Почему перед транзакцией стоит оценить риск IP-адреса

Чтобы предотвращать мошенничество, нужно интерпретировать сигналы, связанные с IP-адресом, прежде чем решать, как обработать операцию.

Мошенничество в интернете может приводить к значительным убыткам. Проверка риска, связанного с IP-адресом, перед платежом, входом в систему или обменом данными помогает выявить сигналы, заслуживающие внимания. Польза такой проверки зависит от того, как ее результаты сочетаются с остальной доступной информацией.

Геолокация и репутация IP-адреса могут дать дополнительный контекст в реальном времени. Если их игнорировать, можно упустить важные обстоятельства; если считать их неопровержимым доказательством, тоже возможны ошибки. Чтобы представить масштаб проблемы: в отчете Nilson за 2024 год мировые потери от мошенничества с платежными картами на 2026 год прогнозировались на уровне около 36 370 млн долларов США. Это был прогноз именно по картам, а не оценка всего кибермошенничества и не измерение потерь, вызванных IP-адресами.

Что такое оценки риска IP-адресов?

IP-адрес позволяет маршрутизировать обмен данными в интернете, но не идентифицирует человека или устройство однозначно. Несколько устройств могут использовать один публичный IP-адрес благодаря NAT, а назначенные адреса могут меняться. Оценка риска обобщает сигналы, связанные с адресом; как и другие скоринговые инструменты, она может служить одним из показателей при анализе. Некоторые сервисы используют шкалу от 0 до 100, но сама шкала и ее смысл зависят от поставщика.

Среди распространенных сигналов — наблюдаемое поведение, согласованность данных о местоположении, связь с известной вредоносной активностью и использование VPN или прокси-серверов. Также могут учитываться жалобы на спам и присутствие в списках блокировки. Следует различать оценку репутации, где высокое значение может означать большее доверие, и оценку риска, где оно может указывать на большую опасность. Пороговые значения этих оценок нельзя использовать как взаимозаменяемые. Обнаружение VPN само по себе тоже не доказывает мошенничества.

Аудит оценок риска

Проверка таких оценок предполагает выяснение того, какие данные использует сервис, как он их интерпретирует и какое решение они позволяют принять перед операцией. Компании могут проверять IP-адрес по источникам данных о репутации и включать результаты в процессы обработки платежей, предоставления доступа и обмена данными. Интеграция, эффективность которой тщательно оценена, может ускорить проверку и сократить число ошибок, но отдельная оценка не гарантирует предотвращения несанкционированного доступа или убытков.

Мошенничество и сетевые сигналы

Злоумышленники могут использовать прокси и менять адреса, чтобы затруднить определение своего местоположения. Однако это не позволяет приписать таким действиям конкретную долю мировых потерь. По данным Nilson, потери от мошенничества с картами составили 32 330 млн долларов США в 2021 году и 33 830 млн в 2023 году; в отчете за 2024 год на 2026 год прогнозировались потери в 36 370 млн долларов США. В свою очередь, исторические данные UK Finance показывают, что в 2023 году потери от мошенничества с картами, выпущенными в Великобритании, составили 551,3 млн фунтов стерлингов, из которых 360,5 млн приходились на дистанционные покупки. Это конкретные категории, а не общий подсчет потерь от мошенничества при интернет-платежах.

Захват учетных записей, мошенничество с синтетическими личностями и одновременное оформление нескольких займов, известное как «loan stacking», требуют анализа разных сигналов. В исследовании Regula за 2023 год 46 % опрошенных компаний сталкивались с мошенничеством с синтетическими личностями; 90 % считали, что в последующие годы эта угроза будет расти. В опросе участвовали 1 069 руководителей из пяти отраслей в восьми странах: его результаты не характеризуют все компании. VPN могут затруднять интерпретацию данных о местоположении, но у них есть и законные применения для защиты конфиденциальности и удаленного доступа. Некоторые бесплатные сервисы превращают устройства пользователей в выходные узлы для чужого трафика; этот риск не делает каждого пользователя VPN подозреваемым.

Механизмы оценки риска IP-адресов

В ходе анализа можно обращаться к сервисам геолокации, обнаружения VPN и узлов Tor, а также к данным о репутации из списков блокировки. В таких системах, как SEON, правила присваивают сигналам числовые значения, а настроенные пороги помогают определить, следует ли одобрить операцию, отправить ее на проверку или отклонить. Веса и категории относятся к конкретной модели; универсальной мерой риска они не являются.

API позволяют включать сетевые данные в оценку в реальном времени. В зависимости от сервиса эти данные могут содержать характеристики провайдера, признаки открытых портов или сведения о частоте смены IP-адреса. Нужно проверять, что именно измеряет каждый показатель. В анализе, опубликованном MaxMind в августе 2025 года, средний по клиентским учетным записям прирост площади под кривой «точность — полнота», или PR-AUC, относительно случайного угадывания составил 43 % для индикатора анонимного IP-адреса, 125 % для оценки риска IP-адреса и 300 % для общей оценки minFraud. Базой сравнения было случайное угадывание. Эти показатели не означали гарантированного повышения точности для любой компании.

Компания может разрешать продолжение операций, которые считает низкорисковыми, и запрашивать дополнительные проверки, например многофакторную аутентификацию, при наличии значимых признаков риска. При рассмотрении кредитных заявок сигналы IP-адреса могут подсказать направление проверки, но не должны заменять полноценную оценку или сами по себе служить основанием для отказа заявителю.

Кейсы и примеры поставщиков

• Buffered. По опубликованным данным SEON, этот VPN-провайдер за тридцать дней снизил долю возвратных платежей по оспоренным операциям на 91 %. Примененный подход сочетал анализ IP-адресов, машинное обучение и собственные правила. Результат относится к этому конкретному случаю и не позволяет выделить эффект одной отдельно взятой оценки.
• Simplex. В кейсе, опубликованном MaxMind в 2021 году, криптовалютный платежный шлюз использовал данные minFraud о геолокации IP-адресов, риске адресов электронной почты и финансовых учреждениях для своего алгоритма и в помощь ручной проверке. Этот кейс не подтверждает улучшения на 300 %; такая цифра относится к более позднему сравнительному анализу MaxMind, описанному выше.
• TrustDecision. В материале компании об управлении рисками показано, как сопоставление IP-адресов, цифровых отпечатков устройств и контактных данных может помогать расследовать деятельность мошеннических сетей. Это описание метода; оно не документирует раскрытие и пресечение деятельности конкретной сети каким-либо финансовым учреждением.

Как интерпретировать мнение специалистов

Ценность данных об IP-адресах зависит от контекста. Техническая документация Proofpoint о репутационных списках предупреждает, что категории описывают наблюдаемое поведение и не должны восприниматься как окончательное бинарное решение: разрешить или заблокировать. Проверка сигналов перед операцией может быть полезна, но она не дает оснований утверждать, что почти любое мошенничество связано с VPN или что существует единая оценка, подходящая всем компаниям.

Включение в стратегию компании

Проверки можно проводить при входе в систему, оплате и вызовах API. Сочетание данных об IP-адресе с сигналами устройства и операции дает дополнительный контекст, хотя и не обеспечивает безошибочной картины. Компания должна определить, какие обязательства по защите данных и безопасности платежей на нее распространяются. GDPR требует мер безопасности, соразмерных риску, а PCI DSS предусматривает конкретные меры контроля и виды анализа; сама по себе проверка репутации IP-адреса не подтверждает соблюдения этих требований. Обработка данных также должна быть обоснованной и ограничиваться необходимым.

Сложности

Адреса могут меняться, общие сети объединяют разных пользователей, VPN изменяют видимое местоположение, а списки блокировки могут содержать ошибки. Для небольшой компании важна и стоимость интеграции и проверки. Сочетание источников и использование машинного обучения могут помочь, но для этого нужно измерять результаты на собственных данных, разбирать ложноположительные срабатывания и исправлять ошибочные решения.

Будущие тенденции

Искусственный интеллект может расширить возможности анализа истории поведения и обнаружения аномалий. Методы, устойчивые к квантовым вычислениям, и реестры репутации на основе блокчейна — направления, которые стоит оценивать отдельно, не предполагая заранее, что они решат проблему качества оценок. Распространение проверок в реальном времени также не доказывает, что они станут обязательными повсеместно или что уже существует международный стандарт, требующий аудита IP-адреса перед каждой операцией.

Часто задаваемые вопросы

• Что такое оценка риска IP-адреса?
  Это показатель, обобщающий сигналы, связанные с адресом, например его репутацию, видимое местоположение или тип сети. Шкала и смысл оценки зависят от сервиса.
• Почему стоит проверять ее перед транзакцией?
  Она может выявить несоответствия, которые стоит проверить до одобрения операции. Использование VPN или наличие адреса в списке блокировки требует интерпретации; само по себе это не доказывает мошенничества и не гарантирует улучшения на какой-либо конкретный процент.
• Как внедрить такую проверку?
  С помощью API, встроенных в процессы предоставления доступа и оплаты, и проверенных критериев, позволяющих решать, когда разрешить, проверить или остановить операцию и когда запросить дополнительные проверки.
• Какие сложности встречаются чаще всего?
  Динамические или общие IP-адреса, видимое местоположение, устаревшие данные и ошибочные блокировки. Сочетание источников и анализ результатов помогают выявлять и исправлять ошибки.
• Может ли небольшая компания позволить себе такие расходы?
  Нужно оценить стоимость сервиса, интеграции, ручной проверки и влияние на добросовестных клиентов. Снижение на 91 %, опубликованное в кейсе Buffered, — конкретный результат, а не обещание окупаемости для любой компании.