Stripe เป็นมิตรกับ “friendly fraud”
(gingerlime.com)- Friendly fraud คือปัญหาที่ลูกค้าปฏิเสธการชำระเงินหลังจากได้รับสินค้าแล้ว และเป็นด้านที่ Stripe ซึ่งมีสัญญาณการชำระเงินจำนวนมากควรป้องกันได้ดีกว่านี้
- ลูกค้าของ Ciglue ยื่นข้อพิพาทหลังจากคำสั่งซื้อแรกที่มี หลักฐานการจัดส่ง ของ DHL โดยอ้างว่าเป็นความผิดพลาดของธนาคาร แต่ในความเป็นจริงไม่ได้แก้ไขให้ถูกต้อง
- ผู้ขายส่งหลักฐานการจัดส่ง บทสนทนากับลูกค้า และนโยบายต่าง ๆ แล้ว แต่ธนาคารเข้าข้างลูกค้า ทำให้สูญเสียทั้งเงิน สินค้า ค่าจัดส่ง และค่าธรรมเนียมข้อพิพาท
- แม้จะส่งภาพหน้าจอที่ลูกค้าโอ้อวดวิธีการของตนให้ Stripe แล้ว แต่ Stripe ตอบว่าจะไม่นำสิ่งนี้ไปใช้เป็น สัญญาณการฉ้อโกงข้ามร้านค้า
- การตอบสนองของ Stripe จบอยู่แค่ กฎ Radar ของบัญชีผู้ขาย ทำให้ผู้ขายรายถัดไปต้องรับมือกับการเอาเปรียบซ้ำจากลูกค้าคนเดิมใหม่ทั้งหมดตั้งแต่ต้น
ภาพรวมเหตุการณ์และผลของข้อพิพาท
- Friendly fraud คือปัญหาที่ลูกค้าปฏิเสธการชำระเงินหลังจากได้รับสินค้าแล้ว โดยประเด็นนี้ตั้งต้นจากมุมมองที่ว่าผู้ให้บริการรายใหญ่อย่าง Stripe ซึ่งมีสัญญาณการชำระเงินจำนวนมาก ควรรับมือได้ดีกว่านี้
- ลูกค้าซื้อสินค้ากาวสำหรับซิการ์จาก Ciglue สองครั้ง โดยคำสั่งซื้อแรกถูกส่งผ่าน DHL และจัดส่งสำเร็จพร้อมมี หลักฐานการจัดส่ง
- ลูกค้าไม่ได้ขอคืนเงินหรือขอส่งใหม่ แต่กลับยื่นข้อพิพาท และภายหลังธนาคารอธิบายว่าเกิดจากความผิดพลาดที่นำการชำระเงินนี้ไปรวมกับธุรกรรมฉ้อโกงจริงในฟิลิปปินส์
- ลูกค้าบอกว่าจะติดต่อธนาคารและจะชำระเงินใหม่ผ่าน PayPal แต่ในความเป็นจริงไม่ได้แก้ไขกับธนาคาร และยังอ้างเหมือนไม่เคยได้รับสินค้า
- ธนาคารเข้าข้างลูกค้า ผู้ขายจึงสูญเสียทั้งเงิน สินค้า ค่าจัดส่ง และค่าธรรมเนียมข้อพิพาท และหลักฐานการจัดส่ง บทสนทนากับลูกค้า รวมถึงนโยบายบนเว็บไซต์ที่ส่งไปก็ไม่อาจเปลี่ยนผลลัพธ์ได้
- ก่อนที่ข้อพิพาทแรกจะเข้ามา ลูกค้าคนเดิมได้สั่งซื้อครั้งที่สองด้วย การจัดส่งที่ติดตามไม่ได้ และไม่กี่วันหลังจากข้อพิพาทแรก ก็ยื่นข้อพิพาทครั้งที่สองตามมา
- หลังจากข้อพิพาทแรกจบลงโดยเป็นผลดีต่อลูกค้า ลูกค้าได้ส่งอีเมลมาโอ้อวดวิธีการของตน และผู้ขายก็ส่งภาพหน้าจอนั้นให้ Stripe
การตอบสนองของ Stripe และข้อจำกัด
- ผู้ขายส่งภาพหน้าจอให้ Stripe พร้อมสอบถามว่าหลักฐานนี้สามารถถูกรายงานอย่างเหมาะสมไปยังธนาคาร เครือข่ายรับแจ้งการฉ้อโกง หรืออย่างน้อยภายใน Stripe เองได้หรือไม่
- นี่ไม่ใช่คำขอให้กลับคำตัดสินในข้อพิพาทที่จบไปแล้วหรือเพื่อเรียกเงินคืน แต่เป็นความคาดหวังว่าหลักฐานการ ใช้ chargeback ในทางที่ผิด ที่ชัดเจนนี้จะถูกนำไปใช้ให้เกิดความหมายไม่ทางใดก็ทางหนึ่ง
- Stripe ตอบว่าจะไม่นำหลักฐานการใช้ chargeback ในทางที่ผิดที่ได้รับจากผู้ขายรายหนึ่ง ไปสร้างเป็น สัญญาณการฉ้อโกงข้ามร้านค้า หรือใช้กับมาตรการใด ๆ ที่มีผลต่อผู้ขายรายอื่นเกี่ยวกับบัตร อีเมล หรือรายละเอียดอื่นของลูกค้ารายนั้น
- แม้โครงสร้างที่ทำให้ใครบางคนถูกบล็อกอัตโนมัติทั้งระบบการชำระเงินของ Stripe เพียงเพราะผู้ขายรายหนึ่งไม่พอใจจะไม่ใช่สิ่งที่พึงปรารถนา แต่ระหว่าง “บล็อกทั้งระบบ” กับ “เราได้รับภาพหน้าจอแล้ว กรุณาตรวจสอบ Radar” นั้นมีช่องว่างใหญ่มาก
- Stripe โฆษณา Radar ด้วยจุดขายเรื่องปริมาณการชำระเงินและสัญญาณจำนวนมาก การตรวจจับการฉ้อโกงที่ดีกว่า และ network effects ที่ขับเคลื่อนด้วยแมชชีนเลิร์นนิง แต่ในทางปฏิบัติ หลักฐานการใช้ chargeback ในทางที่ผิดจากลูกค้าจริงกลับไม่ถูกต่อยอดเป็น สัญญาณระดับเครือข่าย
- แนวทางแก้ที่แนะนำคือใช้กฎ Radar เพื่อบล็อกการซื้อซ้ำของลูกค้ารายนั้น และผู้ขายอาจต้องอัปเกรดพร้อมจ่ายค่าใช้จ่ายเพิ่มเติมให้ Stripe เพื่อใช้กฎนี้
- ธุรกรรมนี้ดูปกติ ผ่านการตรวจสอบ และที่อยู่จริงก็ตรงกัน จึงยากที่จะกรองสถานการณ์แบบ “ลูกค้าได้รับสินค้าแล้วค่อยไปโกหกธนาคาร” ออกได้ด้วยกฎในขั้นตอน checkout
- ผู้ขายรายเล็กแทบไม่มี อำนาจต่อรอง ในข้อพิพาท ธนาคารเป็นผู้ตัดสิน และระหว่างที่ Stripe ชี้ไปที่ธนาคาร ผู้ขายกลับต้องสูญเสียทั้งเงิน สินค้า ค่าธรรมเนียม และเวลาในการดำเนินการ
- หากหลักฐานใหม่ปรากฏขึ้นภายหลัง ก็อาจสายเกินไปที่จะยื่น และต่อให้ลูกค้าคนเดิมทำซ้ำที่อื่น ผู้ขายรายถัดไปก็ยังอาจตกเป็นเหยื่ออีกครั้ง
- ไม่มีอะไร “friendly” เลย และเมื่อ Stripe ไม่ดำเนินการใด ๆ โครงสร้างนี้จึงกลายเป็นระบบที่เป็นมิตรกับผู้กระทำการฉ้อโกงโดยปริยาย
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
ผมคือ Josh ที่ดูแล ผลิตภัณฑ์ป้องกันการฉ้อโกง Radar ที่ Stripe การฉ้อโกงลักษณะนี้น่าหงุดหงิดมากจริง ๆ และไม่ใช่ประสบการณ์ที่ Stripe อยากมอบให้ผู้ใช้
ประเด็นหลักที่หลายคนพูดถึงตรงนี้สมเหตุสมผล ไม่ใช่แค่เรื่องว่าจะย้อนกลับข้อพิพาทเฉพาะกรณีภายหลังได้หรือไม่ แต่เป็นเรื่องว่า หลักฐานการฉวยโอกาสใช้ chargeback จะถูกนำไปใช้เพื่อปกป้องผู้ประกอบการรายถัดไปได้หรือไม่
อย่างไรก็ตาม เราก็ไม่ต้องการโลกที่เพียงแค่มีรายงานจากผู้ประกอบการรายเดียว ก็ทำให้ผู้ซื้อถูกบล็อกอัตโนมัติจากร้านค้าทั้งหมดของ Stripe ได้ ยังมีข้อพิพาทที่ชอบธรรมอยู่ และบางครั้งบัญชีผู้บริโภคก็ถูกยึดไปใช้งาน อีกทั้ง false positive จากการบล็อกที่รุนแรงเกินไปก็อาจสร้างความเสียหายให้ผู้ซื้อจริงได้
ถึงอย่างนั้น ระหว่าง “บล็อกคนนี้ทั้งหมดแบบอัตโนมัติ” กับ “ขอบคุณสำหรับสกรีนช็อต” มันมีช่องว่างอยู่ชัดเจน และเราอยากแก้จุดนั้น
เนื่องจาก friendly fraud เพิ่มขึ้นมาก เรากำลังขยาย Radar จากผลิตภัณฑ์ป้องกัน fraud ของธุรกรรมอย่างเดียว ไปเป็นผลิตภัณฑ์ที่ป้องกัน fraud และการ abuse ตลอดทั้งวงจรชีวิตลูกค้า เช่น การสมัครสมาชิก การเริ่มทดลองใช้ เป็นต้น
ตอนนี้เรากำลังทำเรื่องการระบุ ผู้ฉวยโอกาสใช้ chargeback เป็นประจำ ทั่วทั้งเครือข่าย Stripe เพื่อแสดงให้ผู้ประกอบการเห็นก่อนทำธุรกรรมและนำไปใช้ประกอบการตัดสินใจ, การให้คะแนนความเสี่ยงการ abuse สะสมของตัวบัญชีลูกค้าเอง, และมาตรการป้องกันที่ช่วยจัดโครงสร้างหลักฐานให้ดีขึ้นผ่าน Smart Disputes เมื่อเกิด friendly fraud เพื่อช่วยให้ชนะข้อพิพาทได้
ถ้ามี feedback เกี่ยวกับ Radar ก็ส่งมาได้ที่ jackerman at stripe dot com
ผมทำ SaaS และเจอเรื่องแบบนี้เป็นครั้งคราว ถ้ามี chargeback เข้ามา ตามหลักแล้วควรบล็อกลูกค้าคนนั้นออกจากฐานข้อมูลทั้งหมด
ถ้าบล็อกทั้งบัตร อีเมล และ access fingerprint ไว้ ก็จะลดความยุ่งยากได้มากเวลาพวกเขาพยายามกลับมาสมัครใหม่หรือซื้อผลิตภัณฑ์เพื่อสร้างปัญหาแบบเดิมอีก
ผมเคยเห็น browser fingerprint สำหรับติดตามผู้ใช้ทุกรูปแบบ แต่ไม่แน่ใจว่าหมายถึงอะไรอย่างการเก็บ fingerprint เฉพาะเวลาจำเป็นหรือเปล่า
น่าแปลกใจที่ Stripe พูดอย่างชัดเจนขนาดนี้ว่า “จะไม่นำหลักฐานการฉวยโอกาสใช้ chargeback ของร้านค้าหนึ่ง ไปทำเป็นสัญญาณ fraud ข้ามร้านค้าสำหรับอีกร้าน หรือใช้ข้อมูลบัตร อีเมล หรือข้อมูลอื่นของลูกค้าเพื่อดำเนินการกับร้านค้าอื่น”
เป็นเรื่องดีที่ Stripe สื่อสารรายละเอียดแบบนี้จริง ๆ แต่ก็พอมองเห็นเหตุผลว่าทำไมบริษัทใหญ่หลายแห่งถึงตอบแบบกำกวมว่า “ขอบคุณสำหรับการแจ้ง เราจะจัดการอย่างเหมาะสม” เพราะพอพูดความจริง คนจะยิ่งโกรธ
ต้องคุยไปมาหลายรอบกว่าจะได้คำตอบที่ชัดเจน แต่สุดท้ายก็ได้คำตอบที่ชัด และจากประสบการณ์ ฝ่ายซัพพอร์ตของ Stripe ก็ยังยอดเยี่ยมและสื่อสารดีอยู่
ลูกค้าโกงคุณ แล้วหลังจากนั้นธนาคารของลูกค้าก็ทำแบบนั้นอีก Stripe ไม่ใช่คนทำ ผมไม่เข้าใจว่าทำไมในชื่อเรื่องและในโพสต์ถึงตำหนิ Stripe
แน่นอนว่า Stripe อาจทำได้มากกว่านี้แม้ไม่มี Radar แต่ถ้า Stripe ทำธุรกิจแบบบล็อกลูกค้าจากทั้งเครือข่าย Stripe เพียงเพราะคำร้องเรียนของผู้ขายรายเดียว มันก็อาจอันตรายได้ แนวทางแบบนั้นย่อมมีปัญหาตามมาอีกมาก
นั่นคือประเด็นที่ผมพยายามจะสื่อในโพสต์บล็อก แน่นอนว่าถ้าร้านค้าบล็อกผู้บริโภคได้ง่ายเกินไปก็ไม่ยุติธรรมเหมือนกัน แต่ยังไงก็น่าจะมี จุดกึ่งกลาง อยู่
Stripe พูดอย่างชัดเจนมากว่าพวกเขาไม่ทำอะไรเลยกับรายงานแบบนี้ มันแค่ถูกเมินไป
ผมเคยทำงานฝั่งผู้ออกบัตรอยู่หลายปี และเคยเห็นเอกสารที่ร้านค้าซึ่งใช้ Stripe ส่งมาอยู่หลายครั้ง ผมรู้จักกรณีที่ตามกฎของเครือข่ายแล้วชนะได้แน่นอน แต่ Stripe กลับปฏิเสธที่จะสู้ข้อพิพาท
ดูเหมือน Stripe จะมองว่าการสู้ chargeback ส่วนใหญ่ไม่คุ้มเงิน อาจเพราะสามารถผลักต้นทุนไปให้ร้านค้าได้ และคิดว่าร้านค้าคงไม่ย้ายไปที่อื่น
ผมเคยจัดการ chargeback ระดับหลายล้านดอลลาร์ บน Stripe เราขายตั๋ว ตั๋วพวกนี้ขายต่อได้ง่าย และลูกค้าก็เป็นนักท่องเที่ยวจากทั่วโลกที่เดินทางมาดูการแสดง
Stripe Radar ไม่ใช่ผลิตภัณฑ์ที่ดีเลย มันให้คะแนนธุรกรรมที่น่าสงสัยมาก ๆ แค่ความเสี่ยงระดับ 1 หรือ 2 จาก 100 อยู่บ่อยครั้ง ผมไม่ได้มีพื้นฐานด้าน machine learning แต่ดูเหมือนจะมีอะไรผิดพลาดในวิธีการ เหมือนระบบทำงานแบบมีสายเส้นหนึ่งขาดอยู่ข้างใน น่าเสียดายที่ดูเหมือน Stripe จะไม่มีแรงจูงใจมากพอที่จะใส่ใจ
ตอนนี้ผมค่อนข้างมั่นใจแล้วว่า อย่างน้อยในเชิงจิตวิญญาณ Stripe ใกล้เคียงกับ PayPal 2.0
มองข้ามการทุจริตบนแพลตฟอร์ม รับเงินไปแล้วค่อยล็อกครีเอเตอร์หรือผู้ขายคอนเทนต์ผู้ใหญ่ และมีอยู่ทุกที่แต่ไม่ได้เป็นที่รักนัก
ผมชอบที่ Stripe เปลี่ยนวงการ fintech และทำให้ผู้คนเข้าถึงแบบ programmable ได้มากขึ้น แต่ด้วยเหตุผลพวกนี้ ช่วงนี้ผมเลยมักบอกคนที่มาขอคำแนะนำเรื่องการชำระเงินว่า “หลีกเลี่ยง Stripe”
ผู้เล่นหน้าใหม่เข้ามาแย่งส่วนแบ่งตลาดด้วยความคล่องตัวและความร่วมงานง่าย
พอเวลาผ่านไป ผู้เล่นหน้าใหม่ก็ต้องรับมือกับการกำกับดูแลด้านกฎระเบียบ, fraud, ภาระด้านปฏิบัติการ, และแนวปฏิบัติแบบเลี่ยงความรับผิดมากขึ้นเรื่อย ๆ
จากนั้นผู้เล่นหน้าใหม่ก็กลายเป็นเจ้าตลาดเดิม แล้วทุกอย่างก็วนกลับไปเริ่มต้นใหม่
โดน chargeback แบบฉ้อโกง โดยอ้างว่าไม่ได้อนุมัติการซื้อ แต่คนคนนั้นมาปรากฏตัวที่ชั้นเรียนด้วยตัวเอง ที่แย่กว่านั้นคือเขาจ่ายผ่าน Link ดังนั้น Stripe จึงได้ยืนยันตัวตนเขาเชิงรุกด้วยการยืนยันตัวตนสองขั้นตอน
มีใครอธิบายได้ไหมว่าทำไม Stripe หรือคู่แข่งถึงไม่ให้ตั้งค่าอย่าง “ปฏิเสธธุรกรรมจากบัตรที่ยื่น chargeback กับร้านค้าเกิน x ครั้งในปีนี้”?
สิ่งที่น่าหงุดหงิดคือ Stripe ชอบคุยเรื่องกฎ Radar แบบแมชชีนเลิร์นนิงต่าง ๆ แต่กลับใส่ข้อมูลที่มีคุณค่าจริง ๆ เข้าไปไม่ได้
ฝ่ายซัพพอร์ตของ Stripe เห็นอีเมลที่ลูกค้าคุยอวดว่าตัวเองโกงฉัน และก็เห็นด้วยเต็มที่ว่านี่คือ friendly fraud แบบชัดเจน แต่ก็ไม่ได้ทำอะไรกับข้อมูลนั้นเลย
และฉันก็ไม่อยากได้ดราม่าข่าวที่ตามมาแบบหลีกเลี่ยงไม่ได้ เช่น “ฉันก็เป็นแค่คุณยายยากจนไร้เดียงสา เชื่อโฆษณา Facebook เท่านั้นเอง แล้ว Stripe ก็แบนฉันจากร้านค้าบนอินเทอร์เน็ตครึ่งหนึ่งเพราะฉันโดนโกง!”
นี่มันก็แค่การฉ้อโกง คำว่า “friendly fraud” ใช้กับกรณีที่เป็นเรื่องไม่ตั้งใจหรือเกิดจากเจตนาดี เช่น ลูกค้าจำรายการเก็บเงินไม่ได้เลยยื่น chargeback
คำว่า “แค่การฉ้อโกง” ถูกใช้กับกรณี “อาชญากร c ใช้บัตรของเจ้าของบัตร a ที่ไม่รู้เรื่อง กับร้านค้า b ที่ไม่รู้เรื่อง” อยู่แล้ว ถ้าอย่างนั้นก็สงสัยว่าทำไมถึงคัดค้านคำว่า “friendly fraud”
บทความดีมาก ประเด็นสำคัญคือ Stripe ยอมรับว่าจะไม่ใช้ หลักฐานของ friendly fraud หลังเกิดข้อพิพาท เป็นสัญญาณข้ามร้านค้าของ Radar
พอรวมกับการที่ลูกค้ายังอวดแบบตรงตัวหลังชนะ chargeback ก็ยิ่งเห็นชัดว่าระบบนี้เอียงเสียเปรียบผู้ขายอิสระแค่ไหน
เห็นได้ชัดว่า Stripe บันทึกข้อมูลที่เกี่ยวกับ friendly fraud อย่างน้อยก็มีการทำ Visa Compelling Evidence 3.0 https://support.stripe.com/questions/how-does-stripe-support...
เนื่องจากไม่มีภาพหน้าจอข้อความจากฝ่ายซัพพอร์ตของ Stripe ฉันเลยสงสัยว่าอาจเป็นแค่พยายามให้เรื่องจบด้วยคำตอบกำกวมที่ระมัดระวังและปลอดภัยทางกฎหมาย แล้วสุดท้ายมันก็กลายเป็นโพสต์บล็อกด้วยความโกรธ
“ผมจะบันทึก feedback นี้และส่งต่อให้ทีม ข้อสังเกตของคุณเกี่ยวกับการตรวจจับการใช้ในทางที่ผิดหลังธุรกรรมนั้นมีเหตุผล Stripe มีการตรวจจับการฉ้อโกงระดับเครือข่ายที่แข็งแกร่ง แต่ดูเหมือนจะยังมีช่องว่างในการนำหลักฐานการฉ้อโกงที่ยืนยันโดยร้านค้ามาใช้เพื่อปกป้องระบบนิเวศร้านค้าในวงกว้าง feedback แบบนี้จากร้านค้าที่มีหลักฐานโดยตรงมีคุณค่าในการปรับปรุงระบบ”
แต่กรณีในบทความคือคนที่มีแค่การซื้อที่ถูก dispute ภายใน 1–2 สัปดาห์