Серая зона антифрода: что проверять, когда платёж подозрителен, но не блокируется

Новое устройство. Нетипичная сумма. Другой город. Каждый из этих сигналов в отдельности — не повод блокировать платёж. Но вместе они создают ту самую серую зону, где любое решение может обойтись дорого: пропустишь мошенника — получишь чарджбек или претензию, заблокируешь честного клиента — потеряешь продажу и лояльность.

Для мерчантов, работающих с приёмом рублей через СБП, эта проблема особенно острая: высокий поток транзакций, разнородная аудитория, и каждый лишний отказ — это упущенная выручка. Разберём, как выстроить логику проверок в серой зоне, чтобы не жертвовать ни безопасностью, ни конверсией.

Что такое серая зона в антифроде

Серая зона — это транзакции, у которых есть несколько слабых сигналов риска, но ни один из них не достигает порога для автоматического отказа. Типичные признаки:

• первый платёж с нового устройства или браузера;
• сумма заметно выше или ниже среднего чека клиента;
• геолокация не совпадает с привычной;
• необычное время суток для данного пользователя;
• короткий интервал между регистрацией и первой оплатой.

Ни один из этих факторов сам по себе не означает мошенничество. Человек мог купить новый телефон, уехать в командировку или просто впервые воспользоваться сервисом. Задача системы — не паниковать, а сделать ещё одну прицельную проверку.

Логика «ещё одной проверки»

Прежде чем отправлять транзакцию на ручной разбор (что замедляет процесс и раздражает клиента), стоит попробовать один дополнительный шаг. Выбор шага зависит от того, какой сигнал является ведущим.

Новое устройство → проверка устройства и сессии

Если риск-сигнал — незнакомый девайс, имеет смысл сверить fingerprint браузера, проверить, не используется ли VPN или эмулятор, посмотреть на поведение в сессии (скорость заполнения формы, движения мыши). Это быстро и не требует участия клиента.

Нетипичная сумма → история транзакций

Разовый выброс по сумме лучше всего объясняется историей: если клиент платил похожие суммы раньше (пусть и редко) — риск ниже. Если это первая крупная транзакция без предшествующей активности — сигнал серьёзнее.

Смена геолокации → дополнительная аутентификация

Когда местоположение не совпадает с привычным, самый чистый вариант — попросить клиента подтвердить платёж через SMS или push. Это одновременно снижает риск и не создаёт ощущения блокировки: клиент понимает, что его защищают, а не подозревают.

Какие проверки звучат полезно, но редко меняют решение

Практики антифрода часто отмечают одну закономерность: некоторые проверки кажутся логичными в теории, но на практике почти не влияют на итоговое решение.

• Повторный скоринг с теми же данными. Если модель уже видела все входные параметры и выдала пограничный балл — запускать её снова без новых данных бессмысленно.
• Проверка email по открытым базам утечек. Полезна для регистрации, но почти не помогает при оценке конкретной транзакции.
• Запрос дополнительных документов у клиента. Создаёт трение, резко снижает конверсию и при этом легко обходится мошенниками с готовыми документами.

Правило простое: дополнительная проверка должна давать новую информацию, которой не было в исходных данных. Если она лишь переформулирует то, что уже известно, — она только замедляет процесс.

Когда всё же нужен ручной разбор

Есть ситуации, когда автоматика заканчивается и нужен человек:

• несколько слабых сигналов одновременно, и дополнительная проверка не дала однозначного ответа;
• транзакция крупная, а клиент новый без какой-либо истории;
• поведенческие паттерны сессии аномальны (слишком быстро, слишком механично).

Ручной разбор — не провал системы, а страховка. Главное — не делать его первым шагом для всего, что вызывает сомнение.

Конверсия и безопасность: не выбирать между ними

Для мерчантов, принимающих рубли через СБП, каждый лишний отказ или задержка — это прямые потери. Особенно это чувствуют крипто-обменники и P2P-сервисы, где клиент может уйти к конкуренту за секунды. Именно поэтому важно, чтобы платёжная инфраструктура не только обрабатывала транзакции, но и обеспечивала их стабильное прохождение без лишних фрикций.

Платформы вроде MultiFlow решают часть этой задачи на инфраструктурном уровне: каскад провайдеров с автоматическим переключением при отказе снижает количество технических отклонений — и антифрод-логике остаётся работать именно с реальными рисками, а не с техническими сбоями, замаскированными под подозрительные транзакции.

Если ваш бизнес принимает рубли через СБП и вы сталкиваетесь с нестабильным приёмом или высоким процентом отказов — посмотрите, как устроена маршрутизация платежей в MultiFlow. Стабильный каскад провайдеров означает меньше ложных отказов и меньше транзакций, которые попадают в серую зону по техническим, а не реальным причинам. Подробнее на multiflow.world.