افزایش کلاهبرداری آنلاین در فروشگاه‌ های اینترنتی: تهدیدها، پیامدها و راهکارها

مجرمان سایبری چگونه فروشگاه‌ اینترنتی شما را هدف قرار می‌ دهند و چگونه می توان از آن ‌ها پیشگیری کرد؟

شرکت ایده ارتباط تراشه (نماینده رسمی محصولات کسپرسکی در ایران): بر اساس داده‌ های موسسه تحقیقاتی Juniper Research، گردش مالی تجارت الکترونیکی جهانی در سال 2024 از مرز 7 تریلیون دلار عبور کرده و پیش ‌بینی می ‌شود طی پنج سال آینده 1.5 برابر رشد کند. اما علاقه مجرمان سایبری به این حوزه حتی با سرعت بیشتری در حال افزایش است. سال گذشته، زیان‌ های ناشی از کلاهبرداری بیش از 44 میلیارد دلار بود - و انتظار می ‌رود طی پنج سال آینده به 107 میلیارد دلار برسد.

هر پلتفرم آنلاینی - بدون توجه به اندازه یا حوزه فعالیت - می ‌تواند هدف حملات قرار گیرد؛ چه یک بازار محتوای دیجیتال باشد، چه فروشگاه ابزارآلات، آژانس مسافرتی یا حتی وب‌ سایت یک پارک آبی. اگر پرداخت آنلاین می ‌پذیرید، برنامه وفاداری مشتری دارید یا امکان ساخت حساب کاربری فراهم کرده ‌اید، مطمئن باشید که کلاهبرداران سایبری به سراغتان خواهند آمد. اما کدام‌ یک از طرح ‌های کلاهبرداری رایج ‌ترند، چه نوع خساراتی به بار می ‌آورند، و چگونه می ‌توان از آن‌ ها جلوگیری کرد؟

به لطف بدافزارهای سرقت اطلاعات (Infostealers) و افشای پایگاه‌ داده ‌های مختلف، مهاجمان اکنون به میلیاردها ترکیب ایمیل و رمز عبور که در سایت ‌های گوناگون استفاده شده ‌اند دسترسی دارند. آن ‌ها می‌ توانند این ترکیب‌ ها را در سایر سایت ‌هایی که امکان ایجاد حساب کاربری دارند امتحان کنند، با این فرض که بسیاری از کاربران از یک رمز عبور برای چندین سرویس مختلف استفاده می کنند. این روش حمله، "پر کردن اطلاعات هویتی" یا Credential Stuffing نام دارد. در صورت موفقیت، مهاجم می ‌تواند با کارت بانکی متصل به حساب قربانی سفارش ثبت کند یا از امتیازهای وفاداری او سوء استفاده نماید. همچنین، مجرمان سایبری ممکن است با استفاده از حساب‌ های به‌ خطر ‌افتاده، پرداخت ‌های تقلبی با کارت ‌های اعتباری دیگر انجام دهند.

همان ‌طور که مهاجمان می ‌توانند به پایگاه‌ داده ‌ای از اطلاعات ورود دسترسی داشته باشند، ممکن است مجموعه ‌ای از داده ‌های کارت ‌های اعتباری یا بانکی را نیز از طریق بدافزارها به دست آورده باشند. آن‌ ها برای بررسی این‌ که کدام کارت ‌ها هنوز معتبرند و قابلیت انجام پرداخت آنلاین دارند، باید آن ‌ها را آزمایش کنند - و برای این منظور، هر فروشگاه آنلاین می ‌تواند هدف قرار گیرد. این خریدهای آزمایشی معمولا با مبالغ پایین انجام می‌ شوند. پس از شناسایی کارت ‌های فعال، این اطلاعات به دیگر مجرمان فروخته می‌ شود تا در مقیاس بزرگ ‌تر حساب قربانی را خالی کنند.

از نگاه فروشگاه، این فعالیت‌ ها شبیه مشتری ‌ای هستند که مجموعه ‌ای از اقلام ارزان ‌قیمت را به سبد خرید اضافه کرده و بارها تلاش می‌ کند پرداخت را با کارت ‌های مختلف انجام دهد. حتی فروشگاه‌ های کوچک نیز ممکن است با صدها سبد خرید رها شده مواجه شوند. در نهایت، درگاه پرداخت ممکن است فروشگاه را به دلیل عبور از سقف مجاز تراکنش ‌های ناموفق، به ‌طور موقت مسدود کند.

در برخی موارد، مشتریان واقعی پس از ثبت سفارش و دریافت کالا یا خدمات، به بانک خود اعلام می ‌کنند که خریدی انجام نداده ‌اند و تقاضای بازپرداخت وجه می‌ کنند. این‌ گونه اقدامات ممکن است ناشی از کلاهبرداری عمدی باشد، یا در مواردی صرفا نتیجه استفاده بدون اجازه یکی از اعضای خانواده از کارت فرد دیگر - برای مثال، نوجوانی که از کارت والدین خود استفاده کرده است. هرچند چنین مواردی معمولا در مقیاس کوچک اتفاق می ‌افتند، اما می ‌توانند زیان جدی به فروشگاه وارد کنند - به‌ ویژه اگر نام فروشگاه در انجمن ‌های آنلاین مانند گروه ‌های "ترفند زندگی" (Lifehacker) به‌ عنوان سایتی که به‌ راحتی پول را پس می ‌دهد، مطرح شود. این شهرت می‌ تواند فروشگاه را به هدفی آسان برای سوء استفاده ‌های بیشتر تبدیل کند.

بسته به حوزه فعالیت، موقعیت جغرافیایی و سایر عوامل فروشگاه شما، مجرمان سایبری ممکن است برای نقد کردن کارت ‌های اعتباری سرقت ‌شده اقدام به خرید کالا یا خدمات کنند. این اقدام می‌ تواند منجر به موجی از سفارش ‌های مشکوک و در پی آن، سیلی از اعتراض ‌ها و لغو تراکنش ‌ها شود. در برخی موارد شدید، صرفا حجم بالای سفارش‌ های تقلبی خود یک تهدید است - برای مثال، یک فروشگاه با بیش از 118 هزار سفارش جعلی مواجه شد؛ یعنی یک سفارش جعلی در هر سه ثانیه ثبت می ‌شد.

اگر فروشگاه شما کارت هدیه می ‌پذیرد، بات‌ ها ممکن است به‌ صورت خودکار و با روش حمله Brute-Force، هزاران شماره کارت هدیه و کد تایید را امتحان کنند تا موارد معتبر را پیدا کنند. پس از شناسایی کارت‌ های معتبر، از آن‌ ها یا برای خرید استفاده می ‌شود یا در بازارهای ثانویه به فروش می ‌رسند.

اگر فروشگاه شما اجازه می‌ دهد خرید با استفاده از امتیازهای وفاداری بدون تایید اضافی (مانند ارسال پیامک یا احراز هویت دو مرحله‌ ای) انجام شود، مهاجمان می ‌توانند پس از دسترسی به حساب، فورا موجودی امتیاز را تخلیه کنند. گاهی نیز منتظر می‌ مانند تا قربانی امتیاز بیشتری جمع‌ آوری کند، سپس حمله را انجام می ‌دهند. این حالت اغلب در فروشگاه ‌هایی دیده می‌ شود که کالاهای گران ‌قیمت عرضه می کنند و مشتریان وفاداری دارند.

اگر فروشگاه شما بلیت کنسرت‌ های پرطرفدار یا کفش‌ های ورزشی نسخه محدود می‌ فروشد، باید آماده مقابله با سودجویانی باشید که از بات ‌های خودکار اسکالپر استفاده می ‌کنند. این بات‌ ها می‌ توانند در عرض چند دقیقه کل موجودی کالاهای انحصاری را خریداری کنند، پیش از آن ‌که مشتریان واقعی حتی فرصتی برای ثبت سفارش پیدا کنند. سپس این افراد کالاها را با قیمت‌ های بسیار بالاتر در بازارهای ثانویه به فروش می ‌رسانند - روندی که باعث نارضایتی شدید مشتریان وفادار می‌ شود. یک بازار سیاه فعال برای بات ‌هایی وجود دارد که مخصوص پلتفرم ‌های فروشگاهی محبوب طراحی شده ‌اند، مانند Shopifybot.

برای اجرای موفق طرح ‌های تقلبی بالا، مهاجمان معمولا صدها یا هزاران حساب کاربری در فروشگاه شما ایجاد می‌ کنند. این اقدام علاوه بر تهدید امنیتی، هزینه‌ های عملیاتی را نیز افزایش می‌ دهد - مانند ارسال خودکار پیامک‌ های خوش‌ آمدگویی یا اجرای کمپین ‌های ایمیلی برای پیگیری.

حتی اگر شما یا مشتریانتان مستقیما متحمل زیان مالی یا از دست دادن کالا نشوید، هر یک از طرح ‌های کلاهبرداری ذکر شده می‌ تواند مجموعه ‌ای از مشکلات و هزینه ‌ها را به همراه داشته باشد:

• هزینه ‌های ناشی از تراکنش ‌های جعلی و پرداخت ‌های ناموفق تکراری. بسته به شرایط و مفاد قرارداد شما با درگاه پرداخت، ممکن است ناچار شوید هزینه‌ های مربوط به تراکنش، کارمزد بازپرداخت (Chargeback)، جریمه ‌ها و هزینه‌ های جانبی دیگر را پرداخت کنید. همچنین، ممکن است به دلیل حجم بالای تراکنش‌ های ناموفق، از سقف مجاز عبور کرده و موقتا دسترسی به درگاه پرداخت را از دست بدهید - که این امر می ‌تواند عملا روند فعالیت عادی فروشگاه را مختل کند.
• هزینه ‌های تبلیغات و تحلیل‌ های آماری مخدوش. بات‌ ها اغلب از طریق لینک ‌های ارجاعی، تبلیغات کلیکی (مانند گوگل ادز) و سایر روش ‌های تبلیغاتی آنلاین وارد سایت می‌ شوند. این به این معناست که بخشی از بودجه واقعی تبلیغات شما صرف جذب کاربران غیر واقعی می شود. حتی اگر بات ‌ها مستقیما بودجه تبلیغات را مصرف نکنند، فعالیت آن ‌ها می‌ تواند الگوریتم ‌های پلتفرم ‌های تبلیغاتی را دچار اختلال کرده و در نهایت، باعث کاهش کیفیت ترافیک ورودی به سایت شما شود.
• هزینه ‌های کمپین ‌های بازاریابی و پروموشن‌ هایی که مورد سوء استفاده قرار می ‌گیرند. کاربران واقعی ممکن است با ساخت حساب‌ های جدید از مزایای ثبت‌ نام (مانند تخفیف اولین خرید) به‌ طور مکرر استفاده کنند. در این میان، کلاهبرداران نیز به دنبال شناسایی ضعف ‌ها و دریافت گسترده پاداش ‌ها از طریق روش ‌های غیر صادقانه هستند. نتیجه آن است که بودجه‌ ای که برای جذب کاربر جدید یا تقویت وفاداری مشتری اختصاص یافته، هدر می‌ رود و بازده واقعی کمپین‌ ها کاهش می ‌یابد.
• برنامه‌ ریزی نادرست. تعداد زیاد سفارش های جعلی می ‌تواند تحلیل داده‌ های فروش را به ‌شدت دشوار کند - به‌ ویژه اگر به ابزارهای پیش ‌فرض تحلیلی موجود در پلتفرم فروشگاه آنلاین خود تکیه کرده باشید. در نتیجه، پیش‌ بینی تقاضا و مدیریت موجودی کالا بسیار پیچیده و غیر‌ دقیق خواهد شد.
• اتلاف وقت. رسیدگی به صدها سبد خرید رها شده، هزاران حساب جعلی و بی‌ شمار تلاش ناموفق برای پرداخت، وقت و انرژی کارکنان شما را هدر می‌ دهد. این موضوع منجر به تاخیر در فرآیندها و افزایش هزینه‌ های عملیاتی می ‌شود.
• نارضایتی مشتریان. بسته به نوع حمله، مشتریان ممکن است با خسارات مستقیم مواجه شوند (مانند سرقت پول، از دست رفتن امتیاز وفاداری یا فعالیت مشکوک در حساب کاربری)، یا با مشکلات غیر مستقیم رو به ‌رو شوند (مانند کمبود کالا یا اختلال در پرداخت). در هر دو حالت، این بار بر دوش تیم‌ های پشتیبانی و بازاریابی خواهد بود تا با ارائه تخفیف، جبران خسارت و سایر اقدامات، رضایت مشتریان را بازیابی کنند. اما در بسیاری از موارد، مشتری ناراضی فروشگاه را ترک می‌ کند - و دیگر هرگز باز نمی ‌گردد.

بدون شک، بر اساس برخی برآوردها، برای هر صد دلار سفارش تقلبی، کسب‌ و کارها بیش از دو برابر آن مبلغ را به‌ صورت مجموع هزینه ‌های جانبی و زیان ‌های دیگر متحمل می ‌شوند.

زمانی که تنها با فیلتر کردن آدرس ‌های IP یا افزودن کپچا (CAPTCHA) در مرحله پرداخت، بات‌ ها را مسدود می کردند، گذشته است. رشد سریع هوش مصنوعی نه‌ تنها به اتوماسیون در بازاریابی و پشتیبانی مشتری کمک کرده، بلکه به نسل جدیدی از بات‌ های کلاهبرداری خطرناک نیز قدرت داده است که به ‌راحتی از روش‌ های محافظتی سنتی عبور می ‌کنند.

به همین دلیل، کسب‌ و کارها در هر اندازه و حوزه فعالیت نیازمند بهره‌ گیری از فناوری ‌های امنیتی پیشرفته ‌ای هستند که بتوانند به ‌طور مستمر و لحظه ‌به ‌لحظه، رفتار هر کاربر را از زمان ورود به سایت تا تکمیل فرآیند خرید رصد کنند. این نوع محافظت مداوم، امکان شناسایی سریع هرگونه رفتار غیر عادی را فراهم می ‌آورد - چه در قالب نفوذ به حساب‌ های کاربری واقعی، سوء استفاده از API درگاه پرداخت، ثبت انبوه حساب ‌های جعلی یا تلاش برای عبور از سیستم‌ های امنیتی.

راهکار پیشرو در این حوزه، سامانه پیشگیری از کلاهبرداری کسپرسکی (Kaspersky Fraud Prevention) است. این سیستم با تحلیل مداوم دستگاه کاربر، رفتار، محیط و داده‌ های فرامتنی به ‌صورت لحظه ‌ای، پروفایلی از کاربر واقعی ایجاد می‌ کند، ناهنجاری ‌ها را در مراحل اولیه شناسایی کرده و از نفوذ به حساب ‌ها و کلاهبرداری جلوگیری می ‌کند. راهکار ضد کلاهبرداری کسپرسکی (کسپرسکی فراود پریونشن) با استفاده از قوانین انعطاف ‌پذیر که هم داده‌ های داخلی فروشگاه شما و هم تحلیل ‌های جهانی را به کار می ‌گیرد، می تواند متناسب با نیازهای خاص کسب ‌و کار شما تنظیم و سفارشی ‌سازی شود. این راهکار نیازی به نصب روی دستگاه کاربر ندارد و با کمترین تلاش در وب‌ سایت و اپلیکیشن موبایل شما ادغام می‌ شود.

بسیاری از مدیران سایت ‌ها گزارش می ‌دهند که تحلیل ‌های پیشرفته ضد کلاهبرداری، در واقع تجربه کاربری را بهبود می ‌بخشد - زیرا کاربران واقعی با تعداد کمتری CAPTCHA، تایید هویت پیامکی و سایر موانع مواجه می‌ شوند. در نهایت، کسب ‌و کار شما با کاهش زیان ‌ها می‌ تواند تمرکز بیشتری بر توسعه محصولات و خدمات خود داشته باشد.