Proč je prevence podvodů a chargebacků u darů specifická
Charitativní dary, petice a kampaně pro získávání leadů mají odlišné rizikové profily než e-commerce. Útočníci využívají card testing (testování odcizených karet na malé částky), anonymitu nízkých darů a pozitivní brand sentiment, zatímco „friendly fraud“ (dárce tvrdí, že platbu nezná) zvyšuje míru chargebacků. Současně nechceme poškodit konverze poctivých dárců. Cílem je nalézt rovnováhu mezi ochranou a bezproblémovým UX – a mít připravený proces, data a důkazy pro spor se schématy karet.
Typologie rizik: co hrozí neziskovým platbám
- Card testing/carding: Boti testují stovky karet malými částkami (1–5 €) nebo nulovými autorizacemi.
- Friendly fraud: Dárce zapomněl, nerozpoznal výpis, rodinný člen daroval bez vědomí držitele.
- Account takeover: Převzetí donorské účtu a změna uloženého platebního tokenu.
- Refund fraud: Útočník žádá refundaci na jinou kartu nebo kanál.
- Opakované pokusy/velocity: Krátké intervaly mezi pokusy, rotace karet a zařízení.
- Praní špinavých peněz a sankční rizika: Vysoké/mezinárodní dary, politicky exponované osoby, sankční seznamy.
Signály podvodu: co sledovat v reálném čase
- Technické: Nesoulad IP a fakturační země, anonymizéry (TOR/VPN), neobvyklé UA/hlavičky, chybějící JavaScript a cookies.
- Behaviorální: Extrémně rychlé vyplnění formuláře, sériové změny polí, cyklické změny BIN rozsahů, stejný device fingerprint.
- Transakční: Více neúspěšných pokusů během minut, stejný e-mail s různými kartami, stejná karta a odlišné e-maily, nestandardní kombinace centů (např. 1,01 €, 1,02 €…).
- Obsahové: Dočasné e-maily, neexistující telefonní předvolby, generická jména + náhodná čísla.
Platební kontroly: základní vybavení
- AVS a CVV/CVC: Ověření adresy (kde dostupné) a bezpečnostního kódu – odmítněte „No Match“ kombinace.
- 3-D Secure 2 (SCA): Dynamicky vyžadujte silné ověření v EHP; použijte frictionless tok u nízkého rizika.
- BIN inteligence: Rozlište předplacené karty, komerční karty, zemi vydání; aplikujte rozdílné prahové hodnoty.
- Risk scoring a pravidla: Kombinujte pravidla (velocity, geolokace, reputace e-mailu) s ML skóre PSP.
- Device fingerprinting: Stabilní identifikátory (canvas, fonty, hardware) spojují pokusy napříč účty.
- Tokenizace a network tokens: Minimalizace úniků a vyšší úspěšnost opakovaných plateb.
Ochrana formuláře: proti botům i card testingu
- Rate limiting & bursting: Omezte dárkové pokusy na IP/device (např. 5/15 minut; 15/24 hodin), exponenciální prodlevy.
- Honeypoty a chování: Skrytá pole, detekce copy-paste do čísla karty, lidské vzorce klikání.
- CAPTCHA jen adaptivně: Aktivujte při rizikovém skóre; nepokoušejte se plošně trestat dobré dárce.
- Prefill a validace: Silná klientská validace IBAN/karty, normalizace jména a adresy, blok známých „disposable“ domén.
Specifika opakovaných (recurring) darů
- Inicializace se SCA: Získejte mandát a token; následné odečty jako MIT (merchant-initiated transaction).
- Dunning logika: Inteligentní opakování plateb (retry po 1/3/7 dnech), změna dne v měsíci při selhání.
- Upomínky dárcům: Včasná informace o expiraci karty, jednoduchá obnova přes bezpečný odkaz.
Proces chargebacku: co potřebujete mít připravené
- Detekce: PSP nebo banka ohlásí spor (kód schématu). Spusťte interní playbook.
- Rozhodnutí: Pokud je zřejmý podvod (card testing), často je levnější refundovat a zablokovat vzory.
- Representment (obhajoba): Předložte důkazy: 3-DS důkaz/SCA protokol, logy IP a zařízení, časové razítka, souhlas s darem, komunikaci (potvrzení e-mailem/SMS), historii darů, záznam o využití benefitu (např. vstupenka na akci).
- Prevence recidivy: Aktualizujte pravidla (velocity, blacklist), kontaktujte dárce s vysvětlením položky na výpisu (název obchodníka, e-mail podpory).
Důkazní balíček: kontrolní seznam
- Úplný transakční záznam (PSP ID, čas, částka, měna, výsledek, AVS/CVV, 3-DS hodnoty, CAVV/ECI).
- Merch descriptor a podpůrné kanály (viditelné na výpisu a potvrzení).
- Logy UX: IP, zařízení, prohlížeč, referer, chování, potvrzení e-mailu.
- Refundová politika a Obchodní podmínky platné v době daru.
- Komunikace s dárcem: potvrzení, odpovědi, ticket ID.
Právní rámec a compliance
- SCA/PSD2 (EHP): Uplatňujte výjimky (low-value, TRA, MIT) pouze s adekvátním rizikovým rámcem.
- GDPR & minimalismus dat: Neskladujte plné PAN; používejte tokeny PSP a šifrování v klidu i přenosu.
- PCI DSS: Pokud zpracováváte kartová data mimo PSP hostovaná pole, musíte splnit příslušný scope.
- Sankční/AML screeningy: Při vysokých darech a mezinárodních převodech; zdokumentujte prahové hodnoty a rozhodnutí.
Organizační připravenost: role, SOP a incident response
- Role: Vlastník rizika (finanční/fundraising ops), technický správce (platby), zákaznická podpora.
- SOP: Playbook pro card testing (izolace brány, dočasné zvýšení trenia), pro chargeback (důkazy do X dní), pro eskalaci k PSP.
- Komunikace: Šablony pro dárce („jak rozpoznat položku na výpisu“), FAQ a jasná cesta k refundaci v případě omylu.
Metodika měření rizika: prahy a metriky
- Chargeback ratio: Počet chargebacků / počet zúčtovaných transakcí (podle schématu a měsíce).
- Fraud-to-sale: Podíl potvrzených podvodných transakcí vůči úspěšným.
- Authorization rate a 3-DS úspěšnost: Úspěšnost autorizací; dopad SCA na konverzi vs. fraud.
- Velocity alerts: Počet a úspěšnost blokovaných sérií pokusů.
UX bez trestání poctivých dárců
- Adaptivní trenie: Frictionless pro nízké riziko, dodatečné ověření při vysokém skóre.
- Transparentní descriptor: Název organizace + web/e-mail; po darování pošlete PDF potvrzení.
- Možnost opravy: Při neúspěchu nabídněte alternativní platby (Apple/Google Pay, SEPA), ne jen „zkuste znovu“.
Prevence card testingu: technická opatření do 24 hodin
- Zapněte/ztvrďte rate limiting na endpointech (autorizace, webhooks).
- Omezte minimální dar (např. 3–5 €) nebo zaokrouhlení na celé €.
- Vyžadujte JS render a cookies na platební stránce (zhorší skriptům).
- Blokujte disposable e-maily a podezřelé TLD.
- Zaveďte časová razítka a audit logy (IP/device) v potvrzeních.
Machine learning vs. pravidla: praktický kompromis
- ML skóre PSP využívejte jako primární signál; vlastní pravidla používejte jako „guardrails“.
- Zpětná vazba: Označujte výsledek sporu (won/lost), aby modely učily aktuální vzory.
- Explainability: Při manuálním přezkoumání mějte krátký důvod blokace (audit a školení týmu podpory).
Tabulka: příklady pravidel a doporučené akce
| Pravidlo | Prahová hodnota | Akce | Poznámka |
|---|---|---|---|
| Velocity – pokusy na IP | >= 5 / 15 min | Dočasný ban 60 min, CAPTCHA | Adaptujte podle kampaně |
| Nesoulad země IP vs. BIN | Různé kontinenty | Vyžadovat 3-DS/SCA | Výjimky pro roaming |
| Disposable e-mail + nízká částka | Částka < 3 € | Odmítnout/Přesměrovat na jinou metodu | Typické při testování |
| Neobvyklé centy | Sekvence 0,01; 0,02… | Blok/Rate limit | Card testing pattern |
| Opakovaná karta, různé e-maily | >= 3 / 24 h | Manuální kontrola | Potenciální zneužití |
Komunikace a prevence friendly fraudu
- Descriptor a potvrzení: Shodný název v e-mailu, PDF a ve výpisu.
- Připomínky: Při opakovaných darech pošlete informační e-mail (např. 3 dny před ročními dary).
- Self-service centrum: Zobrazit historii darů, možnost zrušit/pozastavit, jasný kontakt na podporu.
Spolupráce s PSP a bankou
- Konfigurace rizika: Společné nastavení prahů, 3-DS politiky a monitoring alertů.
- Monitoring v sandboxu: Simulujte card testing v testovacím prostředí (velocity, CAPTCHA spouštěče).
- Reporty a exporty: Denní CSV se signály pro interní analýzu a zpětné učení.
Dashboards a alerting
- Reálná tabule: Autorizace, odmítnutí, 3-DS míra, velocity spouštěče, výjimky.
- Týdenní přehled: Chargeback ratio, fraud-to-sale, ztráty na poplatcích a opakovaných autorizacích.
- Alerty: Neobvyklé špičky odmítnutí, nárůst malých částek, nový zdroj card testingu dle ASN.
Ekonomika rozhodnutí: kdy bojovat a kdy refundovat
- Náklady na spor (poplatky, čas týmu) vs. pravděpodobnost výhry (SCA důkazy, historie dárce).
- Reputační dopad: Proaktivní refundace a vysvětlení může snížit negativní recenze.
- Strategické prahy: Například do 20 € preferovat rychlý refund, nad 20 € s důkazy bojovat.
Checklist zavedení programu prevence (30 dní)
- Dny 1–5: Audit PSP nastavení, zapnutí 3-DS/SCA politik, revize descriptoru, minimální částka daru.
- Dny 6–10: Rate limiting, honeypoty, blok disposable e-mailů, e-mailové šablony potvrzení.
- Dny 11–15: Risk scoring + pravidla, velocity alerty, dashboardy a exporty.
- Dny 16–20: SOP pro card testing a chargeback, školení podpory, důkazní balíček.
- Dny 21–30: Pilot A/B trenia (adaptivní vs. plošné), vyhodnocení konverze a podvodů, finalizace prahů.
Bezpečnost bez ztráty důvěry a konverze
Prevence podvodů u darů je disciplína, která kombinuje techniku, právo, podporu dárců a citlivé UX. Robustní opatření (3-DS, rate limiting, ML skóre) musí jít ruku v ruce s transparentní komunikací a jednoduchými cestami pro poctivé dárce. Díky jasnému playbooku, měření a spolupráci s PSP dokážete udržet chargebacky pod kontrolou, chránit rozpočet a především – chránit důvěru, na které neziskový sektor stojí.
