Fraud detection ломается не на “умных” схемах, а на грязных сигналах и слабых порогах

Fraud detection ломается не на “умных” схемах, а на грязных сигналах и слабых порогах

Если смотреть на антифрод как на одну кнопку, команда почти всегда опаздывает. Рабочая схема — это не один скоринг, а связка: поведение, устройство, сессия, платёжный след и повторяемость паттернов. Когда один слой молчит, другой должен подхватить.

Что проверяют в первую очередь:
— одинаковые браузерные отпечатки при разных аккаунтах;
— неестественную длину сессии и скорость кликов;
— рассинхрон между гео, языком, timezone и платёжным профилем;
— повторяющиеся цепочки действий: регистрация → деп → вывод без пауз.

Есть наблюдение которое стоит проверить: ложноположительные срабатывания чаще растут не из-за “слишком строгой модели”, а из-за плохой нормализации источников. Если прокси, device fingerprint и поведение сравниваются в разных шкалах, система начинает штрафовать обычного пользователя за шум.

Полезная привычка для команды — разделять фрод на два типа: массовый и целевой. Массовый ловится правилами и порогами, целевой — только контекстом и накоплением слабых сигналов. Иначе защита будет либо слишком мягкой, либо начнёт резать живой трафик.

Сильный антифрод строится не вокруг идеальной точности, а вокруг хорошей деградации: сначала мягкая проверка, потом усиление, и только затем блок.