Anti-Fraud WHMCS • Rilevamento e Prevenzioni dalle Frodi

Pagamenti non autorizzati

Hai appena avviato la tua attività con WHMCS attraversando le difficoltà tipiche della creazione di un'azienda di hosting. I pagamenti continuano ad arrivare fino a quando un giorno inizi a ricevere ordini fraudolenti. Cosa fare adesso? Come si gestiscono?

Distinguere tra gli ordini falsi e quelli reali certe volte è proprio difficile. Le cose si complicano quando tali ordini vengono effettuati da persone fisiche aziché da bot. In entrambi i casi la sostanza non cambia. Ricevere questi ordini danneggia la tua attività perché costano tempo e denaro.

Il problema principale è che in qualità di venditore devi farti carico della responsabilità finanziaria. Quando il vero proprietario della carta di credito segnala di non aver autorizzato il pagamento, sarà emesso un rimborso a tue spese. Ciò include anche le tariffe di pagamento. Come se non fosse abbastanza, il più delle volte avrai anche già attivato il servizio.

L'entità dei danni dipende dagli articoli presenti nell'ordine. I piani hosting si possono cancellare senza costi aggiuntivi se non il tempo impiegato per farlo. I domini tuttavia sono una storia a parte. Quando un dominio viene registrato non è in alcun modo possibile annullare l'operazione. Ecco quindi che ti ritrovi ad aver registrato un dominio in perdita oltre al tempo sprecato per gestire l'ordine.

Analisi del rischio di frode

L'unico modo per proteggersi efficacemente dalle frodi è quello di adottare diversi strumenti. Non è sufficiente affidarsi ad un solo strumento poiché ciascuno di essi è concepito per risolvere una parte del problema.

Stabilire quali sono gli strumenti da utilizzare non è semplice in quanto ci sono sempre nuove tecniche e rischi da cui proteggersi. Non vogliamo annoiarti con i dettagli quindi andremo direttamente al punto spiegando cosa puoi fare in WHMCS.

Nella tabella seguente abbiamo suddiviso le attività sospette in tre categorie. Per affrontare ciascuna di esse c'è uno strumento diverso.

Ordini fraudolenti da bot

Il captcha può tenere lontanti la stragrande maggioranza dei bot. È efficace nell'impedire ordini e registrazioni false nonché lo spam nei ticket di supporto. Ciò premesso, non tutti i captcha sono uguali.

WHMCS è integra reCAPTCHA v2 a partire dalla 7.0 ed Invisible reCAPTCHA dalla 7.7. Tra le due opzioni è preferibile utilizzare quest'ultima in quanto non richiede alcun intervento da parte del cliente. Per quanto riguarda l'opzione Default (codice di verifica a 5 caratteri), è noto che è del tutto inutile. Qualsiasi bot può aggirarlo.

Google reCAPTCHA rappresenta la tua prima linea di difesa contro gli ordini fraudolenti. Già solo con questo strumento puoi risparmiarti ore di inutili lotte contro i bot. La bella notizia è che è anche gratuito e di facile implementazione.

Ordini fraudolenti da persone

Il captcha non può nulla contro gli ordini effettuati da veri truffatori (non bot). Per fermarli si deve utilizzare una tattica diversa. La seconda linea di difensiva è basata su servizi di protezione dalle frodi.

WHMCS può eseguire automaticamente controlli sugli ordini per identificare e bloccare potenziali frodi. Ciò è possibile grazie a servizi di terze parti come FraudLabs Pro e MaxMind. Questi assolvono allo stesso scopo pertanto non si possono essere utilizzati simultaneamente.

Il loro funzionamento è simile a un servizio antispam. Ad ogni email che passa attraverso i filtri viene assegnato un punteggio di spam. Allo stesso modo FraudLabs Pro e MaxMind classificano gli ordini assegnando loro un punteggio di rischio.

Entrambe le soluzioni sono economiche ma i sistemi di protezione basati su punteggio presentano i seguenti difetti:

• Alcuni truffatori sanno come eludere i controlli
• Ordini legittimi potrebbero essere contrassegnati erroneamente come fraudolenti e viceversa
• I clienti che viaggiano spesso avranno problemi a passare i controlli

È possibile regolare il punteggio minimo richiesto per contrassegnare un ordine come fraudolento per avitare i falsi positivi. Ma è ancora più importante visitare Setup > General Settings > Ordering ed attivare la seguente opzione. In questo modo i clienti che sono già stati verificati non saranno nuovamente controllati. L'opzione si rivela particolarmente utile per i clienti che si trovano spesso all'estero.

Come terza linea di difesa si può implementare la verifica via SMS / telefono. FraudLabs Pro supporta la verifica SMS. Puoi trovare delle alternative nel Marketplace di WHMCS. Anni fa questo tipo di protezione era molto efficace. Lo è ancora ma oggigiorno esistono molti modi per eludere il controllo. I truffatori possono acquistare identità, schede SIM e numeri di telefono temporanei per pochi euro.

Come riconoscere i pagamenti fraudolenti

La maggior parte degli ordini fraudolenti può essere prevenuta con il captcha, i servizi di protezione dalle frodi e la verifica via SMS. Fino a qui tutto bene però ricorda che l'ultima linea di difesa sei tu. Impara a identificare gli ordini sospetti utilizzando lo schema fornito in precedenza (categoria Comporamento).

Ci sono un paio di altre cose che puoi fare per aumentare ulteriormente la sicurezza. Potresti disabilitare il provisioning automatico per i nuovi clienti. Visita Setup > General Settings > Ordering e cerca la seguente opzione. Così facendo WHMCS non procederà alla registrazione dei domini o alla creazione degli hosting senza il tuo intervento manuale.

In alternativa puoi limitare il provisioning automatico per specifici prodotti e servizi. Apri Setup > Products/Services > Products/Services. Modifica il prodotto e clicca il tab Module Settings. Tieni presente che quetsa opzione si applica a tutti i clienti sia nuovi che vecchi. Si raccomanda di utilizzare questo approccio per i servizi VPS che attirano i truffatori come api sul miele.

La verità nascosta sulle frodi in WHMCS

Questa parte della guida che contiene le brutte notizie. Il captcha ed i servizi di protezione dalle frodi non impediscono ai truffatori di inviare pagamenti. Di conseguenza WHMCS emetterà fatture per ordini fraudolenti. Da qui si originano due problemi.

Primo. I pagamenti fraudolenti vengono generalmente rimborsati dagli istituti bancari nel giro di un paio di giorni. Nel frattempo è molto probabile che tu abbia già provveduto ad attivare l'ordine. In parole povere hai perso denaro ma se gli articoli coinvolti nell'ordine non sono rimborsabili (es. i domini), non potrai nemmeno recuperare le spese che hai sostenuto.

Secondo. La fattura risultante da un pagamento non autorizzato deve comunque essere registrata ed annullata mediante l'emissione di una nota di credito che WHMCS di default non supporta. In alcuni paesi l'eccessiva emissione di note di credito genera dei sospetti. C'è il rischio concreto di attirare attenzioni indesiderate.

Il punto della questione è che WHMCS blocca le frodi dopo il pagamento. Ciò significa che resta comunque il rischio di perdere soldi oltre che tempo a causa dei chargeback. La buona notizia è che esiste una soluzione. La verifica via SMS può concretamente bloccare il tentativo di frode prima del pagamento. In alternativa puoi utilizzare l'anti frode integrato in Billing Extension che è un modulo per WHMCS.

Questo anti frode si basa sul principio delle fatture soppresse. Billing Extension lo sfrutta per permette l'emissione di fatture mensili ma il concetto si può estendere alle frodi. In breve il modulo permette di posporre l'emissione della fattura per i nuovi clienti. Tali fatture possono essere emesse in qualsiasi momento manualmente da questa interfaccia.

Ecco il punto. In genere ci vogliono un paio di ore o giorni affinché gli emittenti di carte di credito, gli istituti bancari ed i gateway (es. PayPal, Stripe) rivelino un pagamento fraudolento avviando la pratica di chargeback.

È proprio su questo che possiamo basare la nostra strategia anti frode. Attenti sempicemente una settimana prima di emettere la fattura per i pagamenti ricevuti dai nuovi clienti. Una volta che la fattura è stata emessa il cliente viene contrassegnato come legittimo e non è più soggetto a controlli anti frode.