Stripeベースの自作サービスでカードの不正利用があった場合の対処法
Stripeベースの自作サービスでカードの不正利用があった場合の対処法
どうもTAKUYAです。
30日間のお休みから戻ってきて、自分のSaaSプロジェクト「Inkdrop」の作業を再開しました。これは現在約1,400人の課金ユーザがいるノートアプリです。他のアプリと比べてその規模がとても小さいにも関わらず、今回初めて自サービスにてカードの不正利用が起きてしまいました。 (お休み中にその報告を受けて、休み気分が吹き飛んだのはここだけの秘密です😇)
本稿ではカードの不正利用について調査して学んだこと、そして実際にどのように対処したかシェアしたいと思います。
疑惑のある支払いは全てすぐに返金する
自分たちのサービスの信用を保つためにも、カード支払いに関する紛争(Dispute / 異議申し立て)は可能な限り避けなくてはなりません。StripeはおそらくDisputeの数を監視していて、万が一サービスが有害と判断された場合はStripeアカウントをクローズする権限を持っています。心当たりのない支払いの連絡を受けた時は、速やかかつ丁寧に応答して出来ることを行いましょう。Stripeは不正利用と紛争についてのドキュメントを用意しています。重要な点を引用します：
Refund suspicious payments immediately
Refund any payments you suspect are fraudulent as soon as possible. In the Dashboard, select the payment and click Refund as fraud. This refunds the payment and reports it to us so that we can further improve our fraud detection.
— Best Practices | Stripe Payments
疑惑のある支払いは速やかに返金してください
あなたが不正ではないかと疑いをかけている支払いは可能な限り早く返金しましょう。ダッシュボードからペイメントを選んで Refund as fraud をクリックします。これでペイメントが返金されて、Stripeでの不正利用検知システムの動作改善に役立てられます。
各紛争には15 USDの手数料がかかります：
EFWs do not officially require any action or response from you as a merchant. However, they are good indicators of impending disputes — 82% of payments that receive EFWs eventually get disputed. Since there’s a fee for disputes (15 USD) and disputes can count for certain chargeback monitoring programs you may want to proactively prevent disputes by immediately refunding payments that receive an EFW.
— Measuring Disputes | Stripe Payments
こちらが不正な支払い報告への対処手順です。
1. まずは落ち着こう
この問題はカード所持者とあなたにとって悲しい出来事です。しかしそれは起きました。深く息を吸って。
2. 支払いに関する情報を聞き出す
嫌疑のかけられた支払いを特定するために、カード所持者から以下の情報を聞き出します：
- カード番号の下４桁
- 請求日
- 金額
3. Stripeダッシュボードで支払いを特定する
Stripeでは、聞き出したカード番号の下４桁を使って支払履歴を絞り込めます。上記画面のサーチバーに４桁を入力します。
もし見つかったものが明らかな不正利用だとしても、プライバシーの観点から「誰が使ったか」という情報は開示しないようにしましょう。
4. ‘Refund as fraud’を実行する
支払情報画面の右上にRefund (返金)ボタンがあります。それをクリックします。
返金理由として Fraudulent(不正) を選択します。この操作によって、カード番号とemailの組み合わせはブロックリストに追加され、将来の請求は全てブロックされるようになります。また、この情報はStripeの他のアカウントにもfingerprintとして共有されて役立てられます。 ‘Refund and block’ をクリックしましょう。
紛争と不正を防止するには
Stripeは不正利用をできるだけ未然に防ぐためのガイドを提供していて、とても参考になります：
支払情報をできるだけ多く集める
僕はInkdropのカードフォームにはStripe.js と Elementsを使用しています。しかしこれはカード番号、CVC(セキュリティコード)、ZIPコードなど必要最低限の情報しか収集しません。付属的な情報を更に集めることで、顧客の合法性をカード会社が確認する手助けになります。例えば：
- カード所持者名
- 現住所
- 送り先住所 (現住所と異なる場合)
詳しくは上記のドキュメントを参照してください。また、3Dセキュアに対応するのも更なる防止策として有効でしょう。
