Как финансовым организациям защищаться от фрода с помощью технологии фингерпринта

Как финансовым организациям защищаться от фрода с помощью технологии фингерпринта

Защищая сайты и приложения финансовых компаний от кибератак, мы всё чаще сталкиваемся с ботами, которые отлично маскируются под обычный трафик и имитируют поведение людей. Для банков, платёжных сервисов и финтех-платформ это особенно опасно: автоматизация может использоваться для атак на аутентификацию (credential stuffing, password spraying или brute-force-атаки), кардинга (card stuffing), мультиаккаунтинга или обхода антифрод-контроля.

Бывают сценарии, когда классических сигналов — ​cookie, IP-адреса, User-Agent — ​для борьбы с подобной вредоносной активностью уже недостаточно. И тогда решением может быть использование технологии фингерпринтинга, помогающей идентифицировать пользователей и ботов по уникальному отпечатку.

Почему именно фингерпринт

Финансовые сервисы вынуждены куда более тщательно, чем игроки из других отраслей, подходить к анализу трафика, выявляя ботовую активность и фрод. Им нужно быстро и без лишних барьеров обслуживать реальных пользователей, и ложные срабатывания и блокировки — ​это негативный клиентский опыт, который может вылиться как в репутационные риски, так и в потерю клиента. С другой стороны — ​они обязаны распознавать автоматизацию, подмену параметров браузера, работу через VPN, антидетект-инструменты и другие способы маскировки.

При этом один и тот же пользователь может заходить в сервис с разных устройств, в инкогнито-режиме, через мобильную сеть или с включённым VPN. Сам по себе такой сценарий не является подозрительным. Но если к нему добавляются признаки автоматизации, аномальное поведение сессии или технические несоответствия между сигналами, риск возрастает.

Фингерпринтинг в этом контексте помогает ответить не только на вопрос «это один и тот же клиент или нет?», но и на вопрос «насколько этому запросу можно доверять?».

Что именно мы называем фингерпринтом

Фингерпринт — ​это цифровой отпечаток, который формируется на основе комбинации технических параметров браузера и устройства. Он не зависит от cookie и может использоваться в ситуациях, где cookie недоступны, отключены или сознательно скрываются.

Мы рассматриваем фингерпринт как устойчивую связку «устройство + браузер», которую можно распознавать даже при смене отдельных сетевых условий или настроек браузера. В финансовых сервисах это особенно важно, потому что пользовательский путь часто не линеен: человек может начать сессию на одном устройстве, продолжить на другом, сменить сеть или использовать приватный режим.

Для формирования такого отпечатка анализируются разные сигналы: характеристики Canvas, WebGL, Audio и WebGPU, системные шрифты, размер экрана и окна, язык, часовой пояс, параметры автоматизации, сетевые и протокольные признаки, а также события взаимодействия с интерфейсом.

Только узнать устройство — ​недостаточно

На уровне антифрода нам недостаточно просто «узнать устройство». Важнее понять контекст сессии и оценить, насколько она похожа на поведение человека. Поэтому мы всегда дополняем устойчивую идентификацию набором дополнительных технических признаков.

Среди них, например, признаки использования VPN, хостинговой инфраструктуры, инкогнито-режима, мобильного устройства, а также оценка вероятности автоматизации — ​bot_score. Такой подход позволяет строить более точную модель риска и не сводить всё к бинарной логике «свой/чужой».

Поскольку слишком жёсткая проверка может ухудшить клиентский опыт, а слишком мягкая — ​пропустить фрод, необходим баланс именно за счёт совмещения устойчивого ID и дополнительных сигналов.

Один из полезных сигналов в такой архитектуре — ​bot_score. Это вероятностная оценка того, насколько запрос похож на автоматизированный.

Если bot_score низкий, запрос с большей вероятностью принадлежит человеку. Если значение растёт, система начинает видеть признаки автоматизации, подмены параметров или другие аномалии. В зависимости от настроек конкретного сервиса это может означать разные сценарии реакции: пропустить запрос, назначить дополнительную проверку или заблокировать его.

Именно гибкость интерпретации делает технологию удобной для финансовых компаний. Один и тот же сигнал может использоваться по-разному — ​для защиты входа в личный кабинет, проверки смены реквизитов, оценки риска платёжного действия или контроля регистрации новых аккаунтов.

Когда капча вступает в игру

Опыт работы с кредитными организациями показывает, что им важно не просто выявлять подозрительные фингерпринты пользователей, но и построить работу таким образом, чтобы блокировка происходила автоматически, без ручной проверки и без необходимости каждый раз донастраивать правила на своей стороне, а также незаметно для самого атакующего. И тут в игру вступает капча. Настроить её возможно по-разному. Например, если кредитная организация хочет автоматически блокировать запросы с фингерпринтом, который не совпадает с сохранённым в базе отпечатком того же пользователя, то система считает такой запрос ботовым и мягко банит его: не возвращает формальный ответ по типу 403 Forbidden, а просто предлагает пройти капчу, имитируя нормальную работу, но не пуская дальше. Для защищаемого сервиса это не требует никакой реакции: всё происходит автоматически — ​атакующий просто видит капчу, которую невозможно пройти.

Например, мы обнаружили кражу сессионных cookie: фингерпринт не сошёлся с тем, что у нас был сохранён в базе. Сайт может отреагировать на это самостоятельно, например, потребовать от пользователя пройти мультифакторную аутентификацию или временно заморозить его аккаунт, но даже без реакции самого сайта мы можем отреагировать, отдав злоумышленнику нерешаемую капчу, то есть это мягкая, но не менее эффективная блокировка.

Ещё один её плюс — ​уникальная возможность получить больше информации о пользователе, которую обычный статичный фингерпринт не включает. По сути прохождение капчи показывает типизированное пользовательское действие — ​как он крутит мышкой, как кликает, то есть это возможность собрать ещё больше информации и точнее настроить защиту от фрода.

Кроме того, капча — ​это ещё дополнительное время для наших фоновых проверок. И в итоге более качественный, устойчивый фингерпринт.

Впрочем, если при прохождении капчи будет выявлено, что, несмотря на все подозрения, это всё же реальный человек — ​капча станет решаемой и клиент финансовой организации сможет войти и совершить операцию.

Однако стоит помнить, что капча не заменяет полноценную антибот-защиту: она лишь является способом мягкой реакции на подозрительную активность, предназначенным для сдерживания автоматизации и предоставления дополнительной информации для вынесения последующих вердиктов.

В финансовых организациях фингерпринтинг чаще всего используют для:

• выявления подозрительных входов в онлайн-банк и другие клиентские кабинеты;
• обнаружения кражи cookie или токена аутентификации;
• борьбы с мультиаккаунтингом и массовой регистрацией;
• противодействия бонусному, платёжному и транзакционному фроду;
• повышения прозрачности пользовательской аналитики;
• снижения числа лишних проверок для доверенных клиентов.

Как мы подходим к технологии внутри продукта

В наших решениях фингерпринтинг не существует сам по себе — ​он встроен в более широкую систему анализа трафика и антифрода. Мы используем его как один из уровней оценки легитимности запроса: сначала система собирает технические сигналы, затем сопоставляет их между собой, а после этого помогает принять решение в зависимости от бизнес-логики клиента.

Для одного заказчика приоритетом будет защита от бот-атак на входе, для другого — ​снижение фрода в платёжных сценариях, для третьего — ​повышение качества аналитики и снижение потерь от невалидного трафика. Сама технология остаётся общей, но способ её применения зависит от задачи.

Именно так, на наш взгляд, и должен работать современный антифрод: не как жёсткий фильтр, а как инструмент, который даёт системе больше контекста и позволяет принимать более точные решения.

Фингерпринтинг сегодня — ​это не модная надстройка, а практический инструмент защиты финансовых сервисов. Он помогает распознавать устойчивые цифровые признаки клиента, видеть дополнительные сигналы риска и отличать обычное поведение от автоматизированной или мошеннической активности.

Для финансового сектора это особенно важно, потому что здесь безопасность и удобство пользователя должны сосуществовать. И чем сложнее становятся методы обхода защиты, тем ценнее технологии, которые умеют не только идентифицировать устройство, но и понимать контекст запроса.

Реклама. ООО «СЕРВИСПАЙП», ИНН: 7708257951, Erid: 2Vfnxvd7Wno