Fraud detection ломается не на трафике, а на неверных сигналах

Fraud detection ломается не на трафике, а на неверных сигналах

Чаще всего антифрод начинают строить вокруг одной метрики: IP, cookie, device ID или поведенческого скоринга. Это удобно для отчёта, но плохо для защиты: один и тот же признак легко подделать, переиспользовать или размыть шумом.

Рабочая схема всегда многослойная:
— сетевой слой: ASN, прокси, гео-аномалии, частота смены IP;
— browser layer: fingerprint, canvas, WebGL, timezone, fonts, headless-следы;
— поведение: скорость заполнения, паттерн кликов, порядок полей, возвраты назад;
— бизнес-логика: повторные заявки, однотипные данные, связки по адресу, почте, телефону.

Слабое место многих систем — отсутствие корреляции. Отдельно каждый сигнал выглядит «чистым», но в связке даёт картину: новый девайс, одинаковый прокси-пул, одинаковый ритм формы, похожая структура e-mail. Именно на этом ловят не только ботов, но и ручной фарм.

Если строите защиту, начинайте не с блокировки, а с ранжирования риска: сначала флаг, потом задержка, потом challenge, и только затем отказ. Такой порядок снижает ложные срабатывания и даёт шанс отсеять мусор без удара по конверсии.