Ein Online-Kreditgeber genehmigte immer wieder Anträge, die auf dem Papier gut aussahen und einen Monat später zu Rückbuchungen führten. Das Muster war immer dasselbe: eine Welle von Registrierungen von Adressen, die nie mit einem privaten Netzanschluss in Berührung gekommen waren, alle innerhalb weniger Stunden.
Die Lösung erforderte weder neue Betrugsregeln noch ein größeres Prüfteam. Sie erforderte, mehr über die Verbindung hinter jeder Registrierung zu wissen, und zwar in dem Moment, in dem sie stattfand. Jeder Antrag enthält bereits eine IP-Adresse. Die Frage ist, ob diese Adresse zu einem privaten Internetanschluss, einem Rechenzentrum oder einem bekannten offenen Proxy gehört und ob sie ein Netz mit Dutzenden anderer Registrierungen aus derselben Woche teilt.
Genau das liefert ein Aufruf von /v1/ip: Land, Region, Stadt, Postleitzahl, Koordinaten, Zeitzone, ASN und Organisation für die anfragende Adresse. Mit mg_extras=1 oder dem Header X-MG-Extras liefert derselbe Aufruf auch Bedrohungs- und Netzwerkdetails, also die Art von Signal, die zeigt, dass eine Adresse in einem Hosting-Bereich liegt und nicht in einem Pool privater Breitbandanschlüsse. Ein privater Internetanbieter und ein kommerzielles Rechenzentrum haben sehr unterschiedliche Felder für ASN und Organisation, und dieser Unterschied ist oft das erste Anzeichen dafür, dass eine Registrierung nicht das ist, was sie vorgibt zu sein.
Der Kreditgeber baute dies direkt in den Registrierungs-Handler ein, serverseitig, noch bevor der Antragsdatensatz überhaupt angelegt wurde. Eine Registrierung von einer bekannten Hosting-ASN wurde nicht automatisch abgelehnt, sondern in eine manuelle Warteschlange geleitet. Eine Registrierung, bei der das Land der IP nicht zur im Formular eingegebenen Rechnungsadresse passte, wurde genauso behandelt. Keines der beiden Signale ist für sich ein Beweis für Betrug. Konsequent auf Tausende von Registrierungen angewendet, verringerten sie zusammen die Zahl der Anträge, die ein Mensch prüfen musste, weil die unauffälligen nicht mehr mit den offensichtlich verdächtigen um Prüfzeit konkurrierten.
Eine solche Prüfung ergänzt die Identitäts- und Einkommensprüfung, die ein regulierter Kreditgeber ohnehin im Rahmen seines Know-Your-Customer-Prozesses durchführt, und ersetzt sie nicht. IP-Geolokalisierung bestätigt weder das Einkommen noch die Identität einer Person. Was sie gut kann, ist die Geschichte, die ein Registrierungsformular erzählt, günstig und in Echtzeit zu bestätigen oder zu widerlegen, bevor irgendetwas anderes passiert.
Auch die Kosten spielten eine Rolle. Der Kreditgeber blieb innerhalb der 2.500 kostenlosen Anfragen pro Tag, die zu jedem My Geocode Schlüssel gehören, da eine IP-Prüfung pro Registrierung für die meisten Websites eine geringe Last ist. Über dieses Kontingent hinaus werden die Aufrufe mit 0,0001 € pro Anfrage vom Prepaid-Guthaben abgerechnet, was für eine Prüfung bei jedem Registrierungsformular ein kleiner Posten ist, verglichen mit den Kosten eines einzigen faulen Kredits.
Nichts davon ersetzt das Urteil eines Betrugsteams. Es gibt diesem Team besseres Material für sein Urteil. Eine Warteschlange voller Registrierungen aus Rechenzentrumsbereichen und mit abweichenden Ländern lohnt eine manuelle Prüfung. Eine Warteschlange, in der die Netzwerkdaten zur eigenen Geschichte der Antragsteller passen, kann schneller abgearbeitet werden, und genau darin liegt der eigentliche Sinn der Prüfung.
Alle Details zu Anfragen und Antworten für beide Adressfamilien finden Sie unter /docs/ipv4-lookup/ und /docs/ipv6-lookup/, die verfügbaren Schlüsselmethoden unter /docs/authentication/.