<b>Fraud detection ломается не на сигналах, а на их комбинации</b>

<b>Fraud detection ломается не на сигналах, а на их комбинации</b>

Один IP, одна скорость кликов или один «подозрительный» девайс почти ничего не доказывают. Ошибка многих команд — строить блок на одиночном флаге и затем удивляться, почему ручные проверки режут конверт сильнее, чем фрод. Работает не триггер, а связка: поведение, устройство, сеть, сессия, история аккаунта.

Собирайте не «черный список», а профиль риска:
— слишком ровная навигация и одинаковые паузы;
— несовпадение таймзоны, языка, гео и IP-поведения;
— повторяемые отпечатки браузера при разных аккаунтах;
— аномальная плотность событий: клик, форма, апрув, возврат;
— короткий цикл от входа до целевого действия без естественных промежутков.

Дальше важен порядок проверки. Сначала режут явные боты и скрипты, потом — серые кластеры, и только после этого включают жесткие блоки. Если смешать уровни, вы начнете банить живой трафик вместе с мусором и потеряете сигнал, по которому можно дообучать правила. Удобнее вести риск как ступени: observe, challenge, restrict, block.

<b>Хорошая антифрод-схема не ищет идеального бота — она находит статистически неестественный паттерн и проверяет его несколькими слоями.</b>