Ինչպե՞ ս է աշխատում ակնթարթային նույնականացման համակարգը

Երբ դուք սեղմում եք «Վճարեք», փորձարկումների շղթան, որը 300-1500 մկմ-ով որոշում է, որ վստահեք գործարքներին «մեկ կտոր» կամ խնդրեք լրացուցիչ ապացույց (SMS/push, կենսաչափություն, սելֆի, փաստաթուղթ)։ Այս շղթան կոչվում է ակնթարթային նույնականացման համակարգ (հաճախ ասում են 'ral-time KYC/ID + SCA)։ Նրա նպատակն է միաժամանակ նվազեցնել ֆրոդը և չփչացնել ծրարը։

Տերմինները առանց խառնաշփոթի

Նույնականացում 'տեղադրել «ով եք» (FIO, հեռախոսը, email, սարքը)։

Ինքնության հավատացումը (proofing) ապացուցում է, որ ատրիբուտները պատկանում են ձեզ (փաստաթուղթ, սելֆի համեմատություն, NMS-չիպ)։ Այն արվում է առաջին մեծ զգեստով/եզրակացության կամ ռիսկի միջոցով։
Վավերացում 'ապացուցել, որ հենց հիմա եք սարահարթ անում (գաղտնաբառ-միանգամյա կոդ, push/կենսաչափություն, ապարատային բանալին)։
SCA/3-DS 2-ը «հաճախորդի ուժեղ վավերացում» է երկու գործոններով (գիտելիքներ/առկայություն)։

Ո՞ րն է ակնթարթային նույնականացումը

1. Անտեսանելի ազդանշանների հավաքումը (մինչև «Վճարիր» կլիկը)

Device-fingerprint: մոդել, OS, զննարկիչ, ժամանակ, տառատեսակներ, սենսորներ։

Ցանցային տվյալները ՝ IP/ASN, MSN, geo, ուշացումներ։

Վարքագիծը (behavioral) 'հավաքման արագությունը, սկրոլը, մկնիկի հետագիծը, սխալների սխեմաները։
Հաշիվ ազդանշաններ 'ուսուցչի տարիքը, 2FA-ը, վճարովի մեթոդների պատմությունը, անունը։

2. Գործարքի համատեքստը 'գումար, արժույթ, չափիչ/MSS, հաճախականությունը և «արագությունը» փորձարկումները, BIN քարտերը/դրամապանակի տեսակը։

3. Արագ վկայագիր 'email/հեռախոսի արտահոսքեր, IP ռիսկային միջակայքներ, սարքերի սև/մոխրագույն ցուցակներ, սանկցիոն/RER դրոշներ ըստ հաշիվի (եթե կիրառելի է)։

4. Ռիսկի գնահատումը իրական ժամանակում (risk entine), մոդելը (ML + կանոնները) տալիս է ժայռը և լուծումը

Frictionless (կանաչ), մենք բաց ենք թողնում առանց քայլերի։

Step-up (դեղին) 'խնդրում ենք 3-DS/push, կենսաչափություն կամ սելֆի խաղը փաստաթղթի հետ։
Block (կարմիր) 'շեղում/խնդրում ենք այլընտրանք։

5. Step-up-մեթոդներ (escalating-բարդության միջոցով)

SCA առանց շփման 'push բանկային ծրագրի/սարքի կենսաչափության։

OTP/TOTP-ը միակողմանի կոդն է (ավելի վատ անվտանգության, բայց արագ)։
Փաստաթուղթը + սելֆի (liveness) ՝ OCR/կարդալ MRZ, anti-spufing, երբեմն NMS-chip ID/անձնագրեր խմբագրությունում։
Reusable ID (Bull ID/էկոհամակարգային eID) '«քաշել» արդեն հաստատված ինքնությունը վստահված պրովայդերի մոտ։
Ապարատային բանալին (FIDO2/passkey) 'դրամապանակների/բանկերի/բարձր սահմանների համար։

Սա նման է քայլերին (տիպիկ հոսք)

1. Օգտագործողը լրացնում է ռուսական առաջնագծի վճարովի ձևը հավաքում է device/behavioral ազդանշաններ։

2. Տվյալները + պարամետրերի կոնտեքստը թռչում են PFC/բանկի ռիսկի նվագարկիչ։

3. Եթե ցածր ռուսական հեղինակային ռիսկը «հանգիստ» է, օգտագործողը տեսնում է հաջողակ վճար։

4. Եթե միջին պատահականության ռիսկը առաջացնում է SCA (3-DS 2/push/կենսաչափություն)։

5. Եթե ռիսկը բարձր է տալիս փաստաթղթի/սելֆի կամ բլոկի հարցումը, այլ մեթոդի/լիմիտի առաջարկը։

6. Արդյունքն ու վերջնական արդյունքը վերադառնում են merchanta; համակարգը հիշում է «լավ» սարքը/pattern։

Ժամանակի բյուջեն 'որոշումների մեծ մասը տեղադրվում է 0,3-1,5 վայրկյանում: Բիոմետրիան/փաստաթղթերը ավելացնում են 10-60 վայրկյան, բայց օգտագործվում են միայն իրական ռիսկի դեպքում։

Ինչու՞ է դա արագ աշխատում

Կանխատեսված ML մոդելները (գրադիենտ-բուստինգ/նյարդային) միլիոնավոր գործարքների վրա։

Սարքերի/փոստի/հեռախոսների հեղինակության քեշինգը։
Ասիմետրիկ տրամաբանություն 'սկզբում էժան ազդանշաններ, ապա թանկ ստուգումներ։
Idempotenty-ը և webhooks-ը 'կրկնվող պատասխանները չեն ստեղծում վճարումների կրկնապատկումներ։

Որտեղ ամենից հաճախ «կոտրվում է» UX-ը և ինչպես խուսափել դրանից

Խնդիրը	Ինչու՞	Ինչպես շտկել
Սելֆի խնդրանքը «հավասար տեղում»	Հանկարծակի MSN/նոր սարք/գիշերային ժամ + մեծ գումար	Անջատել PPN, հաստատել սարքը, փորձել գումարը սահմաններում
3-DS չի գալիս	SIM-swap/ռոումինգ/կապ չկա	Օգտագործել push-ապացույց/բանկի ծրագիր SMS փոխարեն
«Փաստաթուղթը չի կարդում»	Բլուրներ, կտրված դաշտեր, հին փաստաթուղթ	Նկարը առանց բլոկների, 300 dpi, ամբողջ շրջադարձը։ հնարավորության դեպքում 'NFC-ն 1922-ին
«Կասկածելի email/հեռախոս»	Հայտնվում է արտահոսքում/սպամա	Միացրեք 2FA, փոխեք գաղտնաբառը/փոստը, հաստատեք պրովայդերի համարը
Երկար առաջին վճարումը	Օրկեստրատորը «սովորում է» նոր կիսագնդի վրա	Ավելացնել վճարային մեթոդը և անցնել փափուկ KYC նախօրոք

Անվտանգություն ֆիշինգի և դիֆայկայի դեմ

Liveness-դետեկտորները (միկրո/հայելային լույսը) և ակտիվ առաջադրանքները նվազեցնում են ենթաբաժնի ռիսկը։

Face-match-ը '«vs կենդանի դեմքի լուսանկարը»։
Anti-tamper NMS (ID-ի համար չիպով) ապացուցում է փաստաթղթի իսկությունը։
Սարքի վերիֆիկացումը (Secure Enclave/TEE) նվազեցնում է գործոնների ընդհատումը։
Ռեթենացիայի քաղաքականությունները 'կենսաչափություն և փաստաթղթեր պահել միայն այնքան, որքան պահանջում են օրենքը/լիցենզիա։

Գաղտնիությունը և համապատասխանությունը

Տվյալների նվազեցումը 'վերցնել միայն անհրաժեշտ ատրիբուտներ, քողարկել PAN, թունավորել քարտեզները։

Դերերի բաժանումը 'մերչանթը չի տեսնում «հում» կենսաչափական տվյալները, դրանք պահպանում են հավաստագրված պրովայդերը։
Օգտագործողի իրավունքները 'մուտքագրումը/հեռացումը/սահմանափակումը պահանջով (տեղական օրենքների շրջանակներում)։
Լոգներն ու աուդիտը 'միայն տեխնոլոգիական իրադարձությունները, առանց անձնական տվյալների։

Ինչ կարևոր է բիզնեսը (merchant/kasino)

Ռիսկի նվագարկումը 'տարբեր ֆլոու նոր/հին հաճախորդների համար, փոքր/մեծ գումարների համար, «գիշերային» վիրահատությունների համար։

A/B-թեստերը 'նվազագույնի հասցնել զանգը 3-DS/սելֆի այնտեղ, որտեղ դա չի բարձրացնում հավանականությունը։

Գործոնների կատալոգը 'push/կենսաչափության աջակցություն, TOTP, փաստաթղթային կենսաչափություն, NMS ընթերցանություն, Big ID։

Տվյալների որակը 'ճիշտ descriptor, valid MCC, ճիշտ webhuks։

SLA-ն ստուգման համար 'նպատակը 105 վայրկյան է լուծելու համար, 60 վայրկյան step-up-ի վրա։

Հաճախակի հարցեր (FAQ)

Ինչու՞ երկու ստուգում, և՛ բանկ, և՛ չափիչ։

Merchant/PBS-ը գնահատում է ռիսկը մինչև հեղինակային ռիսկը, բանկը ինքնին դուրս է գալիս։ Կրկնակի ֆիլտրը բարձրացնում է ճշգրտությունը և նվազեցնում ֆրոդը։

Արդյո՞ ք միշտ կարող եք անել առանց 3-DS-ի։

Ոչ։ Միջին/բարձր ռիսկի դեպքում և SCA կարգավորիչների պահանջներով պարտական է։

Փաստաթղթերը հարցնում են մեկ անգամ։

Սովորաբար այո, քանի դեռ ռիսկի պրոֆիլը չի փոխվում (գեո, գումարներ, մեթոդներ) կամ չի ավարտվել PoA-ի ժամանակահատվածը։

Կենսաչափությունը անվտանգ է։

Ճիշտ իրականացման դեպքում, այո, դրանք պահվում են հավաստագրված պրովայդերի մոտ, ալիքները կոդավորված են, հասանելիությունը խիստ սահմանափակ է։

Օգտագործողի համար մինի-չեկ թերթ

Ներառված է 2FA բանկում/դրամապանակում և Մերչի կայքում։
Վճարեք սովորական սարքից և առանց PPN-ի։
Պրոֆիլը լցված է լատիներենով, ինչպես փաստաթղթում։ KYC-ն ավարտված է։
Step-up - հանգիստ անցնեմ push/կենսաչափություն/սելֆի հրահանգներով։
Ես չեմ պատրաստում կոդեր/սկաններ զրույցներում, փաստաթղթերը բեռնվում են միայն անձնական գրասենյակում։

Բիզնեսի համար մինի-չեկի թերթ

Ներառված է ռիսկի նվագախումբը ֆլոուի աստիճանով (green/amert/red)։
Աջակցվում են մի քանի գործոններ ՝ push/bio/TOTP/փաստաթղթեր/NTS։
Webhuks/idempotenty և ճիշտ descriptor/MCC։
SLA և տրամաբանություն; կա քայքայման պլան (fallback)։
Տվյալների/վերափոխման և օգտագործողների համար ներդաշնակությունների թափանցիկ տեքստերը։

Ակնթարթային նույնականացման համակարգը ոչ թե մեկ կախարդական թեստ է, այլ անտեսանելի ազդանշանների, ռիսկի մոդելների և կետային ստուգումների խելացի համադրություն «պահանջով»։ Լավ դիզայնի մեջ վճարումների 90 տոկոսը անցնում է առանց շփման, իսկ մնացած համակարգը արագ ընտրում է համապատասխան step-up: push, կենսաչափություն կամ փաստաթուղթ։ Արդյունքը ավելի քիչ ֆրոդ է, ավելի քիչ շեղումներ և արագ, անվտանգ վճարումներ առանց ավելորդ նյարդերի։