Proč je prevence podvodů a chargebacků při darování specifická
Charitativní dary, petice a lead-gen kampaně mají odlišné rizikové profily než e-commerce. Útočníci využívají card testing (testování ukradených karet na malých částkách), anonymitu nízkých darů a pozitivní brand sentiment, zatímco „friendly fraud“ (dárce tvrdí, že platbu nezná) zvyšuje míru chargebacků. Současně nechceme poškodit konverze u poctivých dárců. Cílem je najít rovnováhu mezi ochranou a bezproblémovým UX – a mít připravený proces, data a důkazy pro spor se schématy karet.
Typologie rizik: jaká hrozí neziskovým platbám
- Card testing/carding: Boti zkouší stovky karet malými částkami (1–5 €) nebo nulovými autorizacemi.
- Friendly fraud: Dárce zapomněl, nepoznal výpis, rodinný člen daroval bez vědomí držitele.
- Account takeover: Převzetí donorských účtů a změna uloženého tokenu platby.
- Refund fraud: Útočník žádá refundaci na jinou kartu nebo kanál.
- Opakované pokusy/velocity: Krátké intervaly mezi pokusy, rotace karet a zařízení.
- Praní špinavých peněz a sankční rizika: Vysoké/mezinárodní dary, politicky exponované osoby, sankční seznamy.
Signály podvodu: co sledovat v reálném čase
- Technické: Nesoulad IP a fakturační země, anonymizéry (TOR/VPN), neobvyklé UA/hlavičky, chybějící JavaScript a cookies.
- Behaviorální: Extrémně rychlé vyplnění, sériové změny polí, cyklení BIN rozsahů, stejný device fingerprint.
- Transakční: Více neúspěšných pokusů během minut, stejný e-mail u různých karet, stejná karta u různých e-mailů, nestandardní množiny centů (např. 1,01 €, 1,02 €…).
- Obsahové: Dočasné e-maily, neexistující telefonní prefixy, generická jména + náhodná čísla.
Platební kontroly: základní výbava
- AVS a CVV/CVC: Ověření adresy (kde dostupné) a bezpečnostního kódu – zamítněte „No Match“ kombinace.
- 3-D Secure 2 (SCA): Dynamicky požadujte silné ověření v EHP; použijte frictionless tok pro nízké riziko.
- BIN inteligence: Rozlište předplacené karty, komerční karty, zemi vydání; aplikujte rozdílné prahy.
- Risk scoring a pravidla: Kombinujte pravidla (velocity, geolokace, reputace e-mailu) s ML skóre PSP.
- Device fingerprinting: Stabilní identifikátory (canvas, fonty, HW) spojují pokusy napříč účty.
- Tokenizace a network tokens: Minimalizace úniků a vyšší úspěšnost opakovaných plateb.
Ochrana formuláře: proti botům i card testům
- Rate limiting & bursting: Omezte dárcovské pokusy na IP/device (např. 5/15 min; 15/24 h), použijte exponenciální zdržení.
- Honeypots a chování: Skrytá pole, detekce copy-paste do čísla karty, lidské vzory klikání.
- CAPTCHA pouze adaptivně: Aktivujte při rizikovém skóre; netrestejte poctivé dárce plošně.
- Prefill a validace: Silná klientská validace IBAN/karty, normalizace jména a adresy, blokace známých „disposable“ domén.
Specifika opakovaných (recurring) darů
- Inicializace se SCA: Získejte mandát a token; následné odběry jako MIT (merchant-initiated transaction).
- Dunning logika: Inteligentní opakování plateb (retry po 1/3/7 dnech), změna dne v měsíci při neúspěchu.
- Upomínky dárcům: Včasná informace o expiraci karty, jednoduché obnovení přes zabezpečený odkaz.
Proces chargebacku: co mít připravené
- Detekce: PSP nebo banka oznámí spor (kód schématu). Spusťte interní playbook.
- Rozhodnutí: Pokud je jasný podvod (card testing), často je levnější refundovat a zablokovat vzory.
- Representment (obhajoba): Předložte důkazy: 3-DS důkaz/SCA protokol, logy IP a zařízení, časové razítka, souhlas s darem, komunikaci (potvrzení e-mailem/SMS), historii darů, záznam o využití benefitu (např. vstupenka na akci).
- Prevence recidivy: Aktualizujte pravidla (velocity, blacklist), kontaktujte dárce s vysvětlením položky na výpisu (název obchodníka, e-mail podpory).
Důkazní balíček: kontrolní seznam
- Úplný transakční záznam (PSP ID, čas, částka, měna, výsledek, AVS/CVV, 3-DS hodnoty, CAVV/ECI).
- Merch descriptor a podpůrné kanály (viditelné na výpisu a v potvrzení).
- Logy UX: IP, zařízení, prohlížeč, referer, chování, potvrzení e-mailem.
- Refundová politika a T&C platná v době daru.
- Komunikace s dárcem: potvrzení, odpovědi, ticket ID.
Právní rámec a compliance
- SCA/PSD2 (EHP): Uplatňujte výjimky (low-value, TRA, MIT) pouze s adekvátním rizikovým rámcem.
- GDPR & minimalismus dat: Neskladujte plné PAN; používejte tokeny PSP a šifrování v klidu i přenosu.
- PCI DSS: Pokud zpracováváte kartová data mimo PSP hostovaná pole, musíte splnit příslušný rozsah.
- Sankční/AML screeningy: Při vysokých darech a mezinárodních převodech; zdokumentujte prahové hodnoty a rozhodnutí.
Organizační připravenost: role, SOP a incident response
- Role: Vlastník rizika (finanční/fundraising ops), technický správce (platby), zákaznická podpora.
- SOP: Playbook pro card testing (izolace brány, dočasné zvýšení trenia), pro chargeback (důkazy do X dní), pro eskalaci k PSP.
- Komunikace: Šablony pro dárce („jak rozpoznat položku na výpisu“), FAQ a jasná cesta k refundu při omylu.
Metodika měření rizika: prahy a metriky
- Chargeback ratio: Počet chargebacků / počet zúčtovaných transakcí (dle schématu a měsíce).
- Fraud-to-sale: Podíl potvrzených podvodných transakcí k úspěšným.
- Authorization rate a 3-DS success: Úspěšnost autorizací; dopad SCA na konverzi vs. fraud.
- Velocity alerts: Počet a úspěšnost blokovaných sérií pokusů.
UX bez trestání poctivých dárců
- Adaptivní trenie: Frictionless pro nízké riziko, dodatečné ověření při vysokém skóre.
- Transparentní descriptor: Název organizace + web/e-mail; po darování pošlete PDF potvrzení.
- Možnost opravy: Při neúspěchu nabídněte alternativní platby (Apple/Google Pay, SEPA), ne pouze „zkuste znovu“.
Prevence card testingu: technická opatření do 24 hodin
- Zapněte/ztěžte rate limiting na endpointy (autorizace, webhooks).
- Omezte minimální dar (např. 3–5 €) nebo zaokrouhlení na celé €.
- Vyžadujte JS render a cookies na platební stránce (zkomplikuje skriptům práci).
- Blokujte disposable e-maily a podezřelé TLD.
- Zaveďte časová razítka a auditní logy (IP/zařízení) do potvrzení.
Machine learning vs. pravidla: praktický kompromis
- ML skóre PSP využívejte jako primární signál; vlastní pravidla používejte jako „guardrails“.
- Feedback: Označujte výsledek sporu (vyhráno/prohráno), aby modely učily aktuální vzory.
- Vysvětlitelnost: Při manuálním přezkumu mějte krátký důvod blokace (audit a školení týmu podpory).
Tabulka: příklady pravidel a doporučené akce
| Pravidlo | Prahová hodnota | Akce | Poznámka |
|---|---|---|---|
| Velocity – pokusy na IP | >= 5 / 15 min | Dočasný zákaz 60 min, CAPTCHA | Adaptujte podle kampaně |
| Nesoulad země IP vs. BIN | Různé kontinenty | Požadovat 3-DS/SCA | Výjimky pro roaming |
| Disposable e-mail + nízká částka | Částka < 3 € | Odmítnout/Přesměrovat na jinou metodu | Typické při testování |
| Neobvyklé centy | Sekvence 0,01; 0,02… | Blok/rate limit | Card testing pattern |
| Opakovaná karta, různé e-maily | >= 3 / 24 h | Manuální kontrola | Potenciální zneužití |
Komunikace a prevence friendly fraudu
- Descriptor a potvrzení: Shodný název v e-mailu, PDF a na výpisu.
- Upomínky: Při opakovaných darech pošlete upozornění e-mailem (např. 3 dny před ročními dary).
- Self-service centrum: Zobrazit historii darů, možnost zrušit/pozastavit, jasný kontakt na podporu.
Spolupráce s PSP a bankou
- Konfigurace rizika: Společné nastavení prahů, 3-DS politiky a monitoringu alertů.
- Monitoring v sandboxu: Simulujte card testing v testovacím prostředí (velocity, captcha spouštěče).
- Reporty a exporty: Denní CSV se signály pro interní analýzu a zpětné učení.
Dashboardy a alerting
- Realtime panel: Autorizace, odmítnutí, 3-DS míra, velocity spouštěče, výjimky.
- Týdenní přehled: Chargeback ratio, fraud-to-sale, ztráty na poplatcích a opakovaných platbách.
- Alerty: Neobvyklé špičky odmítnutí, nárůst malých částek, nový zdroj card testingu podle ASN.
Ekonomika rozhodnutí: kdy bojovat a kdy refundovat
- Náklady na spor (poplatky, čas týmu) vs. pravděpodobnost výhry (SCA důkazy, historie dárce).
- Reputační dopad: Proaktivní refundace a vysvětlení může snížit negativní recenze.
- Strategické prahy: Např. do 20 € preferovat rychlý refund, nad 20 € s důkazy bojovat.
Checklist zavedení programu prevence (30 dní)
- Dny 1–5: Audit PSP nastavení, zapnout 3-DS/SCA politiky, revize descriptoru, minimální částka daru.
- Dny 6–10: Rate limiting, honeypots, blok disposable mailů, e-mail šablony potvrzení.
- Dny 11–15: Risk scoring + pravidla, velocity alerty, dashboardy a exporty.
- Dny 16–20: SOP pro card testing a chargeback, školení podpory, důkazní balíček.
- Dny 21–30: Pilot A/B trenia (adaptivní vs. plošné), vyhodnocení konverze a podvodů, finalizace prahů.
Bezpečnost bez ztráty důvěry a konverze
Prevence podvodů při darech je disciplína, která spojuje techniku, právo, podporu dárců a citlivé UX. Robustní opatření (3-DS, rate limiting, ML skóre) musí jít ruku v ruce s transparentní komunikací a jednoduchými cestami pro poctivé dárce. S jasným playbookem, měřením a spoluprací s PSP dokážete udržet chargebacky pod kontrolou, chránit rozpočet a především – chránit důvěru, na které neziskový sektor stojí.
