<b>Fraud detection ломается не на трафике, а на плохих сигналах и шумных правилах</b>

<b>Fraud detection ломается не на трафике, а на плохих сигналах и шумных правилах</b>

Если антифрод строится только на одном поле — он быстро начинает ловить не фрод, а нормальных пользователей. Слишком агрессивные фильтры режут конверт, слишком мягкие — пропускают мусор. Рабочая схема почти всегда начинается с комбинации признаков, а не с одного «главного» флага.

Что обычно проверяют в первую очередь:
— совпадение IP, ASN, гео и языка браузера;
— скорость действий: регистрация, клики, ввод форм, переходы между шагами;
— консистентность fingerprint: canvas, WebGL, timezone, fonts, audio;
— поведение сессии: возвраты, refresh, повторные попытки, одинаковые паттерны.

Слабое место многих правил — они не учитывают контекст. Один и тот же признак может быть нормой для мобайла, подозрительным для десктопа и почти гарантированным фродом в связке с прокси и подменой UA. Поэтому важнее не отдельный сигнал, а их связка и вес каждого в сумме.

Хорошая практика — разделять детект на уровни:
— быстрые блоки на явные несоответствия;
— score-модель на спорные кейсы;
— ручную проверку только для пограничных сессий. 🧩

Если антифрод слишком сложный, его тяжело тюнить. Если слишком простой — его легко обойти. Сильная система не пытается поймать всё, она стабильно отделяет шум от поведения, которое повторяется слишком одинаково.