Finek | Fintech & Banking

Невероятно простой карточный фрод на четверть ляма 🔲Хочу поделиться с вами замечательной историей, которую я услышал от финтеха, с кем хорошо общаюсь. История заинтересует не только другие финтехи, но и обычных пользователей. Она показывает, с какими проблемами периодически сталкиваются финтехи, и почему многие из них усложняют комплаенс, намеренно блокируют определенные транзакции и душат пользователей проверками 🔲Что произошло? 🔲Трое испанцев, находясь в США, открыли аккаунты на испанские документы. Затем каждый выпустил по карте Visa. Судя по всему, аккаунты открыли на себя, не на дропов. Какое-то время они пользовались картами как обычно. Потом они за одну ночь объехали десятки заправок и залили топлива примерно на 250 тысяч евро, имея на счету всего несколько баксов. Как такое возможно? 🔲Дело в том, что фродеры посещали только автоматические заправки без кассира (MCC 5542, Automated Fuel Dispenser). На таких заправках терминал сначала делает status check на $1, чтобы убедиться, что карточка рабочая, а финальную сумму колонка отправляет только после того, как клиент заправится. Visa разрешает AFD-мерчантам по такой однодолларовой авторизации списывать сумму до установленного лимита. Сейчас лимит составляет порядка $175 долларов, но его постоянно увеличивают. Автоматические заправки - это одна из старейших категорий у Visa, и для нее исторически действую особые правила 🔲Все трое действовали по одинаковой схеме: приложил карту, заправил полный бак, поехал на следующую. Скорее всего топливо заливали не только в баки, но и в другие емкости, возможно, даже арендовали бензовоз. За несколько часов фродеры объехали несколько десятков автоматических заправок и купили топлива на четверть миллиона евро 🔲Оплата трансграничная, потому что эмитент европейский, а мерчант американский. Поэтому информация о финальной сумме дошла до финтеха сильно позже. Правила Visa это допускают. То есть финтех видел только одобренные авторизации на $1, а реальные суммы прилетели уже в клиринге, когда топливо давно было в баках 🔲Но как дебетовая или предоплаченная карта может уйти в минус? Дело в том, что клиринг для эмитента это обязательство. Когда мерчант прислал финальную сумму, эмитент, он же финтех, обязан оплатить ее, независимо от баланса клиента. Поэтому у карточных программ есть механизм овердрафта, даже если продукт позиционируется как «потратить можно только свое». Овердрафт ложится на эмитента, а дальше вопрос в том, удастся ли взыскать его с клиента. В данной истории не удалось 🔲Дальше вопрос в том, кто платит. Автоматически заправки тут не при делах, это крупные легальные сети. Услуга оказана, топливо отпущено. Получается, что это first-party fraud, когда клиент обманул финтех, а значит ответственность лежит на последнем. Чарджбэк невозможен, Visa никаких уступок не делает 🔲Юристы финтеха пробовали идти в американский суд, но им прямо сказали, что при такой относительно небольшой сумме судиться нецелесообразно, а серьезные правоохранительные органы подключаются при суммах от 1–2 млн долларов. Пришлось зафиксировать убыток 🔲Они не первые, кто попал под атаку. Visa рассылает эмитентам предупреждение о росте количества таких атак и некоторые карточные провайдеры после таких алертов публично закрыли AFD в США и еще нескольких странах. Вот и финтех, рассказавший мне эту историю, отключил оплаты автоматических колонок целиком. Они посчитали, что подобные транзакции не критичны для их клиентов 🔲Что может сделать финтех, чтобы минимизировать риск таких атак? 🔲В руководстве по безопасности от крупной финтех-платформы StraitsX предлагается блокировать на карте не $1, а максимально возможную сумму, которую AFD-мерчант может списать по правилам Visa. Сейчас это $100 для терминалов без чипа и $175 с чипом (подробнее описано здесь). Если у клиента нет этой суммы на балансе, то сразу отклонять транзакцию, не давая запустить колонку 🔲Вот еще несколько рекомендаций для финтехов: ⬇️Ограничить количество заправок на карту за час и сутки. Обычный пользователь не заправляется 30 раз за ночь ⬇️Мониторить ситуации, когда у клиента с онбордингом в ЕС первые транзакции идут на автоматических колонках в США ⬇️Мониторить ранний признак атаки, а именно авторизации на $1, по которым пока не пришло подтверждение финальной суммы ⬇️Закрыть AFD в отдельных регионах для новых клиентов/карт без истории ⬇️Делать нормальный KYC ⬇️Заранее уточнить у BIN-спонсора и процессора, кто будет нести потери в таких ситуациях ⬇️Заложить фрод-резерв в экономику карточной программы и проверить, покрывает ли страховка first-party fraud 🔲Не удивляйтесь почему у финтехов местами душные комплаенсы. Они душные не из-за любви к бюрократии, а из-за подобных историй. Бюрократия главный враг финтехов, потому что они растут за счет простого онбординга, быстрой выдачи карт и минимального трения. Каждый дополнительный шаг в KYC бьет по конверсии 🔲К сожалению, работа платежной системы устроена так, что один такой фрод может съесть маржу с тысяч нормальных клиентов. Именно поэтому финтехам приходится душить нас комплаенсом ____ Консультация | Вступить в закрытый чат | Наши посты | Все рефки