Fałszywe zamówienia w sklepie WooCommerce - jak zatrzymać boty testujące karty

Seria zamówień na małe kwoty, z przypadkowymi danymi i odrzuconymi płatnościami to najczęściej testowanie kart: bot sprawdza w Twoim sklepie, które skradzione karty działają. Zatrzymasz to warstwami: ochroną formularza zamówienia, limitem prób, narzędziami antyfraudowymi operatora płatności i wyłączeniem tego, czego sklep nie potrzebuje, np. otwartej rejestracji kont.

Jak rozpoznać fałszywe zamówienia i testowanie kart?

Po nagłym wzroście liczby zamówień nieudanych lub oczekujących na płatność, złożonych w krótkim czasie, na małe kwoty i z danymi, które nie mają sensu. Pojedyncze nieopłacone zamówienie to zwykle porzucona płatność, a nie atak.

• dziesiątki zamówień ze statusem Nieudane lub Oczekuje na płatność w ciągu godziny, często w nocy,
• w notatkach zamówień kolejne odmowy karty, a w panelu operatora seria odrzuconych transakcji,
• zamówienia na najtańszy produkt, darowiznę albo produkt z ceną wpisywaną przez klienta,
• przypadkowe imiona i nazwiska, adresy e-mail z losowych znaków, ten sam adres przy różnych nazwiskach,
• w polu atrybucji zamówienia brak danych o pochodzeniu albo jedna odsłona w sesji, co może oznaczać, że zamówienie złożono skryptem z pominięciem stron sklepu.

Prawdziwy klient po odmowie karty zwykle próbuje innej metody płatności, ponawia zamówienie z tymi samymi danymi albo pisze do sklepu. Bot zachowuje się inaczej: w kolejnych zamówieniach zmienia karty, nazwiska i adresy, a odstępy między próbami liczy się w sekundach.

Jeśli zamówienia czekają na płatność, a klienci twierdzą, że zapłacili, to inny problem. Opisujemy go we wpisie klient zapłacił, a zamówienie oczekuje na płatność.

Dlaczego boty wybierają akurat Twój sklep?

Bo formularz zamówienia z płatnością kartą jest dla nich darmowym testerem: każda próba daje odpowiedź banku, czy karta działa. Im łatwiej złożyć zamówienie bez weryfikacji, tym łatwiejszy cel.

Otwarte zamówienie bez ochrony

Zamówienie jako gość, bez ochrony przed botami i bez limitów, można wysyłać skryptem setki razy. Boty często omijają samą stronę zamówienia i wysyłają żądania bezpośrednio do interfejsu sklepu (Store API), z którego korzysta zamówienie zbudowane z bloków. Ochrona dodana tylko do wyglądu formularza wtedy nie działa.

Tanie produkty i kwota dowolna

Produkty za kilka złotych, darowizny i produkty z ceną wpisywaną przez klienta pozwalają testować karty małymi kwotami, których właściciel karty łatwo nie zauważy na wyciągu.

Zapisywanie kart i otwarta rejestracja

Jeśli każdy może założyć konto i dodać kartę w Moim koncie, bot sprawdza karty bez tworzenia zamówień. W sklepie prawie nic nie widać, a odrzucenia rosną u operatora. Otwarta rejestracja przyciąga też boty, które zakładają konta do spamu, a maile powitalne na przypadkowe adresy psują reputację domeny.

Słabe reguły antyfraudowe u operatora

Operatorzy płatności mają mechanizmy wykrywania ataków, ale ich skuteczność zależy od integracji i ustawień. Stara wtyczka bramki, która nie przekazuje operatorowi danych o kliencie i adresu IP, utrudnia rozpoznanie ataku.

Co zrobić od razu, gdy atak trwa?

Najpierw ogranicz możliwość składania zamówień i powiadom operatora płatności, a porządki w zamówieniach zrób, gdy nowe próby przestaną napływać.

1. Tymczasowo ukryj najtańsze produkty, darowizny i produkty z dowolną kwotą.
2. Na czas ataku wyłącz zamówienia jako gość, a jeśli boty dodają karty w Moim koncie, wyłącz zapisywanie kart.
3. Włącz ochronę formularza zamówienia i limit prób (opis niżej).
4. Zgłoś atak operatorowi płatności: podaj przedział czasu, przykładowe numery zamówień i transakcji oraz adresy IP z logów serwera, poproś o zaostrzenie reguł i zapytaj o zwrot opłat za fałszywe transakcje.
5. Płatności, które przeszły, zwróć jak najszybciej, żeby uniknąć sporów i obciążeń zwrotnych, a fałszywe zamówienia anuluj i niczego nie wysyłaj.

Jak zabezpieczyć zamówienie przed botami na stałe?

Najlepiej działa połączenie kilku warstw: weryfikacji niewidocznej dla większości klientów, limitu żądań i reguł operatora. Pojedynczy filtr, np. blokada adresów IP, zwykle nie wystarcza, bo boty zmieniają adresy.

WooCommerce ma wbudowany limit żądań dla zamówienia. W WooCommerce, Ustawienia, Zaawansowane, Funkcje włączysz go dla zamówienia na blokach, a programista może dopasować limity filtrem. To dobre uzupełnienie ochrony formularza, bo działa także wtedy, gdy bot pomija stronę zamówienia.

Fałszywe konta bez zamówień

Jeśli sklep nie potrzebuje kont zakładanych w Moim koncie, wyłącz tę opcję i zostaw zakładanie konta przy zamówieniu albo zamówienia jako gość chronione weryfikacją. Usuń fałszywe konta i sprawdź, czy żadne z nich nie ma roli wyższej niż Klient.

Porządki w danych po ataku

Fałszywe zamówienia i konta zaśmiecają raporty, bazę klientów i listy mailingowe. Usuń fałszywe adresy z narzędzia do wysyłki maili, żeby nie psuły reputacji domeny, a porównując sprzedaż z poprzednimi okresami, pomijaj dni ataku albo filtruj zamówienia nieudane i anulowane.

Lista kontrolna po ataku

• nowe próby ustały, a liczba odrzuceń u operatora wróciła do zwykłego poziomu,
• zamówienie jest chronione weryfikacją i limitem, także na stronie zamówienia z bloków,
• w sklepie nie ma produktów z dowolną kwotą bez minimum,
• wtyczka bramki płatności jest zaktualizowana, a operator powiadomiony,
• fałszywe zamówienia anulowane, opłacone zwrócone, fałszywe konta usunięte,
• sklep wysyła powiadomienie przy nagłym wzroście liczby nieudanych zamówień.

Zabezpieczenie zamówienia, aktualizację bramek płatności i monitoring wdrażamy w ramach prac przy sklepach WooCommerce. Ten problem jest jednym z naszej listy 100 problemów z WooCommerce.