ถ้าอยากทำลายธุรกิจคู่แข่ง? การโจมตีฉ้อโกงการชำระเงินด้วยบัตรเครดิตที่ถูกขโมย
(oppositeinvictus.com)- มีการเกิดขึ้นจริงกับผู้ประกอบการ SaaS รายเล็กของการโจมตีแบบฉ้อโกงที่ทำโดยทำให้เกิดการชำระเงินซ้ำ ๆ ด้วยบัตรเครดิตที่ถูกขโมยผ่าน ตัวประมวลผลการชำระเงิน ของคู่แข่ง
- แม้จะรักษาความสัมพันธ์ทางธุรกิจกับ PayPal มา 10 ปี และกับ Stripe มา 7 ปี และมียอดขายรวมมากกว่า 500,000 ดอลลาร์ ก็ยังถูกจำกัดบัญชีโดยไม่มีการติดต่อแจ้งล่วงหน้า
- แม้แพลตฟอร์มการชำระเงินรายใหญ่จะมีรายได้หลายพันล้านดอลลาร์ แต่กลับไม่มี บุคลากรสนับสนุนลูกค้าที่ใช้งานได้จริง
- ในฐานะ นักพัฒนา SaaS แบบคนเดียว การทำให้ธุรกิจมีเสถียรภาพในสภาพแวดล้อมเช่นนี้ยิ่งยากขึ้นเรื่อย ๆ
- บน Hacker News และ Reddit ก็มีการแสดงความไม่พอใจต่อแพลตฟอร์มการชำระเงินอยู่บ่อยครั้ง และเป็นตัวอย่างที่ชี้ให้เห็นถึง ความเสี่ยงจากการพึ่งพาแพลตฟอร์ม ของผู้ประกอบการรายเล็ก
วิธีโจมตีคู่แข่งด้วยบัตรเครดิตที่ถูกขโมย
- ใช้วิธีนำ บัตรเครดิตที่ถูกขโมย ไปใช้กับตัวประมวลผลการชำระเงินของคู่แข่ง เพื่อจ่ายเงินให้สแกมเมอร์และทำให้เกิดการชำระเงินซ้ำ ๆ
- ส่งผลให้บัญชีรับชำระเงินของธุรกิจเป้าหมายมีประวัติ ธุรกรรมฉ้อโกง (fraud) สะสม จนนำไปสู่การถูกจำกัดบัญชี
สถานการณ์ความเสียหายที่เกิดขึ้นจริง
- มีความสัมพันธ์ทางธุรกิจกับ PayPal มา 10 ปี และกับ Stripe มา 7 ปี โดยมียอดขายรวมจากทั้งสองแพลตฟอร์มมากกว่า 500,000 ดอลลาร์
- แต่ถึงอย่างนั้น ฝั่งแพลตฟอร์มก็ยัง จำกัดบัญชีโดยไม่มีการแจ้งล่วงหน้า
- ขณะนี้การโจมตีดังกล่าวยังดำเนินอยู่ และส่งผลกระทบรุนแรงต่อการดำเนินธุรกิจ
การขาดการสนับสนุนลูกค้าของแพลตฟอร์มการชำระเงินรายใหญ่
- แม้จะเป็น บริษัทขนาดใหญ่ ที่ทำรายได้หลายพันล้านดอลลาร์ แต่กลับขาดบุคลากรสนับสนุนที่ใช้งานได้จริง
- บน Hacker News และ Reddit ก็มีการร้องเรียนเกี่ยวกับแพลตฟอร์มเหล่านี้อยู่บ่อยครั้ง
ความไม่มั่นคงของผู้ประกอบการ SaaS แบบคนเดียว
- ในฐานะ Solo SaaS Builder การรักษาเสถียรภาพของธุรกิจ (job security) ยิ่งยากขึ้นเรื่อย ๆ
- มี ความเปราะบางเชิงโครงสร้าง ที่ความสัมพันธ์ทางธุรกิจระยะยาวอาจถูกตัดขาดได้ในพริบตาจากการตัดสินใจฝ่ายเดียวของแพลตฟอร์ม
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
สิ่งที่น่ากังวลเสมอคือไม่มีทางหลีกเลี่ยงแพลตฟอร์มแบบนี้ได้ ตอนนี้ร้านเบเกอรีที่ผมทำอยู่ถูกระงับบน Google Maps แบบกะทันหัน ซึ่งเป็นช่องทางหลักที่คนใช้หาเรา เลยกระทบหนักมาก
เมื่อ 7 วันก่อน จู่ ๆ ก็ได้รับแจ้งว่า “บัญชีถูกระงับเพราะไม่ปฏิบัติตามหลักเกณฑ์สำหรับธุรกิจ” ทั้งที่สิ่งล่าสุดที่เปลี่ยนมีแค่เวลาเปิดทำการ ตลอด 2 ปีที่ผ่านมาก็อยู่บนระบบได้โดยไม่มีปัญหา แต่กลับไม่บอกว่าปัญหาคืออะไร บอกแค่ว่าให้แก้ไขแล้วค่อยยื่นขอกู้คืน
เขาบอกว่าอาจใช้เวลาสูงสุด 2 สัปดาห์ ตอนนี้ผ่านมาแล้ว 7 วัน และถ้าถูกปฏิเสธก็แทบไม่มีทางเลือกนอกจากลบรายการทิ้ง เท่ากับว่ารีวิวที่สะสมมา 2 ปีก็จะหายไปด้วย
วันก่อนถูกระงับ ผมได้ยินจากพนักงานว่ามีนักท่องเที่ยวชาวเกาหลีมาที่ร้านแล้วอ้างว่าเราเป็นร้านปลอม และเพราะสื่อสารภาษาอังกฤษกันไม่ค่อยได้ เลยคงอธิบายไม่สำเร็จว่าที่นี่คือสถานที่จริง หรือไม่ก็อาจจะกำลังหาร้านอื่นอยู่แต่แรกอยู่แล้ว น่าจะมีโอกาสสูงที่เขาจะเขียนรีวิวเชิงลบแล้วรายงานตำแหน่งว่าเป็นของปลอม
สรุปคือ 2 ปี, คะแนน 4.9 และรีวิวเชิงบวกมากกว่า 100 รายการ อาจหายวับไปด้วยเหตุผลที่ไม่รู้แน่ชัด ไม่ว่าจะเป็นเพราะนักท่องเที่ยวที่สับสนหนึ่งคน การแก้เวลาเปิดทำการ หรือระบบตรวจสแปมอัตโนมัติ ผมหวังว่ากฎหมาย EU ฉบับถัดไปจะจัดการปัญหาแบบนี้มากกว่ามุ่งแต่เรื่องข้อมูลส่วนบุคคล เพราะสำหรับธุรกิจเล็ก ๆ นี่เป็นปัญหาใหญ่พอ ๆ กัน
“สัตว์แปลกหายาก” ที่เป็นปัญหาจริง ๆ คือ Aphelandra Squarrosa หรือก็คือต้นไม้ใบลายม้าลาย ไม่มีทางอุทธรณ์การลงโทษนี้ได้ และไม่มีทางทำให้มีคนมาตรวจสอบด้วยตัวเองได้ด้วย จึงยังคงกระทบต่อความสามารถในการสื่อสารกับฐานลูกค้าอย่างต่อเนื่อง
การที่แพลตฟอร์มอย่าง Google ลบรายการโดยไม่มีหลักฐานควรเป็นเรื่องผิดกฎหมาย และถ้าพิสูจน์ไม่ได้แต่ยังลบไปแล้ว ก็ควรถูกบังคับให้ชดเชยความเสียหายตามกฎหมาย แบบนั้นถึงจะจริงจังกับปัญหานี้
น่าจะคุยกับทนายดู และประเทศอื่น ๆ ใน EU ส่วนใหญ่ก็น่าจะมีระบบคล้ายกัน เพียงแต่อาจต้องยื่นทั้งกับ Google Europe ที่ดับลิน/ไอร์แลนด์ และสำนักงาน Google ในประเทศของตัวเอง
ผมยังเคยเห็นร้านอาหารชื่อคล้ายกันไปยึด URL ของอีกที่ก่อนด้วย แปลกดีที่ Google เผยแพร่ข้อมูลแบบนี้โดยไม่ยืนยันกับเจ้าของธุรกิจเลย ทั้งสร้างความเสียหายมาก และดูเหมือนเอื้อให้มิจฉาชีพทำงานได้สะดวก
มันเป็นรีวิวยาวที่เขียนอย่างตั้งใจและรอบคอบ มีทั้งข้อดีและคำแนะนำรวมอยู่ด้วย แต่กลับหายไปทั้งก้อน ทำให้ผมหงุดหงิดมาก ที่แย่กว่านั้นคือร้านนั้นค่อนข้างแย่แต่ยังรักษาคะแนน 4.5 ไว้ได้ และรีวิวคะแนนต่ำช่วงหลังก็ล้วนสงสัยว่าคะแนนนั้นถูกปั่นขึ้นมาเอง
อาจโทษคู่แข่งที่ไม่หวังดีได้ แต่ปัญหาที่แท้จริงคือ บัตรเครดิตไม่ใช่เครื่องมือที่เหมาะกับการจ่ายเงินให้คนแปลกหน้าบนอินเทอร์เน็ต
ทุกครั้งที่ทำธุรกรรมด้วยบัตรเครดิต ก็เท่ากับส่งต่อข้อมูลที่ทำให้อีกฝ่ายสามารถสร้างรายการใช้จ่ายก้อนใหญ่กับร้านค้าใดก็ได้ในนามของเรา ซึ่งมันไม่สมเหตุสมผล
ช่วงหลังเว็บไซต์ต่าง ๆ ใช้ Apple Pay มากขึ้น และถ้ามันทำงานแบบเดียวกับ Apple Pay ตามปกติ ก็จะเป็นการแลกเปลี่ยนโทเค็นใช้ครั้งเดียวที่ปลอดภัยและตรวจสอบได้ด้วยวิธีเข้ารหัส ดังนั้นในเชิงเทคนิคจึงปลอดภัยกว่า แม้จะไม่ชอบที่ต้องให้อำนาจ Apple มากขึ้นก็ตาม
PayPal ก็ไม่ใช่ว่าทุกคนจะชอบ แต่ อย่างน้อยก็ไม่ได้ส่งต่อหมายเลขบัตรเครดิตโดยตรง เพียงแต่ดูเหมือน PayPal เองก็ล็อกผู้ค้าจำนวนมากเช่นกัน
ในมุมผู้บริโภค บัตรเครดิตก็ไม่ได้ดีนักเหมือนกัน แค่เดินทางอยู่ในเมืองเดียวกันแล้วไปใช้จ่ายราว 20 ดอลลาร์กับร้านที่ปกติไม่เคยไป บัตรก็เคยถูกล็อกมาแล้ว หรือแม้แต่ค่าบริการเว็บรายเดือน 5 ดอลลาร์ที่ยืนยันมาแล้วสองเดือนติดกันก็ยังเคยทำให้บัตรถูกล็อก
ร้านค้าเอาโทเค็นนี้ไปทำอย่างอื่นไม่ได้ หากฐานข้อมูลโทเค็นของร้านค้ารั่วไหลก็น่าอับอาย แต่ความเสียหายจะจำกัด และถ้าฐานข้อมูลหมายเลขบัตรของ PSP ถูกเจาะ แม้จะสร้างความเดือดร้อนให้ผู้ถือบัตร แต่สำหรับ PSP เองถือเป็นเหตุร้ายแรงระดับที่การปฏิบัติตาม PCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... พังลงจนแทบต้องปิดกิจการ
สรุปคือการจ่ายด้วยบัตรทั่วไปก็ปลอดภัยโดยเนื้อแท้พอ ๆ กับ Apple Pay ความต่างคือฝั่งหนึ่งคือการเชื่อใจแบรนด์เทคยักษ์ใหญ่ที่รับงานเสริมด้านการชำระเงินมาตั้งแต่ปี 2014 ส่วนอีกฝั่งคือการเชื่อใจบริษัทอย่าง Adyen, Braintree, WePay, Worldline ที่คุณอาจไม่คุ้นชื่อ แต่ทำธุรกิจหลักด้านประมวลผลการชำระเงินอย่างปลอดภัยมานานกว่ามาก
เพราะอย่างนี้ ทุกครั้งที่ได้ยินคำว่า “การตรวจจับการฉ้อโกงที่มี AI ช่วย” หรือยิ่งไปกว่านั้นคือ “ความปลอดภัยที่มี AI ช่วย” ก็จะนึกถึงเรื่องนี้เสมอ ถ้าไม่มีบัตรเครดิตอีกใบ ก็คงต้องใช้ชีวิตแบบคอยกังวลตลอดว่าจะถูกปฏิเสธแบบสุ่มในธุรกรรมไหนเมื่อไรก็ได้ ทั้งที่ธนาคารของฉันมีประวัติย้อนหลัง 10 ปี แต่กลับทำเหมือนไม่รู้รอบการชำระเงินเลย
ชัดเจนว่าพวกเขาแค่ขายประวัติของฉันให้คนที่จ่ายแพงที่สุด ไม่ได้นำมาใช้เพื่อช่วยฉันเลย เรื่องนี้คล้ายกับที่ Gmail แม้แต่การค้นหาสตริงย่อยแบบตรงเป๊ะก็ยังทำได้แย่พอ ๆ กับ Google เว็บเสิร์ช บริษัทที่บอกว่าจะสร้าง “มูลค่า” จากการทำดัชนีเราเป็นโมเดลผู้บริโภคความละเอียดสูงนั้น เฝ้าดูเราทุกอย่างแต่กลับทำเรื่องพื้นฐานไม่ได้
การที่ความเป็นส่วนตัวพังทลายอาจถือเป็นราคาของความทันสมัยจนแทบกลายเป็นเรื่องคาดหมายได้แล้ว แต่สิ่งที่น่าตกใจกว่าในทุกวันนี้คือ เรากลับไม่ได้แม้แต่ความสะดวกเล็กน้อยตอบแทนมา
ทิศทางของธุรกรรมควรจะกลับกัน ร้านค้าควรเป็นฝ่ายง่าย ๆ ที่แค่ส่งรายละเอียดการชำระเงินมา แล้วโทรศัพท์ของลูกค้าจึงค่อยตรวจสอบและเริ่มการจ่ายเงินเอง มันยังไม่น่าเชื่อว่านี่ยังไม่กลายเป็นมาตรฐาน และยิ่งแปลกกว่านั้นคือการชำระเงินบนอินเทอร์เน็ตก็ไม่ได้เปลี่ยนไปในทางเดียวกันตั้งนานแล้ว
ถ้าเป็นธุรกรรมที่น่าสงสัย ฉันคิดว่าใช้บัตรเครดิตดีกว่าใช้สิ่งที่ผูกกับบัญชีกระแสรายวันโดยตรง ถ้าหมายเลขบัตรถูกขโมยไปในที่สุดก็ยุ่งยากอยู่ดี แต่การจ่ายแบบ NFC และสิ่งคล้ายกันก็กำลังค่อย ๆ ช่วยแก้ปัญหานี้
มีคนจำนวนมากเข้าใจบัตรเครดิตผิด ถ้าจ่ายเต็มจำนวนทุกเดือน โดยทั่วไปก็จะได้สิทธิประโยชน์ตอบแทน และยังมีเกราะป้องกันชั้นใหญ่ระหว่างการเงินส่วนตัวของเรากับการฉ้อโกง แน่นอนว่าฉันก็ยังรอให้ระบบบัตรเครดิตที่ปลอดภัยกว่านี้แพร่หลายออกไป
แม้แต่ในที่อย่างสหภาพยุโรปซึ่งค่าธรรมเนียมการชำระเงินถูกกำหนดเพดานไว้ เพดานค่าธรรมเนียมบัตรเครดิตก็ยังสูงกว่าค่าธรรมเนียมบัตรเดบิตหรือ SEPA ดังนั้นทุกฝ่ายในห่วงโซ่การชำระเงินจึงมีแรงจูงใจชัดเจนที่จะผลักดันการใช้บัตรเครดิต และธนาคารผู้ออกบัตรก็ยังทำเงินก้อนโตจากดอกเบี้ยได้อีก จึงยิ่งมีแรงจูงใจให้ส่งเสริมการใช้บัตรเครดิต
ที่นี่ไม่มีข้อมูลว่าเกิดกิจกรรมอะไรขึ้นจริงบ้าง ดังนั้นจะขอโฟกัสที่การกระทำของผู้ให้บริการ
ในสถานการณ์ที่บริษัทบริการแบบเสียเงินซึ่งสิ่งที่เรียกว่าการซัพพอร์ตลูกค้ามีแค่หวังว่าจะให้ประเด็นนี้กลายเป็นกระแสบนโซเชียลมีเดียกำลังเพิ่มขึ้น เราควรคิดว่ากฎหมายจะบังคับให้มีทางออกแบบ “คอมพิวเตอร์บอกว่าใช้ไม่ได้ งั้นก็สร้างบัญชีใหม่แล้วภาวนาอย่าโดนอีก” ได้อย่างไร เรื่องแบบนี้ดูเป็นขอบเขตที่หน่วยงานคุ้มครองผู้บริโภคควรเข้ามาจัดการอย่างจริงจัง
หน่วยงานคุ้มครองผู้บริโภคของออสเตรเลียค่อนข้างบังคับใช้สิทธิอย่างจริงจังในปัญหาแบบนี้ ทำให้น่าสงสัยว่าสหรัฐฯ ไม่มีหน่วยงานคล้ายกัน หรือว่าถูกบริษัทที่ควรถูกกำกับดูแลครอบงำไปแล้ว
บริษัทพวกนี้ทำกำไรก้อนโต แต่กลับเพิกเฉยต่อกระบวนการซัพพอร์ตและการสื่อสารที่บริษัททั่วไปควรมี โดยอ้างว่า “ทำไม่ได้เพราะขนาดของระบบ” จากมุมมองการเยียวยาผู้บริโภค คำตอบแบบนั้นไม่ควรถูกยอมรับ
น่าเสียดายที่รัฐบาลดูจะชอบเครื่องมือที่ใช้ทำลายปากท้องของคนที่ตัวเองไม่ชอบได้ โดยไม่ต้องผ่านกระบวนการทางกฎหมายที่น่ารำคาญมากนัก
จะบอกว่าแค่บังคับใช้แนวคิดทางกฎหมายที่มีอยู่แล้วก็พอได้ แต่ถ้าสื่อต้องการดึงความสนใจจากนักการเมือง ก็จำเป็นต้องมีคำที่สั้น เฉพาะเจาะจง และชี้ไปยังปรากฏการณ์นั้นได้
เหมือนกับที่มีคำอย่าง swatting, phishing, slamming, gaslighting, boofing ซึ่งทุกคนรู้จัก เขียนข่าวง่าย และเหมาะกับการค้นหา เลยสงสัยว่าพฤติกรรมแบบศตวรรษที่ 21 นี้ควรเรียกว่าอะไร ถึงจะเขียนบล็อก เขียนข่าว และเรียกร้องให้นักการเมืองลงมือได้
อีก 20-30 ปีข้างหน้า หลังคดีความและกฎระเบียบต่าง ๆ คลี่คลายแล้ว มันอาจเริ่มทำงานได้ แต่ตอนนี้ยังอยู่ในระยะทารก เหมือนเป็นช่วงที่ทุกคนกำลังลองกันอยู่ว่าจะผลักเด็กทารกให้ล้มได้ไหม
ปัญหาคือการลงมือกับบริษัทใหญ่เป็นเรื่องยากมาก ในฐานะผู้บริโภค ต่อให้พยายามเรียกร้องการเยียวยาจากเรื่องอย่างโฆษณาเกินจริงว่ามือถือกันน้ำได้ ค่ากฎหมายก็อาจพุ่งไปถึงหลายแสนดอลลาร์
หากไม่มีเงินทุนมากพอ แทบเป็นไปไม่ได้เลยที่คนคนหนึ่งจะทำให้บริษัทต้องรับผิด และหน่วยงานที่ควรบังคับใช้เรื่องนี้ก็ไม่ได้บังคับใช้ หรือบังคับใช้ไม่ไหว
ถ้าความไม่สะดวกและสัญญาณรบกวนทางเทคนิคที่เกิดขึ้นไม่หยุดสามารถถูก “แก้” ได้ง่ายและน่าสนใจกว่าด้วยสิ่งอย่าง biometrics ID ก็ชวนให้สงสัยว่าจะยังมีแรงจูงใจในการแก้ปัญหาเหล่านี้จริงหรือไม่
พูดตรง ๆ คือรัฐบาลออสเตรเลียอาจจะจัดการบริษัทได้ แต่สุดท้ายก็เล่นเกมเดียวกัน และในระยะยาวก็ดูไม่ค่อยแคร์แรงคัดค้านจากใครมากนัก
ถ้าคิดจะทำตัวไร้จริยธรรม ก็มีหลายอย่างที่ทำได้
การเล็งเป้าไปที่ตัวบุคคลโดยตรงอาจได้ผลดี เช่น ส่งจดหมายนิรนามกล่าวหาว่านอกใจไปถึงคู่สมรสของผู้บริหาร ก็อาจทำให้ทริปธุรกิจสะดุดและสร้างความเครียดในชีวิตส่วนตัวอย่างหนัก โดยเสียแค่ค่าแสตมป์ โดยเฉพาะในที่อย่างสวีเดนที่ข้อมูลที่อยู่และการอยู่อาศัยร่วมกันเปิดเผยสาธารณะ เรื่องนี้ยิ่งทำได้ง่าย
นอกจากนี้ยังอาจสร้างสื่อบิดเบือนเชิงเหยียดเชื้อชาติเกี่ยวกับบริษัทหรือผลิตภัณฑ์ แล้วซื้อบัญชีบอตมาหลายร้อยบัญชีให้คอยตามไปโผล่ทุกครั้งที่มีการพูดถึงบริษัทหรือผลิตภัณฑ์นั้น
ผมเองเคยโดนมาทั้งสองแบบ ทั้งที่อยู่ในอุตสาหกรรมที่การแข่งขันไม่ได้ดุเดือดนัก และก็ไม่ใช่คนดัง
ผมหวังอย่างจริงใจว่าการโจมตีแบบนี้จะยิ่งแพร่หลาย
เพราะอย่างน้อยมันอาจกดดันให้หน่วยงานกำกับดูแลทำอะไรสักอย่างกับปรสิตทางการเงินที่เราเรียกกันว่า “ผู้ประมวลผลการชำระเงิน” ระบบประมวลผลการจ่ายเงินที่ไม่ทำตัวเหมือนสาธารณูปโภคนั้นพังอยู่ และควรถูกแก้ไข
มันขมขื่นไม่น้อยที่ตอนนี้ระบบชำระเงินดิจิทัลที่ทำงานได้ใกล้เคียงสาธารณูปโภคจริง ๆ กลับมีแค่คริปโต
มันไม่ใช่ทางออกสมบูรณ์ แต่การเปิดให้ลูกค้าจ่ายผ่านวิธีอื่นอย่างคริปโตหรือโอนธนาคารอาจช่วยบรรเทาได้บ้าง เมื่ออุตสาหกรรมหนังโป๊และธุรกิจถูกกฎหมายอื่น ๆ ถูกบีบจนมาถึงจุดนี้ พวกเขาก็ทำแบบนั้น
ถ้าลูกค้าต้องการสินค้ามากพอ บางส่วนก็จะยอมเรียนรู้วิธีชำระเงินเหล่านี้ และผู้ประกอบการอาจต้องเรียนรู้ที่จะอยู่รอดด้วยลูกค้าส่วนนั้น
ผมรู้สึกว่า Algorand เคยอยู่ในจุดที่ทำหน้าที่แบบนั้นได้ แต่การจะสำเร็จได้ต้องมีองค์ประกอบครบทั้งหมด ค่าธรรมเนียมธุรกรรม 0.001 ALGO นั้นเล็กจนตัดธุรกรรมไร้สาระได้ แต่ก็ยังทำให้ธุรกรรม 0.1 ALGO เป็นไปได้ และหากธุรกรรม stablecoin หรือสกุลเงินดิจิทัลของธนาคารกลางเริ่มคึกคัก ก็ยังรองรับได้
ธุรกรรมสามารถปิดได้ในระดับมิลลิวินาที และผู้เล่นขนาดกลางก็มีส่วนช่วยดูแลทั้งเครือข่ายได้ไม่ยาก แต่สุดท้ายมันไม่เกิด traction ขึ้นมา ซึ่งอาจเป็นเพราะมันไม่ใช่สินทรัพย์สำหรับ HODL ที่ดีนัก
AI ใช้เวลาเกือบ 70 ปีกว่าจะปักหลักได้ แต่คริปโตใช้เวลาแค่ 10 ปีก็แทรกเข้าไปในหลายพื้นที่แล้ว และเป็นเทคโนโลยีระยะเริ่มต้นที่มีศักยภาพจะแก้ปัญหาใหญ่ได้
ผมมองว่านี่เป็นกรณีที่คน “ผิดหรือโง่” กระโดดเข้าไปก่อนพร้อมพวกต้มตุ๋น จนทำให้คนฉลาดรู้สึกว่ามันถูกปนเปื้อน แต่ถึงอย่างนั้น เราก็ควรแยกแยะสิ่งที่ดีออกจากสิ่งที่แย่ได้
ผมแปลกใจทุกครั้งที่เห็นว่าที่นี่ขาดความสามารถในการคุยเรื่องนี้อย่างระมัดระวังอยู่ซ้ำ ๆ บทสนทนาที่น่าจะน่าสนใจจริง ๆ กลับถูกเบียดตกไปเพราะความเป็นพวกเดียวกัน
ตอนทำงานที่เอเจนซีสื่อขนาดกลางในฝรั่งเศส เคยเกิดเรื่องคล้ายกันกับบัญชี Google AdWords และด้วยการซัพพอร์ตโดยตรงจาก Google ทางทีมกฎหมายใช้เวลาราว 2 สัปดาห์ก็กู้บัญชีกลับมาได้
โดยรวมดูเหมือนว่าแค่ส่งจดหมายทางกฎหมายไม่กี่ฉบับ พร้อมข้อความประมาณว่า “ตัวแทนทางกฎหมายของเรายินดีอย่างยิ่งที่จะไปหารือเรื่องน่าเสียดายนี้ที่สำนักงาน Google France” แล้ว Google ก็แค่คืนบัญชีให้
ค่าใช้จ่ายทนายอยู่ราว 2,500-5,000 ยูโร ไม่ถึงกับถูก แต่ก็น้อยกว่าจำนวนเงินที่เรากำลังเสียไปมาก เลยสงสัยว่าผู้ประกอบการที่อยู่ในสหรัฐฯ ไม่มีทางเลือกแบบนี้หรืออย่างไร ผมเห็นเรื่องสยองแบบในต้นฉบับมาหลายครั้ง แต่แทบไม่เคยเห็นใครพยายามเดินเส้นทางคล้ายกันเลย
อย่าเข้าใจผิดว่าตัวเลขอย่าง “มีความสัมพันธ์ทางธุรกิจกับ PayPal มา 10 ปี และกับ Stripe มา 7 ปี” เป็นสิ่งสำคัญ นี่ไม่ใช่ยุคปี 1973 ที่ยังจับมือกับนายธนาคารกันอยู่
ตัวเลขที่สำคัญมีเพียง จำนวนเงินดอลลาร์ที่ไหลผ่าน Stripe หรือ PayPal เพราะธุรกิจของคุณ เท่านั้น
เคยเจอมากับตัว อาจเป็นคู่แข่ง หรืออาจเป็นมิจฉาชีพที่ขโมยหรือซื้อกองหมายเลขบัตรเครดิตไร้ค่าจากฟอรัม แล้วลองดูว่าจะเอาอะไรฟรี ๆ ได้บ้าง
ถ้าการตลาดไปเข้าตาองค์กรพวกนี้ พวกมันก็จะแชร์ข้อมูลบริการกัน ผู้ค้าต้องสร้าง เทคนิคตรวจสอบการฉ้อโกง เอง หรือไม่ก็ต้องจ่ายเงินให้ใครสักคนทำ
ไม่ได้จะโทษเหยื่อ แต่ด้วยโครงสร้างของอุตสาหกรรม ภาระในการตรวจจับและจัดการการฉ้อโกงตกอยู่ที่ผู้ค้ามากที่สุด ซึ่งในเชิงวัตถุก็อาจไม่ใช่การตัดสินใจที่แย่เสียทีเดียว ผู้ค้ามีหลายวิธีในการตรวจจับว่าใครกำลังทำเรื่องพวกนี้และหยุดพวกเขาได้
ตอนที่ปัญหานี้เกิดขึ้นกับสตาร์ทอัพแรกของผม ผมลดจำนวนจาก 5,000 ครั้งต่อเดือนเหลือ 50 ครั้งต่อเดือน และเกลียดอาชญากรรมแบบนี้มาก แต่ตัวกลางบัตรเครดิตกลับผลักความเสี่ยงออกไปให้ผู้ค้า แล้วก็ไม่ค่อยสนใจนวัตกรรมเครื่องมือแบบค่อยเป็นค่อยไปเพื่อผู้ค้าเท่าไรนัก
สิ่งที่น่าหงุดหงิดคือไม่มีบุคคลที่สามให้รายงานคำขอที่น่าสงสัยพร้อมระดับความเชื่อมั่น หรือเอาไปเทียบกับบันทึกความสงสัยจากผู้ค้ารายอื่น หลายปีต่อมาผมเหมือนจะเคยเห็นบริการแบบนั้น แต่ตอนนี้หาไม่เจอแล้ว
ลองหาตอนนี้พบว่ามีรายการคำแนะนำการป้องกันการฉ้อโกงสำหรับผู้ค้าที่สรุปไว้ดีมาก ซึ่งตอนนั้นไม่มีใครบอกผม ผมต้องค้นหาเองและใช้ได้ผลค่อนข้างดี: https://support.authorize.net/knowledgebase/Knowledgearticle...
ขอให้โชคดี พวกนี้ตื้อสุด ๆ ในกรณีของผม ส่วนใหญ่มาจากประเทศยากจน และสำหรับพวกเขา การโกงได้ 1 ดอลลาร์คุ้มกับเวลาที่ต้องเสียมากกว่าสำหรับพวกเรามาก พวกมันจะมาเรื่อย ๆ จนกว่าจะปิดทางได้หมด
ได้ยินมาว่าหลายเว็บไซต์บน Shopify ปิด การประมวลผลบัตรเครดิตอัตโนมัติ สำหรับคำสั่งซื้อใหม่ไว้ เพื่อให้คนจริง ๆ ตรวจคำสั่งซื้อก่อนแล้วค่อยส่งต่อไปที่อย่าง Stripe
คำสั่งซื้อหลอกลวงส่วนใหญ่ดูจากที่อยู่จัดส่งก็มักพอรู้ได้ง่าย และไม่นานก็จะจับทางได้ มันไม่ได้ยากระดับคัดเพศลูกเจี๊ยบ
บทสรุปร้อนแรงอาจเป็นว่า วิธีที่ดีที่สุดในการทำลายธุรกิจตัวเองคือทำระบบบัตรเครดิตให้เป็นอัตโนมัติ
แต่ถ้าหมายถึงกรณีที่ AVS บอกว่าที่อยู่จัดส่งไม่ตรงกับที่อยู่เรียกเก็บเงินของบัตร เรื่องนี้จะยากกว่า โดยเฉพาะใน B2B ที่เจ้าของธุรกิจมักจ่ายด้วยบัตรเครดิตที่ผูกกับที่อยู่บ้าน แล้วให้ส่งของไปที่สถานประกอบการ