Переход розничных продавцов к онлайн- и мобильным продажам, чтобы пережить пандемию, привел к значительному увеличению активности цифрового мошенничества.
Исследование «Истинная стоимость мошенничества 2020: электронная коммерция / розничная версия», проведенное LexisNexis Risk Solutions, показало, что это отчасти связано с устареванием некоторых систем борьбы с мошенничеством, а отчасти с увеличением объема транзакций.
Согласно исследованию, количество успешных ежемесячных попыток мошенничества увеличилось в среднем на 48 процентов для средних и крупных интернет-магазинов в Соединенных Штатах и на 27 процентов для более мелких.
«В большинстве случаев структуры безопасности уже созданы, отчасти из-за требований соответствия нормативным требованиям», — сказал E-Commerce Times Мэтт Кейл, директор по маркетингу продуктов в компании Cequence Security. «Из-за пандемии изменился объем трафика, который увеличился, и скорость инноваций».
Существующие системы борьбы с мошенничеством, которые физически проверяют кредитную или дебетовую карту клиента и не могут справиться с новые сложные методы, которые включают создание фальшивых идентификационных данных и атаки из глобально организованных и связанных сетей мошенничества, совместно использующих украденную идентификационную информацию.
Кроме того, потребительский спрос на быстрые онлайн и мобильные транзакции затрудняет аутентификацию.
Компании, работавшие во время пандемии, у которых было больше транзакций мобильных покупок с доставкой в магазине, столкнулись с большим объемом мошенничества и более высокими расходами на мошенничество, потому что им приходилось полагаться на сотрудников магазина для аутентификации личности, а не на решения, разработанные для обнаружения мобильного мошенничества, согласно в кабинет.
LexisNexis Risk Solutions опросила 800 руководителей компаний по рискам и мошенничеству в розничных и электронных торговых компаниях в США и Канаде с февраля по апрель для этого исследования.
Содержание статьи
Проблема с ботнетом
Ботнет — это совокупность устройств, подключенных к Интернету — ПК, серверов, мобильных устройств — которые заражены и контролируются вредоносным ПО для рассылки спама по электронной почте и выполнения щелчков мышью кампании мошенничества и запуск других типов атак на компьютерные системы жертвы.
Число атак мобильных ботнетов возросло, поскольку все больше людей совершают покупки с помощью мобильных устройств, а розничным торговцам трудно отличить законных клиентов от ботнетов, как выяснили LexisNexis Risk Solutions.
Бот-трафик «имитирует людей и проверяет комбинации имени пользователя / пароля и информацию о кредитных картах на сайтах с высокой степенью автоматизации», — сказал E-Commerce Times Амит Найк, евангелист безопасности PerimeterX.
PerimeterX обнаруживает и защищает от автоматических атак ботов как в мобильных, так и в веб-приложениях.
«Раньше люди беспокоились о том, что скиммеры крадут информацию в банкоматах или на заправочных станциях, а теперь это может случиться в любое время, когда вы ведете бизнес в Интернете».
Примерно 58 процентов атак ботов на электронную коммерцию По данным компании Radware, занимающейся кибербезопасностью, сайты представляют собой сложные, распределенные, мутирующие боты.
Как наилучшим образом повысить безопасность мобильной коммерции
Розничным продавцам "необходимо больше сосредоточиться на интерфейсах прикладного программирования (API), которые розничные торговцы используют для добавления таких элементов, как самовывоз и доставка, которые могут не иметь ", — сказал Кейл из Cequence.
API — это вычислительный интерфейс, который определяет взаимодействие между различными видами программного обеспечения — например, какие вызовы или запросы они могут делать, как их выполнять, какие данные они могут использовать, каким соглашениям следовать. Его можно использовать для расширения существующих функций программного обеспечения.
Мобильные приложения в значительной степени полагаются на API-интерфейсы для поддержки тех же серверных систем, которые поддерживают веб-приложения, отметил он.
«Злоумышленники разбирают мобильное приложение, а затем используют автоматизацию для атаки», — отметил Кейл. «API-интерфейсы не имеют состояния и могут включать в себя всю транзакцию, что затрудняет защиту».
Быстро развертываемые API-интерфейсы, которые, возможно, не соответствовали нормальному процессу разработки, обеспечения качества и публикации, — сказал Кейл.
Ориентация на мобильные API-интерфейсы является ожидаемой, потому что именно там трафик электронной коммерции растет быстрее всего, — сказал Наик из PerimeterX. Он заметил, что атака на мобильные API-интерфейсы проста и может использовать ту же инфраструктуру и механизмы атаки, что и атаки прямых API-интерфейсов и веб-API.
Защита розничных сайтов
Передовой практикой для предприятий розничной торговли будет "рассмотрение полного опыта потребителей и применение многоуровневых мер борьбы с мошенничеством, основанных на оценке риска, на соответствующем этапе с целью снижения риска и мошенничества, "Крис Шнипер, директор по борьбе с мошенничеством и идентификацией в LexisNexis Risk Solutions, сказал E-Commerce Times.
Многоуровневая безопасность использует несколько компонентов для защиты безопасности сети с несколькими уровнями мер безопасности, чтобы гарантировать, что каждый отдельный компонент защиты имеет резервную копию, покрывающую недостатки или пробелы в других средствах защиты. Думайте об этом как о римских солдатах, блокирующих свои щиты, стоя в боевом строю.
Такие элементы управления включают проверку скорости и оценку в реальном времени на начальном этапе для определения риска транзакции; цифровая идентификация и поведенческая биометрия для оценки периода просмотра клиентов; и дополнительные проверки аутентификации при оформлении заказа или авторизации.
Проверки скорости позволяют выявлять схемы мошенничества в течение определенного периода времени, например, интенсивное использование кредитной карты. Например, когда мошенники быстро совершают несколько покупок, чтобы максимально использовать украденную кредитную карту, как только им удастся совершить первую покупку.
Оценка мошенничества рассматривает каждый отдельный компонент транзакции по кредитной карте, чтобы определить вероятность того, что транзакция является несанкционированной, мошеннической или исходит из украденной кредитной карты или номера кредитной карты. Это включает использование службы проверки адреса и CVV2 — трех- или четырехзначного числа, напечатанного на лицевой или оборотной стороне карты.
Ваша цифровая личность основана на используемом вами веб-браузере, вашей истории веб-поиска, установленных подключаемых модулях и информации о вашем поведении в Интернете. Отслеживание этой личности — одна из причин, по которой компании устанавливают отслеживающие файлы cookie в браузерах посетителей своих веб-сайтов.
Поведенческая биометрия показывает, как люди делают то, что они делают. Это включает в себя то, как люди прокручивают или переключаются между телефонами, как они печатают и что они делают, когда посещают веб-сайт.
Атаки с целью захвата учетной записи
Например, посетители веб-сайта, которые переходят прямо на страницу входа, не нажимая на какие-либо другие ссылки или прокручивая сайт, скорее всего, будут ботами, выполняющими захват учетной записи (ATO) — предупредил Наик.
При атаке ATO хакеры используют украденную личную информацию, такую как чье-то имя, номер кредитной карты, почтовый адрес и / или номер социального страхования, чтобы получить доступ к онлайн-аккаунту.
«Инвестиции в цифровую идентификацию, поведенческую биометрию и другие инструменты аутентификации — это вложения, которые электронная коммерция и розничные торговцы могут сделать для того, чтобы в долгосрочной перспективе снизить общую стоимость мошенничества», — сказал Шнипер.
Более половины средних и крупных продавцов цифровых товаров, которые ответили на опрос LexisNexis Risk Solutions, заявили, что они полностью внедрили многоуровневый подход, который объединяет кибербезопасность, цифровой клиентский опыт и усилия по предотвращению мошенничества. Отстают те, кто продает только физические товары.
«Рассмотрите возможность внедрения автоматизированных технологий защиты веб-приложений, которые могут использовать сложные механизмы машинного обучения для обнаружения возникающих аномалий в режиме реального времени и которые блокируют злоумышленников от взлома или попыток атак захвата учетных записей», — посоветовал Наик.
«Настало время быть более бдительными, чем когда-либо, с тех пор, как вместе с пиками трафика растет число веб-атак». 
