安全提醒 – 保护您的企业免受欺诈攻击 (2026 年 Q3)

注意以下内容均出自 Checkout 官网的 Merchant Communications 页面，欢迎点击这里阅读原文内容。

根据商户风险委员会（Merchant Risk Council，简称 MRC）最新的全球电商支付与欺诈报告估算，每年全球电商总收入中约有 3.2% 因支付欺诈而损失。

幸运的是，目前有许多方法可以帮助防范欺诈并保护您的消费者。我们希望分享防范刷卡测试攻击（Card Testing Attacks）及其他类型欺诈的最新实践。

Top tips / 核心建议

‍

• 随时关注我们的欺诈与风险管理博客文章，了解如何在欺诈预防与支付成功率之间取得平衡，在保障正常支付顺畅通行的同时保护您的消费者。
• 考虑报名参加 MRC 提供的欺诈基础课程（Fraud Essentials Course），该课程通过我们与 MRC 的官方合作面向 Checkout.com 商户提供免费名额，它将欺诈主题拆解为与您业务流程相关的具体要素，展示欺诈分子如何利用客户旅程中的各个环节。
• 制定已通过测试的应急响应计划，并随时准备用于响应欺诈事件。
• 如果您或您的消费者遭受欺诈，请尽快联系您的服务商商。
• 如果您怀疑您消费者的卡数据遭到泄露，请按照本文“数据泄露后的处理措施”一节中的步骤操作。最重要的是，您必须在怀疑泄露发生后的三个工作日内通知您的收单行。

欺诈预防策略

监测与警报

‍

• 监测并审核消费者 IP 地址和设备的语言及时区设置，这有助于您发现数据不一致（如账单地址与 IP 不匹配）的情况，并将这些交易标记为高风险。
• 将频繁出现支付失败尝试的 IP 地址添加到黑名单中以供审核。
• 留意跨多个 IP 地址使用账户的情况。虽然这并不总是意味着欺诈行为，但您可能希望将这些 IP 地址加入临时黑名单，以审核其活动。
• 对来自单一 BIN 码段（卡组前六/八位识别码）的大量已批准或已拒绝交易设置警报。
• 考虑对小额或大额交易量实施频次/频率检查（Velocity Checks）——在发生刷卡测试时，交易金额通常低于 10 美元（或等值本地货币）。
• 利用异常检测工具来监测交易和销售模式。

卡身份验证与核验

‍

• 对高风险购买使用 EMV 3D Secure（3DS2）来验证持卡人身份。
• 使用 3RI 验证来验证商户发起的交易（MIT），如订阅和定期付款。
• 使用地址验证服务（AVS）和卡验证值（CVV）检查。
• 使用账户姓名查询将持卡人的姓名与其发卡行留存的姓名进行比对核验。

账户安全

‍

• 如果消费者多次输入错误的密码或用户名，请即刻锁定该异常账户。
• 阻止消费者使用常见或可疑密码，或定期审查使用此类密码的登录活动。
• 审查消费者会话中的异常带宽消耗，并留意同一邮箱地址或设备 ID 绑定不同卡发起多笔交易的情况。
• 在进行账户核验时使用随机停顿（限流/Throttling）机制，减缓暴力破解攻击，尤其是针对高欺诈风险 BIN 码段的攻击。

支付页面安全

‍

• 在支付页面使用验证码控制，防止机器人（Bot）或脚本进行自动化交易；并考虑投资引入僵尸网络检测（Botnet Detection）和设备指纹识别（Device Fingerprinting）系统。

数据泄露后的处理措施

如果您怀疑持卡人数据遭到未经授权的访问或误用，您必须在三个工作日内向 Checkout.com 报告。

我们将要求您填写一份事件报告，以帮助卡组了解潜在的泄露范围、面临风险的数据以及您已采取的补救措施。

在某些情况下，卡组可能会要求您开展法证调查，或聘请支付卡行业（PCI）认可的法证调查员（PFI）进行独立调查。

卡组强烈建议您同时通知您的内部应急响应团队、法务部门、信息安全团队以及您在支付流程中使用的任何集成合作伙伴，并向当地或国家的相应执法机构报案。

卡组还建议您：

• 切勿访问或篡改受受企系统（例如：切勿登录受损系统更改密码，或使用管理员凭据登录），您应立即切断受损系统与互联网的连接，且不得将其用于处理支付或与支付处理系统建立接口。
• 切勿关闭、重启或重新引导受损系统；相反，应通过拔掉网线或其他方式，将受损系统与网络的其余部分隔离。
• 识别并记录所有怀疑受损的组件（例如：个人电脑、服务器、日志、安全事件、数据库等）。
• 记录已采取的控制与补救行动，包括具体日期/时间（建议使用 UTC 协调世界时）、参与人员以及执行的详细操作。
• 保存所有证据（包括物理服务器或设备）和日志（例如：原始证据如系统和恶意软件的法证镜像、安全事件、Web 日志、数据库日志、防火墙日志等）。
• 如果使用了托管公司或云提供商等第三方服务商，请要求保留日志和系统镜像，并提供给协助调查的 PFI 或外部安全公司。
• 在云环境中保存证据对数字法证提出了特定挑战。如需更多指导，请参阅 PCI SSC 云安全指南 (PCI SSC Cloud Guidelines)。

如果您希望了解有关实施上述任何策略的建议，欢迎联系您的 Checkout.com 专属商户经理，我们将竭诚为您提供帮助。