nu sunt pornite implicit.
• Verificare anti-robot pe checkout, pe pagina de înregistrare și pe pagina de adăugare a metodei de plată.
• Un firewall aplicativ (WAF) care recunoaște și blochează traficul automatizat. Am explicat în detaliu ce face un astfel de firewall în articolul despre WAF.
• Un preț minim de comandă sau eliminarea produselor de câțiva lei, dacă atacatorii le folosesc constant.
• Alerte când numărul de plăți eșuate depășește un prag într-un interval scurt, ca să afli în minute, nu a doua zi dimineață.
• Uneltele antifraudă ale procesatorului de plăți. Majoritatea procesatorilor serioși au reguli automate de blocare a tranzacțiilor suspecte. Verifică dacă sunt active în contul tău și cum sunt configurate.

Ce faci cu o comandă suspectă: procedura pas cu pas

Ai o comandă în zona galbenă sau roșie. Iată ce faci, în ordine:

1. Pune comanda în așteptare. Nu o expedia și nu o anula încă. Schimbă statusul în „În așteptare” și adaugă o notă internă cu motivul.
2. Verifică istoricul. Clientul a mai comandat? Aceeași adresă, același telefon sau același IP apar în alte comenzi, eventual cu alte nume?
3. Verifică adresa pe hartă. Există? E o locuință, un birou, un depozit, un hotel?
4. Sună clientul la numărul din comandă. Fii politicos și neutru: „Bună ziua, vă sun de la magazinul X în legătură cu comanda de azi, ca să confirmăm câteva detalii înainte de expediere.” Întreabă ce a comandat, la ce adresă vrea livrarea și cum a ajuns la magazin. Un client real răspunde firesc. Un fraudator ezită, schimbă subiectul sau cere urgență.
5. Atenție la triangulare. Dacă persoana confirmă comanda, întreabă-o, cu tact, dacă a comandat direct de pe site-ul tău. Un răspuns de tipul „am cumpărat de la cineva de pe un site de anunțuri” lămurește situația.
6. Decide. Dacă verificarea lămurește lucrurile, expediezi. Dacă nu poți verifica sau răspunsurile nu se leagă, anulezi.
7. Rambursează întotdeauna pe metoda de plată originală. Niciodată pe alt card, în alt cont sau în numerar, oricât ar insista clientul. Rambursarea pe alt instrument e exact ce urmărește un fraudator.
8. Notează tot. Ce ai verificat, ce ți s-a spus, ce ai decis și de ce. Dacă vine o contestație sau o reclamație, aceste note sunt dovezile tale.

Câteva lucruri pe care nu le ceri:

• Fotografia cardului. Unele magazine cer clienților să trimită o poză cu cardul. E o practică riscantă: primești date sensibile prin e-mail sau chat, pe care nu ai voie să le păstrezi în acest fel, iar un fraudator cu cardul fizic furat sau cu o imagine editată trece oricum de verificare.
• Copia actului de identitate, ca procedură standard. Pe lângă faptul că alungă clienții reali, colectarea copiilor de acte ridică probleme serioase de protecție a datelor. Dacă, în cazuri excepționale, consideri necesară o verificare de identitate, discută întâi cu un consultant GDPR.
• Codul CVV sau codurile primite prin SMS. Nu le ceri niciodată, sub nicio formă. Iar dacă vreun angajat le cere, ai o problemă mult mai mare decât frauda.

3D Secure: cel mai bun aliat al tău

3D Secure este pasul suplimentar de autentificare pe care l-ai văzut probabil la orice plată online: o confirmare în aplicația băncii, un cod primit prin SMS sau o amprentă. În Spațiul Economic European, autentificarea strictă a clienților e obligatorie pentru majoritatea plăților online cu cardul, conform reglementărilor europene privind serviciile de plată.

Pentru magazin, 3D Secure aduce două beneficii importante:

• Un fraudator care are doar datele cardului, fără acces la telefonul titularului, nu poate trece de acest pas.
• Transferul răspunderii. Pentru tranzacțiile autentificate cu 3D Secure, răspunderea în cazul unei contestații pentru fraudă trece, în general, de la magazin la banca emitentă a cardului. Cu alte cuvinte, dacă un card furat trece totuși de autentificare, de cele mai multe ori nu tu suporți pierderea.

Trei precizări importante:

• Transferul răspunderii nu acoperă toate situațiile. Contestațiile de tipul „n-am primit produsul” sau „produsul nu corespunde descrierii” nu sunt acoperite. Pentru acestea ai nevoie de dovezi de livrare și de o descriere corectă a produsului.
• Există scutiri. Unele plăți de valoare redusă sau considerate cu risc redus pot trece fără autentificare suplimentară, în funcție de setările procesatorului și de decizia băncii. Pentru ele, protecția transferului de răspundere poate să nu se aplice.
• 3D Secure nu oprește frauda prin triangulare, preluarea contului făcută de cineva care are și telefonul victimei sau frauda „prietenoasă”. E un strat de protecție foarte bun, dar nu singurul de care ai nevoie.

Verifică în contul procesatorului de plăți că 3D Secure e activ și cum e configurat. Unii procesatori permit să ceri autentificarea la toate tranzacțiile sau doar la cele considerate riscante.

Alte protecții tehnice

Nu stoca niciodată datele cardului

Magazinul tău nu trebuie să vadă, să proceseze sau să stocheze numărul complet al cardului sau codul CVV. Folosește un procesator de plăți care preia datele cardului în propriile câmpuri securizate sau pe propria pagină de plată. Astfel, chiar dacă magazinul ar fi compromis, datele cardurilor nu sunt pe serverul tău. Standardele de securitate din industria cardurilor sunt foarte stricte pentru cine stochează astfel de date, iar varianta corectă pentru aproape orice magazin e să nu le stocheze deloc.

Protejează pagina de checkout de cod malițios

Una dintre sursele cardurilor furate sunt chiar magazinele online compromise. Un script ascuns pe pagina de checkout poate copia datele tastate de clienți. Pentru magazinul tău, asta înseamnă:

• actualizări la zi pentru WordPress, WooCommerce, temă și pluginuri;
• cât mai puține scripturi externe pe paginile de checkout;
• headere de securitate, în special politica de securitate a conținutului (CSP), care limitează ce scripturi pot rula pe pagină (detalii în articolul despre security headers);
• monitorizarea modificărilor în fișierele site-ului, ca să afli imediat dacă apare cod nou, neautorizat.

Am adunat toate protecțiile de bază în ghidul de securitate pentru magazinele WooCommerce.

Protejează conturile clienților

• Cere parole de o complexitate rezonabilă și limitează încercările repetate de autentificare.
• Trimite clientului un e-mail de notificare când i se schimbă adresa de e-mail, parola sau adresa de livrare din cont.
• Dacă permiți salvarea cardurilor (prin procesator, niciodată pe serverul tău), cere confirmarea CVV sau 3D Secure la plățile cu un card salvat.

Protejează conturile de administrator

Un atacator care intră în contul de administrator al magazinului poate schimba setările de plată, poate crea coduri de reducere de 100% sau poate modifica pagina de checkout. Autentificarea în doi pași pe toate conturile cu drepturi de administrator sau de manager de magazin nu e opțională.

Contestațiile (chargeback): ce sunt și cum răspunzi

O contestație apare când titularul cardului îi cere băncii lui să anuleze o tranzacție. Banca retrage suma de la procesatorul tău, iar procesatorul ți-o retrage ție. Ai apoi un termen limitat în care poți trimite dovezi că tranzacția a fost legitimă.

Câteva lucruri de știut:

• Contestația poate veni la câteva luni după comandă. Titularul cardului are, de regulă, o perioadă de câteva luni în care poate contesta o tranzacție. De aceea, o comandă care „a trecut” nu e neapărat o comandă sigură.
• Termenul tău de răspuns e scurt. De obicei, câteva zile sau câteva săptămâni, în funcție de procesator. Dacă nu răspunzi la timp, pierzi automat.
• Nu orice contestație merită contestată. Dacă e clar că a fost o fraudă cu un card furat, fără 3D Secure, șansele sunt reduse. Concentrează-te pe cazurile în care ai dovezi.

Ce dovezi contează

• dovada autentificării 3D Secure, dacă a existat;
• dovada livrării: confirmarea curierului, cu data, ora și, ideal, semnătura sau codul de ridicare;
• corespondența cu clientul: e-mailuri, mesaje, notițele de la telefon;
• istoricul clientului: comenzi anterioare plătite și necontestate;
• datele tehnice ale comenzii: IP-ul, data și ora, dispozitivul, dacă le ai;
• termenii și condițiile, politica de retur și descrierea produsului de la momentul comenzii;
• dovada că produsul a fost folosit sau că, după comandă, clientul a interacționat cu contul.

Cum reduci frauda „prietenoasă”

• Un nume clar pe extrasul de cont. Verifică ce nume apare pe extrasul clientului. Dacă e denumirea juridică a firmei, pe care nu o recunoaște nimeni, clienții vor contesta tranzacții pe care chiar le-au făcut. Mulți procesatori permit setarea unui nume mai ușor de recunoscut.
• Comunicare bună după comandă: e-mail de confirmare, e-mail de expediere cu numărul de urmărire și e-mail de livrare.
• Un proces de retur simplu și vizibil. Un client care știe cum să returneze un produs nu mai trece prin bancă.
• Răspunsuri rapide la reclamații. Mulți clienți ajung să conteste la bancă pentru că n-au primit răspuns de la magazin.

Datele păstrate pentru prevenirea fraudei și GDPR

Ca să previi frauda, ai nevoie de date: IP-uri, istoricul comenzilor, notițe despre verificări. Prevenirea fraudei poate fi un interes legitim conform GDPR, dar asta nu înseamnă că poți colecta orice și păstra la nesfârșit. Câteva reguli practice:

• menționează în politica de confidențialitate că prelucrezi date pentru prevenirea fraudei și ce date anume;
• păstrează doar ce îți trebuie, cât timp îți trebuie, de exemplu cât durează perioada în care pot apărea contestații, plus o marjă rezonabilă;
• notițele interne trebuie să fie factuale și profesionale, nu jigniri sau presupuneri despre client;
• limitează accesul la aceste date doar la persoanele care chiar au nevoie de ele;
• o „listă neagră” de clienți trebuie tratată cu atenție. Discută cu un consultant GDPR înainte s-o folosești.

Pentru partea generală, vezi articolul despre GDPR pe un site WordPress.

După un incident: ce verifici în magazin

Ai descoperit o comandă frauduloasă care a trecut sau ai avut un atac de testare a cardurilor. Pe lângă anularea comenzilor și discuția cu procesatorul, merită să verifici câteva lucruri, ca să nu se repete.

• Comenzile similare din ultimele săptămâni. Caută aceeași adresă de livrare, același telefon, același IP sau același tipar de e-mail. Fraudatorii revin adesea cu ușoare variații ale acelorași date.
• Conturile create recent. Un val de conturi noi, fără comenzi sau cu comenzi eșuate, poate fi pregătirea următorului atac.
• Codurile de reducere. Au fost folosite coduri neobișnuit de des sau coduri pe care nu le-ai distribuit public?
• Integritatea site-ului. Verifică dacă pagina de checkout conține scripturi pe care nu le recunoști și dacă au apărut fișiere noi pe server. Dacă magazinul a fost compromis, clienții tăi pot fi și ei victime, iar situația devine o problemă de protecție a datelor, cu obligații de notificare.
• Setările procesatorului. 3D Secure e activ? Regulile antifraudă sunt pornite? S-a schimbat ceva în cont fără știrea ta?
• Accesul administratorilor. Cine a intrat recent în panoul de administrare și de unde?

Notează ce ai găsit și ce ai schimbat. La următorul incident, vei ști exact de unde să începi.

Greșelile pe care le vedem cel mai des

1. „Plata a fost aprobată, deci e în regulă.” Aprobarea plății înseamnă doar că datele cardului sunt valide și există fonduri. Nu spune nimic despre cine a folosit cardul.
2. Expedierea rapidă a comenzilor mari, fără nicio privire. Viteza e importantă, dar cinci minute de verificare la o comandă de 5.000 de lei sunt o investiție bună.
3. Rambursarea pe alt card sau prin transfer, la cererea clientului.
4. Ignorarea comenzilor eșuate. Zeci de comenzi eșuate nu sunt „clienți care n-au reușit să plătească”. Sunt, adesea, un atac în desfășurare.
5. Blocarea automată a tuturor comenzilor din străinătate sau cu VPN. Pierzi clienți reali și nu oprești fraudatorii, care își schimbă imediat tactica.
6. Lipsa unei proceduri scrise. Fiecare angajat decide altfel, iar fraudatorii găsesc repede veriga slabă.
7. Neglijarea securității magazinului. Un magazin compromis nu doar acceptă comenzi frauduloase, ci devine el însuși o sursă de carduri furate.

Organizarea în echipă

Dacă la magazin lucrează mai mulți oameni, frauda se gestionează mult mai bine când e clar cine face ce:

• Un responsabil pentru comenzile marcate galben sau roșu. Nu trebuie să fie expert, ci doar să aplice consecvent procedura.
• O procedură scrisă, de o pagină: pragul de valoare, sistemul de punctaj, întrebările de la telefon, regula rambursării pe metoda originală.
• Un canal de alertă pentru situațiile neobișnuite: rafale de comenzi, plăți eșuate în masă, cereri ciudate de la clienți.
• O revizuire lunară: câte comenzi au fost blocate, câte s-au dovedit frauduloase, câte contestații au venit și de ce.
• Instruire pentru cine răspunde la telefon și la e-mail, ca să recunoască presiunea, cererile de schimbare a adresei și cererile de rambursare pe alt card.

Lista de verificare pentru magazinul tău

Întrebări frecvente

Dacă plata a fost aprobată de bancă, nu e problema băncii?

Nu neapărat. Aprobarea înseamnă doar că datele cardului sunt corecte și există fonduri. Dacă tranzacția nu a fost autentificată cu 3D Secure și titularul o contestă ca fraudă, de cele mai multe ori pierderea rămâne la magazin.

Ar trebui să refuz comenzile din străinătate?

Doar dacă oricum nu livrezi în străinătate. Altfel, refuzul automat te costă clienți reali, inclusiv românii care locuiesc în afara țării și comandă pentru familie. Mai bine folosești sistemul de punctaj și verifici comenzile cu mai multe semne.

Rambursul mă protejează de fraudă?

Te protejează de contestațiile pe card, dar aduce alte riscuri: colete refuzate la livrare, costuri de transport dus-întors și comenzi false plasate doar pentru a te încurca. Ramburs sau card, merită să urmărești tiparele.

Pot afla cine a fost fraudatorul?

Rareori, cu mijloacele unui magazin. Dacă ai pierdut bani sau marfă, depune plângere la poliție și păstrează toate datele comenzii. Poți raporta incidentul și la DNSC, la numărul 1911. Nu încerca să-l urmărești sau să-l contactezi pe cont propriu.

Ce fac dacă un client real se supără că i-am verificat comanda?

Explică-i, politicos, că verifici comenzile de valoare mare tocmai pentru a-i proteja pe clienți de folosirea cardurilor lor de către altcineva. Majoritatea oamenilor înțeleg și chiar apreciază. Contează tonul: o verificare, nu o acuzație.

Am primit o contestație pentru o comandă livrată corect. Ce fac?

Răspunde în termenul cerut de procesator, cu toate dovezile: confirmarea livrării, corespondența, autentificarea 3D Secure, istoricul clientului. Poți încerca și să contactezi clientul. Uneori e vorba de un membru al familiei care a comandat sau de un nume de firmă nerecunoscut pe extras, iar contestația se retrage.

Un plugin antifraudă rezolvă problema?

Poate ajuta, mai ales la testarea cardurilor și la comenzile evident automate. Dar niciun plugin nu înlocuiește bunul-simț și o procedură clară pentru comenzile mari. Iar un plugin în plus pe pagina de checkout e și încă o componentă de întreținut și de securizat.

Cât de des apar astfel de atacuri?

Depinde mult de produse și de vizibilitatea magazinului. Magazinele de electronice, parfumuri, carduri cadou și produse de marcă sunt ținte mai frecvente. Testarea cardurilor poate lovi însă orice magazin, indiferent de produse, pentru că e automatizată.

Merită să-mi asigur magazinul împotriva fraudei?

Există produse de asigurare și servicii de garantare a tranzacțiilor, care preiau o parte din risc în schimbul unui comision. Pentru magazinele cu volum mare și produse scumpe pot merita calculate. Pentru celelalte, de obicei e mai eficient să investești întâi în protecțiile descrise mai sus și abia apoi să compari costurile.

Concluzia, pe scurt

Frauda cu carduri nu se oprește cu o singură unealtă. Se oprește cu straturi: 3D Secure activ, un checkout protejat de roboți, un magazin securizat, un sistem simplu de punctaj pentru comenzile mari, o procedură clară de verificare și regula de aur a rambursării pe metoda de plată originală.

Niciun semn, luat singur, nu înseamnă fraudă. Dar când o comandă nouă, mare, cu produse ușor de revândut, cu trei carduri încercate înainte, vine cu o cerere de schimbare a adresei după plată, nu mai e o coincidență. E un tipar. Iar cinci minute de verificare costă mult mai puțin decât o contestație.

Dacă vrei să verificăm împreună cât de bine e protejat magazinul tău, de la pagina de checkout la configurarea plăților și la securitatea serverului, ne găsești pe webfixer.ro.