Fałszywe zamówienia mają trzy zupełnie różne źródła i każde wymaga innej obrony - captcha na wszystkim naraz kosztuje więcej, niż daje. Zanim cokolwiek włączysz, ustal, z którym problemem masz do czynienia, bo obrona przed botem testującym karty w niczym nie pomaga na paczkę za pobraniem, której nikt nie odebrał.
Ten tekst dotyczy oszustw i śmieci w zamówieniach oraz formularzach. Jeśli podejrzewasz, że ktoś dostał się do sklepu i zmienia w nim rzeczy, to inna sprawa - opisałem ją w tekstach o wykrywaniu malware i planie ratunkowym po włamaniu.
Trzy rodzaje fałszywych zamówień
| Rodzaj | Kto to robi | Co Cię kosztuje |
|---|---|---|
| Testowanie kart | boty sprawdzające skradzione numery | prowizje, obciążenia zwrotne, blokada konta w bramce |
| Pobranie bez odbioru | człowiek, dla żartu albo przez pomyłkę | kurier w dwie strony, zamrożony towar |
| Spam w formularzach | boty rozsyłające treści | czas obsługi, zaśmiecona baza, ryzyko dla reputacji maila |
Rozpoznanie zajmuje minutę. Zamówienia ze statusem nieudanej płatności, po kilkanaście w ciągu godziny, na najtańszy produkt w sklepie - to testowanie kart. Pojedyncze opłacone pobranie z nieodebraną paczką - to zwykły problem operacyjny. Formularze z linkami w treści i losowym imieniem - to spam.
Testowanie skradzionych kart
Mechanizm jest prosty: ktoś ma listę numerów kart nieznanego pochodzenia i potrzebuje sprawdzić, które działają. Sklep z otwartym checkoutem i tanim produktem jest do tego idealnym narzędziem, bo transakcja na kilka złotych rzadko wzbudza czujność właściciela karty.
Jak to wygląda w panelu:
- Kilkanaście albo kilkadziesiąt zamówień w krótkim czasie, prawie wszystkie ze statusem nieudanej płatności
- Zawsze ten sam, najtańszy produkt
- Dane osobowe losowe albo bezsensowne, adresy e-mail z jednorazowych domen
- Próby często idą jedna po drugiej co kilkanaście sekund
Dlaczego to jest problem, nawet gdy żadna płatność nie przeszła: bramki płatnicze mierzą udział nieudanych transakcji. Wysoki wskaźnik potrafi skończyć się podniesieniem prowizji albo zawieszeniem konta - i to jest realny koszt, a nie te kilka złotych. Do tego baza puchnie od zamówień ze statusem nieudanym, a dane o konwersji w reklamach robią się bezużyteczne.
Co realnie pomaga, w kolejności skuteczności:
- Ograniczenie liczby prób z jednego adresu - najlepszy pojedynczy środek. Po kilku nieudanych płatnościach w krótkim czasie adres dostaje przerwę
- Weryfikacja typu Turnstile albo reCAPTCHA na checkoucie - tylko na checkoucie, nie na całym sklepie
- Reguły po stronie bramki - o tym niżej
- Podniesienie minimalnej wartości zamówienia albo usunięcie z oferty produktu za 1 zł, jeśli taki masz
- Wyłączenie zamówień gościa w skrajnym przypadku - skuteczne, ale kosztuje realną sprzedaż, więc to ostateczność
Silne uwierzytelnianie płatności (te potwierdzenia w aplikacji bankowej) mocno ogranicza skuteczność takich ataków w Europie i przenosi odpowiedzialność za nieautoryzowaną transakcję na wystawcę karty. Nie znaczy to jednak, że bot przestanie próbować - dlatego limitowanie prób ma sens niezależnie od bramki. Które bramki jak sobie z tym radzą, porównałem w tekście o bramkach płatności w WooCommerce.
Pobranie, którego nikt nie odbiera
To zupełnie inna kategoria i najczęściej nie jest to oszustwo, tylko impuls: ktoś zamówił wieczorem, rano zmienił zdanie i po prostu nie odebrał. Koszt jest jednak twój - kurier w obie strony, praca przy pakowaniu i zwrocie, towar zamrożony na tydzień.
Cztery mechanizmy, które to ograniczają, od najłagodniejszego:
- Potwierdzenie zamówienia telefonem albo SMS-em przy pobraniu powyżej pewnej kwoty. Najprostsza rzecz, jaką można wdrożyć, i najskuteczniejsza
- Próg wartości, powyżej którego pobranie znika i zostaje przedpłata. Ustaw go tam, gdzie strata z nieodebranej paczki przestaje być akceptowalna
- Pobranie tylko dla klientów z historią - pierwsze zamówienie przedpłatą, kolejne jak chcą
- Lista klientów wykluczonych z pobrania po dwóch nieodebranych paczkach. Prowadź ją, nawet w arkuszu - te same osoby wracają
Czego nie robić: nie kasuj pobrania z dnia na dzień „bo są straty”. W części branż to nadal metoda, bez której duża grupa klientów nie kupi. Policz najpierw, ile realnie tracisz na nieodebranych paczkach, i porównaj to z wartością zamówień opłacanych przy odbiorze.
Spam w formularzach i rejestracjach
Trzy miejsca, przez które to wchodzi, i różne odpowiedzi na każde:
Formularz kontaktowy. Klasyczne treści reklamowe z linkami. Najlepsze rozwiązanie to pole pułapka - ukryte pole, którego człowiek nie widzi i nie wypełni, a bot wypełni automatycznie; wiadomość z wypełnionym polem leci do kosza. Zero wpływu na klienta, zero dodatkowego kliknięcia, a odsiewa większość ruchu botów.
Rejestracja kont. Setki kont z losowymi nazwami. Jeśli sklep nie wymaga rejestracji do zakupu, sprawdź w Ustawienia → Ogólne, czy w ogóle masz włączone samodzielne zakładanie kont - w wielu sklepach jest włączone bez powodu. Jeśli konta są potrzebne, dołóż weryfikację przy formularzu rejestracji i potwierdzenie adresu e-mail.
Komentarze i opinie o produktach. Wyłącz komentarze tam, gdzie ich nie potrzebujesz (na stronach i wpisach, jeśli nie prowadzisz dyskusji), a przy opiniach produktowych włącz moderację i filtr antyspamowy.
Osobna, często pomijana konsekwencja: konta i zamówienia założone przez boty zaśmiecają Twoją bazę adresów. Jeśli potem wysyłasz z niej maile, trafiasz na adresy nieistniejące, a to obniża reputację nadawcy i zmniejsza dostarczalność wiadomości do prawdziwych klientów. Warto raz na kwartał wyczyścić konta bez zamówień.
Captcha kontra konwersja
Najczęstszy błąd w reakcji na spam: włączenie widocznej captchy wszędzie. Efekt jest mierzalny i idzie w złą stronę - każde dodatkowe kliknięcie w checkoucie to porzucone koszyki, a im mniej kroków, tym lepiej sprzedaje sklep; rozpisałem to w tekście o krótszym checkoucie.
Praktyczna hierarchia, od najmniej inwazyjnej:
| Środek | Widoczny dla klienta | Gdzie stosować |
|---|---|---|
| Pole pułapka | nie | formularze, rejestracja |
| Weryfikacja niewidoczna | rzadko | checkout, rejestracja |
| Limit prób z adresu | nie | checkout, logowanie |
| Captcha z klikaniem | tak | tylko gdy reszta zawiodła |
| Wyłączenie zamówień gościa | tak, mocno | ostateczność |
Zasada: zaczynasz od rzeczy niewidocznych dla klienta i schodzisz w dół tylko wtedy, gdy problem nie ustąpił. I mierz efekt - liczbę zamówień przed i po zmianie, a nie samo poczucie, że jest spokojniej.
Reguły po stronie bramki płatniczej
Warstwa, o której właściciele sklepów najczęściej nie wiedzą, że w ogóle istnieje. Bramki i operatorzy płatności mają własne mechanizmy antyfraudowe, zwykle w panelu operatora, nie w sklepie.
Co warto tam sprawdzić:
- Limity liczby prób z jednej karty i jednego adresu w jednostce czasu
- Reguły na kraj nadania płatności - jeśli sprzedajesz tylko w Polsce, transakcje z odległych krajów to sygnał
- Progi ręcznej weryfikacji - powyżej ustalonej kwoty transakcja czeka na Twoje potwierdzenie zamiast iść automatem
- Powiadomienia o nietypowej aktywności - żeby nie dowiadywać się o ataku z porannego przeglądu zamówień
To ustawienia jednorazowe, a bronią lepiej niż cokolwiek po stronie WordPressa, bo działają zanim transakcja w ogóle dotrze do sklepu.
Ile kosztuje jedno fałszywe zamówienie
Warto to policzyć raz, bo dopiero wtedy widać, ile warto zainwestować w obronę:
- Rezerwacja stanu magazynowego - towar zablokowany dla realnego klienta, czasem na kilka dni
- Praca ludzi - pakowanie, etykieta, obsługa zwrotu, korekta w księgowości
- Transport w dwie strony przy pobraniu
- Prowizje i opłaty przy obciążeniu zwrotnym, doliczane niezależnie od kwoty transakcji
- Zafałszowane dane - konwersje w reklamach liczone od zamówień, które nie istnieją, prowadzą do złych decyzji o budżecie
- Ryzyko po stronie bramki - wysoki odsetek nieudanych i spornych transakcji potrafi kosztować wyższą prowizję
Punkt 5 jest najbardziej podstępny, bo nie widać go w kasie. Kampania optymalizowana pod fałszywe konwersje uczy się przyprowadzać więcej takiego ruchu.
Kolejność wdrożenia
Nie włączaj wszystkiego naraz - nie będziesz wiedział, co zadziałało, a co zabrało sprzedaż. Kolejność, którą stosuję:
- Ustal rodzaj problemu na podstawie listy zamówień z ostatniego tygodnia
- Włącz środki niewidoczne dla klienta: pole pułapka w formularzach, limit prób płatności
- Sprawdź panel operatora płatności i ustaw tam limity oraz powiadomienia
- Poczekaj tydzień i porównaj liczby - ile fałszywych zamówień, ile prawdziwych
- Dopiero jeśli problem trwa, dokładaj środki widoczne, po jednym
- Zrób porządek w bazie: usuń zamówienia nieudane, konta bez zamówień, spamowe wiadomości
Punkty 1-3 rozwiązują większość przypadków i nie kosztują ani jednej konwersji. Warto wpisać ten przegląd do stałej opieki nad sklepem, bo ataki wracają falami.
Gdy już się stało
Krótka lista działań, gdy trwa atak testujący karty:
- Włącz limit prób natychmiast - to zatrzymuje falę szybciej niż cokolwiek innego
- Napisz do operatora płatności. Nie ukrywaj tego; operatorzy widzą takie ataki codziennie i mają narzędzia, a zgłoszenie z Twojej strony pomaga, gdy będzie mowa o wskaźniku nieudanych transakcji
- Nie wysyłaj towaru z zamówień, które wyglądają podejrzanie, dopóki płatność nie jest potwierdzona po stronie operatora - status w sklepie nie zawsze oznacza rozliczoną transakcję
- Zachowaj dane - adresy IP, godziny, numery zamówień. Przydają się przy sporze
- Wyczyść bazę po zakończeniu fali, żeby raporty i dane o konwersji miały sens
Jeśli nietypowe zamówienia pojawiają się razem z innymi dziwnymi objawami - nowi użytkownicy z uprawnieniami administratora, zmienione pliki, przekierowania - to nie jest już oszustwo płatnicze, tylko włamanie i wtedy priorytet jest inny.
Najczęstsze pytania
Skąd biorą się fałszywe zamówienia w sklepie internetowym? Najczęściej z automatów sprawdzających skradzione numery kart: bot składa serię tanich zamówień, żeby zobaczyć, które karty działają. Drugie źródło to zamówienia za pobraniem składane pod wpływem impulsu i nieodbierane, a trzecie - spam w formularzach kontaktowych i rejestracjach. Każde wymaga innej obrony.
Jak zablokować boty w sklepie WooCommerce bez utraty klientów? Zacznij od środków niewidocznych: ukrytego pola pułapki w formularzach i limitu prób płatności z jednego adresu. Widoczną captchę dokładaj dopiero, gdy to nie wystarczy, i tylko na checkoucie albo rejestracji, nigdy na całym sklepie - każde dodatkowe kliknięcie w drodze do zakupu kosztuje zamówienia.
Czy warto wyłączyć płatność za pobraniem? Rzadko warto wyłączać ją całkiem, bo w wielu branżach część klientów bez niej nie kupi. Skuteczniejszy jest próg kwotowy, powyżej którego zostaje przedpłata, potwierdzenie zamówienia SMS-em i lista klientów wykluczonych po dwóch nieodebranych paczkach. Najpierw policz realną stratę z nieodebranych paczek i porównaj ją z wartością zamówień za pobraniem.
Co zrobić, gdy w sklepie pojawiają się dziesiątki nieudanych płatności? To najprawdopodobniej atak testujący karty. Włącz limit prób z jednego adresu, dodaj niewidoczną weryfikację na checkoucie i zgłoś sprawę operatorowi płatności - wysoki udział nieudanych transakcji może skończyć się podwyższeniem prowizji albo zawieszeniem konta. Po zakończeniu fali usuń nieudane zamówienia z bazy.
Czy fałszywe zamówienia psują dane w reklamach? Tak, i to jest ich najmniej widoczny koszt. Konwersje liczone od zamówień, które nigdy nie były prawdziwe, uczą kampanię przyprowadzać więcej podobnego ruchu i prowadzą do błędnych decyzji budżetowych. Dlatego po każdej fali warto wyczyścić dane i sprawdzić, czy zdarzenie zakupu nie liczy zamówień nieopłaconych.
Masz sklep, w którym coś nie działa tak, jak powinno? Buduję i przebudowuję sklepy internetowe na WooCommerce - od pojedynczej naprawy po przebudowę całej sprzedaży. Opisz, z czym się mierzysz, a odeślę wycenę z zakresem i terminem.