チェックアウトの前に住所と記載された郵便番号が一致するか確認する
注文フォームの郵便番号と市区町村の不一致は、小さな入力ミスに見えますが、やがて国内のまったく別の地域に荷物が送られる事態につながります。
IPベースの不正チェックでリスクの高い登録を検知する
あるオンライン融資事業者は、書類上は問題なく見えるのに、1か月後にはチャージバックになる申し込みを承認し続けていました。パターンは毎回同じでした。住宅用ネットワークに一度も触れたことのないアドレスから登録が集中し、そのすべてが数時間のうちに相次いで届いていたのです。
解決に必要だったのは、新しい不正検知ルールでも、審査チームの増員でもありませんでした。必要だったのは、それぞれの登録の背後にある接続について、登録が行われたその瞬間に、より多くを知ることでした。どの申し込みにもすでにIPアドレスが含まれています。問題は、そのアドレスが家庭のインターネット回線、データセンター、既知のオープンプロキシのどれに属するのか、そして同じ週の何十件もの他の登録とネットワークを共有しているかどうかです。
それこそが/v1/ipの呼び出しで返ってくる情報です。リクエスト元のアドレスについて、国、地域、市区町村、郵便番号、座標、タイムゾーン、ASN、組織が返されます。mg_extras=1またはX-MG-Extrasヘッダーを付けると、同じ呼び出しで脅威やネットワークの詳細も返されます。これは、そのアドレスが家庭用ブロードバンドのプールではなくホスティングの範囲内にあることを示すようなシグナルです。住宅用ISPと商用データセンターでは、ASNと組織のフィールドが大きく異なり、その違いが、登録が申告どおりのものではないことを示す最初の兆候になることがよくあります。
この融資事業者は、申し込みレコードが作成される前の段階で、サーバー側の登録処理そのものにこのチェックを組み込みました。既知のホスティングASNからの登録は自動的に却下されるのではなく、手動審査のキューに回されました。IPの国がフォームに入力された請求先住所と一致しない登録も、同じ扱いになりました。どちらのシグナルも、それだけでは不正の証拠にはなりません。しかし、数千件の登録に一貫して適用することで、両者を合わせて人の確認が必要な申し込みの数を減らすことができました。問題のない申し込みが、明らかに疑わしい申し込みと審査時間を奪い合わなくなったからです。
この種のチェックは、規制対象の融資事業者が本人確認(KYC)プロセスの一環としてすでに行っている本人確認や収入確認に取って代わるものではなく、それと並行して行うものです。IPジオロケーションで誰かの収入や身元を確認することはできません。得意なのは、登録フォームが語っている内容を、何よりも先に、低コストかつリアルタイムで裏付けたり、矛盾を示したりすることです。
ここではコストも重要でした。登録1件につきIPチェック1回というのはほとんどのサイトにとって軽い負荷なので、この融資事業者は、すべてのMy Geocodeキーに付いてくる1日あたりの無料リクエスト2,500件の範囲内に収まりました。その割り当てを超えた分は、1リクエストあたり€0.0001のプリペイドクレジットで精算されます。すべての登録フォームで実行するチェックとしては、不良債権1件の損失と比べればわずかな費用です。
これが不正対策チームの判断に取って代わるわけではありません。チームがより良い材料で判断できるようにするものです。データセンターの範囲や国の不一致がある登録で埋まったキューは、手作業で確認する価値があります。ネットワークデータが申込者自身の説明と一致しているキューは、より速く処理できます。それこそが、このチェックを実行する本当の目的です。
両方のアドレスファミリーについてのリクエストとレスポンスの詳細は/docs/ipv4-lookup/と/docs/ipv6-lookup/に、利用できるキーの送信方法は/docs/authentication/に記載されています。