Როგორ მუშაობს მყისიერი იდენტიფიკაციის სისტემა გადახდის დროს

როდესაც დააჭირეთ „გადახდას“, შემოწმების ჯაჭვი იწყება ფონზე, რომელიც 300-1500 ms გადაწყვეტს: ენდობა გარიგებებს „ერთ დაწკაპუნებაში“ ან სთხოვეთ დამატებითი დადასტურება (SMS/push, ბიომეტრია, სელფი, დოკუმენტი). ამ ჯაჭვს ეწოდება მყისიერი იდენტიფიკაციის სისტემა (ხშირად ამბობენ - ნამდვილი დრო KYC/ID + SCA). მისი მიზანია ერთდროულად შეამციროს ფროიდი და არ გააფუჭოს კონვერსია.

ტერმინები დაბნეულობის გარეშე

იდენტიფიკაცია - „ვინ ხართ“ ატრიბუტით (FIO, ტელეფონი, ელ.ფოსტა, მოწყობილობა).

პიროვნების გადამოწმება - დაადასტუროთ, რომ ატრიბუტები თქვენ ეკუთვნით (დოკუმენტი, სელფის შედარება, NFC ჩიპი). კეთდება პირველი დიდი გადახდის/ამოღების ან რისკის დროს.

ავთენტიფიკაცია - იმის დამტკიცება, რომ ახლა თქვენ აკეთებთ გადახდას (პაროლის ერთჯერადი კოდი, push/ბიომეტრია, აპარატურის გასაღები).

SCA/3-DS 2 - „კლიენტის ძლიერი ავთენტიფიკაცია“ ორ ფაქტორზე (ცოდნა/საკუთრება/ყოფნა).

რა არის მყისიერი იდენტიფიკაცია

1. სიგნალის უხილავი შეგროვება (დაწკაპეთ „გადახდა“):

Device-fingerprint: მოდელი, OS, ბრაუზერი, დრო, შრიფტები, სენსორები.
ქსელის მონაცემები: IP/ASN, მარიონეტული/VPN, გეო, შეფერხებები.
ქცევა (behavioral): ნაკრები სიჩქარე, ფრჩხილი, თაგვის ტრაექტორია, შეცდომის სქემები.
ანგარიში სიგნალები: ანგარიშის ასაკი, 2FA, გადახდის მეთოდების ისტორია, სახელის დამთხვევა.

2. გარიგების კონტექსტი: თანხა, ვალუტა, მერჩანტი/MSS, მცდელობების სიხშირე და „სიჩქარე“, BIN ბარათი/საფულის ტიპი.

3. რეპუტაციის სწრაფი სერთიფიკატები: email/ტელეფონის გაჟონვა, IP სარისკო დიაპაზონი, მოწყობილობების შავი/ნაცრისფერი სიები, სანქციების/REP დროშები ანგარიშის მიხედვით (თუ გამოიყენება).

4. რისკის შეფასება რეალურ დროში: მოდელი (ML + წესები) აძლევს სკორს და გამოსავალს:

Frictionless (მწვანე): გამოტოვეთ დამატებითი ნაბიჯების გარეშე.
step-up (ყვითელი): ჩვენ ვთხოვთ 3-DS/push, ბიომეტრია ან სელფის მატჩი დოკუმენტთან.
ბლოკი (წითელი): გადახრა/ალტერნატივა ვთხოვთ.

5. Step-up-მეთოდები (escalating სირთულის მიხედვით):

SCA ხახუნის გარეშე: პუში საბანკო განაცხადში/მოწყობილობის ბიომეტრია.
OTP/TOTP: ერთჯერადი კოდი (უსაფრთხოების უარესი, მაგრამ სწრაფად).
დოკუმენტი + სელფი: OCR/MRZ კითხვა, ანტი-სპუპინგი, ზოგჯერ NFC ჩიპი ID/პასპორტი განაცხადში.
Reusable ID (BankID/ეკოსისტემური eID): სანდო პროვაიდერის უკვე დადასტურებული პიროვნების „გამკაცრება“.
აპარატურის გასაღები (FIDO2/passkey): საფულეებისთვის/ბანკებისთვის/მაღალი შეზღუდვებისთვის.

როგორ გამოიყურება ნაბიჯები (ტიპიური ნაკადი)

1. მომხმარებელი ავსებს გადახდის ფორმას - ფრონტი აგროვებს მოწყობილობებს/ბეჰავიორიალურ სიგნალებს.

2. გადახდის მონაცემები + კონტექსტი დაფრინავს PSP/ბანკის რისკის ორკესტრში.

3. თუ დაბალი რისკი არსებობს, საავტორო უფლებები მშვიდია, მომხმარებელი წარმატებულ გადახდას ხედავს.

4. თუ საშუალო რისკი გამოწვეულია SCA (3-DS 2/push/ბიომეტრია).

5. თუ დოკუმენტის/სელფის ან ბლოკის მოთხოვნის მაღალი რისკია, სხვა მეთოდის/ლიმიტის შეთავაზება.

6. შედეგის შედეგი და კოდები ბრუნდება მერჩანტში; სისტემა ახსოვს „კარგი“ მოწყობილობა/ნიმუში.

დროის ბიუჯეტი: გადაწყვეტილებების უმეტესობა ჯდება 0.3-1.5 წამში. ბიომეტრია/დოკუმენტები ემატება 10-60 წამს, მაგრამ გამოიყენება მხოლოდ რეალურ რისკში.

რატომ მუშაობს სწრაფად

წინასწარ მომზადებული ML მოდელები (გრადიენტის ბუსტინგი/ნერვული ქსელები) მილიონობით გარიგებისთვის.

მოწყობილობების/ფოსტის/ტელეფონების რეპუტაციის კაშხალი.

ასიმეტრიული ლოგიკა: ჯერ იაფი სიგნალები, შემდეგ - ძვირადღირებული შემოწმებები.

Idempotence და webhooks: განმეორებითი პასუხები არ ქმნის გადახდის დუბლს.

სადაც UX ყველაზე ხშირად „იშლება“ და როგორ ავიცილოთ ეს

პრობლემა	რატომ	როგორ გამოვასწოროთ
თხოვნა სელფისთვის „ცისფერია“	მოულოდნელი VPN/ახალი მოწყობილობა/ღამის საათი + დიდი თანხა	გამორთეთ VPN, დაადასტუროთ მოწყობილობა, შეწყვიტეთ თანხა ლიმიტებში
3-DS არ მოდის	SIM-swap/rouming/არა კავშირი	გამოიყენეთ push დადასტურება/ბანკის პროგრამა SMS- ის ნაცვლად
„დოკუმენტი არ იკითხება“	ბლიკი, მოჭრილი მინდვრები, ძველი დოკუმენტი	სურათი ბლიკის გარეშე, 300 dpi, მთელი შემობრუნება; თუ შესაძლებელია - NFC განაცხადში
საეჭვო ელ.ფოსტა/ტელეფონი	ჩნდება გაჟონვაში/სპამაში	ჩართეთ 2FA, შეცვალეთ პაროლი/ფოსტა, დაადასტუროთ პროვაიდერის ნომერი
გრძელი პირველი გადახდა	ორკესტრი „სწავლობს“ ახალ პროფილზე	წინასწარ დაიწყეთ გადახდის მეთოდი და გაიარეთ რბილი KYC

უსაფრთხოება ფიშინგისა და დიპტიქსის წინააღმდეგ

Liveness დეტექტორები (მიკროტალღური/სარკის შუქი) და აქტიური დავალებები ამცირებს შემცირების რისკს.

Face-match დამატებითი და შემოწმებით „ფოტო ცოცხალი სახე“.

Anti-Temper NFC (ID- სთვის ჩიპით) ადასტურებს დოკუმენტის ნამდვილობას.

მოწყობილობის გადამოწმება (Secure Enclave/TEE) ამცირებს ფაქტორების ჩარევას.

სარეკრეაციო პოლიტიკოსები: შეინახეთ ბიომეტრია და დოკუმენტები მხოლოდ იმდენი, რამდენიც საჭიროა კანონი/ლიცენზია.

კონფიდენციალურობა და შესაბამისობა

მონაცემების მინიმიზაცია: მხოლოდ საჭირო ატრიბუტების აღება, PAN- ის შენიღბვა, ბარათების ტოქსიკაცია.

როლების გამიჯვნა: მერჩანტი ვერ ხედავს „ნედლეულ“ ბიომეტრიულ მონაცემებს - მათ ინახავს სერტიფიცირებული პროვაიდერი.

მომხმარებლის უფლებები: წვდომა/მოცილება/დამუშავების შეზღუდვა მოთხოვნის შესაბამისად (ადგილობრივი კანონების ფარგლებში).

ლოგოები და აუდიტი: აღირიცხება მხოლოდ ტექნიკური მოვლენები, ზედმეტი პერსონალური მონაცემების გარეშე.

რაც მნიშვნელოვანია ბიზნესისთვის (მერჩანტი/კაზინო)

რისკის ორკესტრი: სხვადასხვა ფლეშ ახალი/ძველი მომხმარებლებისთვის, მცირე/დიდი თანხებისთვის, „ღამის“ ოპერაციებისთვის.

ხახუნის A/B ტესტები: 3-DS/სელფის ზარის შემცირება, სადაც ეს არ ზრდის დამტკიცებას.

ფაქტორების კატალოგი: push/ბიომეტრიის მხარდაჭერა, TOTP, დოკუმენტების ბიომეტრია, NFC კითხვა, BankID.

მონაცემთა ხარისხი: სწორი descriptor, მოქმედი MCC, სწორი ვებჰუკი.

SLA გადამოწმებისთვის: მიზანი - 1.0 წამი ევრო გამოსავალზე, 60 წამი სიჩქარით.

ხშირი კითხვები (FAQ)

რატომ არის ორი შემოწმება - როგორც ბანკი, ასევე მერკური?

მერჩანტი/PSP აფასებს რისკს ავტორიზაციამდე, ბანკი - თავად ჩამოწერის დროს. ორმაგი ფილტრი ზრდის სიზუსტეს და ამცირებს ფროიდს.

ყოველთვის შესაძლებელია 3-DS- ის გარეშე?

არა. საშუალო/მაღალი რისკით და რეგულატორების მოთხოვნების შესაბამისად, SCA სავალდებულოა.

დოკუმენტები ერთხელ იკითხება?

ჩვეულებრივ, დიახ, სანამ რისკის პროფილი (გეო, თანხები, მეთოდები) იცვლება ან PoA- ს ვადა არ ამოიწურება.

ბიომეტრია უსაფრთხოა?

სწორი განხორციელებით - დიახ: შაბლონები ინახება სერტიფიცირებულ პროვაიდერში, არხები დაშიფრულია, წვდომა მკაცრად შეზღუდულია.

მომხმარებლის მინი ჩეკის სია

შედის 2FA ბანკში/საფულეში და მერჩანტის ვებსაიტზე.
გადაიხადეთ ჩვეულებრივი მოწყობილობიდან და VPN გარეშე.
პროფილი ივსება ლათინურად, როგორც დოკუმენტში; KYC დასრულდა.
step-up- ზე - მშვიდად გავდივარ push/biometria/selfi ინსტრუქციის შესაბამისად.
არ ვუზიარებ კოდებს/სკანირებას ჩათებში, ვგზავნი დოკუმენტებს მხოლოდ პირად ანგარიშზე.

მინი ჩეკის სია ბიზნესისთვის

რისკის ორკესტრი ჩართულია green/amber/red გრადაციით.
მხარს უჭერს რამდენიმე ფაქტორს: push/bio/TOTP/დოკუმენტები/NFC.
დამკვიდრდა ვებჰუკი/იდემპოტენტობა და სწორი descriptor/MCC.
განწყობილი SLA და ლოგიკა; არსებობს დეგრადაციის გეგმა.
მონაცემთა/რეტენციების პოლიტიკოსები და მომხმარებლებისთვის თანხმობის გამჭვირვალე ტექსტები.

მყისიერი იდენტიფიკაციის სისტემა არ არის ერთი „ჯადოსნური ტესტი“, არამედ უხილავი სიგნალების, რისკის მოდელების და მოთხოვნის წერტილების შემოწმების ჭკვიანი კომბინაცია. კარგ დიზაინში, გადახდების 90% ხდება ხახუნის გარეშე, ხოლო დანარჩენი სისტემისთვის სისტემა სწრაფად ირჩევს ადეკვატურ ნაბიჯს: push, ბიომეტრია ან დოკუმენტი. შედეგი - ნაკლები წინსვლა, ნაკლები გადახრა და სწრაფი, უსაფრთხო გადახდა ზედმეტი ნერვების გარეშე.