Fraud detection ломается не на «сложных ботах», а на плохой схеме сигналов

Fraud detection ломается не на «сложных ботах», а на плохой схеме сигналов

Если воронка ловит только очевидные прокси и одинаковые UA, её быстро обходят. Рабочая схема строится не на одном триггере, а на связке: поведение, устройство, сеть, тайминг и повторяемость действий. Один слабый сигнал почти ничего не значит; три-четыре совпадения уже дают полезный риск-скор.

Что обычно проверяют вручную и в автоматике:
— скорость заполнения форм и переходов между экранами;
— стабильность fingerprint: canvas, WebGL, шрифты, media, timezone;
— консистентность IP, ASN, geo и языка браузера;
— паттерны кликов: ровные интервалы, одинаковая траектория, отсутствие микропауз.

Есть наблюдение которое стоит проверить: фрод часто выглядит не как «слишком быстрый», а как слишком ровный. Настоящий пользователь ошибается, возвращается назад, меняет темп, иногда делает лишний клик. Автоматизация, даже аккуратная, чаще оставляет повторяемость в мелочах.

Если строите защиту, не завязывайтесь на один жёсткий блок. Лучше отправлять подозрительные сессии в step-up: доп.проверку, ручную верификацию, задержку в выдаче статуса. Так вы режете фрод без потери нормального трафика и не раскрываете, какой именно сигнал сработал.