Best Practices zum Schutz vor automatisierten Bedrohungen

Mit Google Cloud Fraud Defense können Sie Ihre Webanwendungen vor kritischen Bedrohungen schützen, die in den OWASP Automated Threats (OAT) to Web Applications aufgeführt sind. Für jede Bedrohung werden in diesem Dokument minimale und optimale Implementierungsoptionen beschrieben, um Ihnen bei der Auswahl der Strategie zur Aussetzung von Maßnahmen zu helfen, die den Sicherheitsanforderungen und der Umgebung Ihrer Organisation entspricht.

Wählen Sie eine Implementierung aus, die den Anforderungen Ihrer Organisation zum Schutz vor Betrug entspricht: Eine optimale Implementierung umfasst relevante Fraud Defense-Funktionen für einen umfassenden Schutz, während eine minimale Implementierung grundlegende Abwehrmaßnahmen bietet. Weitere Informationen zu Strategien zur Betrugsbekämpfung für Ihren Anwendungsfall erhalten Sie von unserem Vertriebsteam.

Kardieren

Carding ist eine automatisierte Bedrohung, bei der Angreifer mehrere Versuche zur Zahlungsautorisierung unternehmen, um die Gültigkeit von in großen Mengen gestohlenen Zahlungskartendaten zu überprüfen.

Mindestimplementierung

  1. Installieren Sie die Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Kreditkartendaten eingeben müssen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Kreditkartendaten eingeben müssen. Geben Sie im Parameter action eine Aktion an, z. B. card_entry. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Installieren Sie reCAPTCHA für den Zahlungsworkflow auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor Carding zu schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsworkflow auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  • Konfigurieren Sie die Management APIs für die Kartenverwaltung, um sicherzustellen, dass die reCAPTCHA-Tokens gültig sind und die Punktzahlen über dem Schwellenwert liegen.

    Wenn die Werte den angegebenen Schwellenwert nicht erreichen oder überschreiten, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

  • Achten Sie beim Erstellen von Bewertungen darauf, dass sie die folgenden Kriterien für eine erfolgreiche Transaktion erfüllen:

    • Alle bewerteten Tokens sind gültig und haben einen Wert, der über einem angegebenen Schwellenwert liegt.
    • Der Wert von expectedAction entspricht dem Wert von action, den Sie bei der Installation der bewertungsbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Informationen zum Bestätigen von Aktionen finden Sie unter Aktionen bestätigen.

    Wenn eine Transaktion diese Kriterien nicht erfüllt, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Card Cracking

Card Cracking ist eine automatisierte Bedrohung, bei der Angreifer fehlende Werte für Startdatum, Ablaufdatum und Sicherheitscodes für gestohlene Zahlungskartendaten ermitteln, indem sie verschiedene Werte ausprobieren.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Zahlungsdetails eingeben müssen, einschließlich der Funktionen Bezahlvorgang und Zahlungsmethode hinzufügen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, auf denen Endnutzer ihre Zahlungsdetails eingeben müssen, wertbasierte Websiteschlüssel. Geben Sie im Parameter action eine Aktion an, z. B. checkout oder add_pmtmethod. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Installieren Sie reCAPTCHA für den Zahlungsworkflow auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor Card Cracking zu schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsworkflow auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  • Implementieren Sie ein Antwortmodell und erstellen Sie Bewertungen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispielantwortmodell:

      • Verwenden Sie für einen niedrigen bis mittleren Grenzwert (0,0–0, 5) ein kontextbasiertes Risikomanagement, z.B.die Begrenzung der Anzahl der Versuche und das Blockieren von Käufen über einem bestimmten Wert.
      • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.

    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Credential Cracking

Das Knacken von Anmeldedaten ist eine automatisierte Bedrohung, bei der Angreifer gültige Anmeldedaten ermitteln, indem sie verschiedene Werte für Nutzernamen und Passwörter ausprobieren.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, auf Punktzahlen basierende Websiteschlüssel. Geben Sie im Parameter action eine Aktion an, z. B. login oder authenticate. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Empfohlen: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense finden Sie unter Gehackte Passwörter und Anmeldedaten erkennen.
  3. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.
  4. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Anmeldungen zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.
  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.
  6. Speichern Sie alle Bewertungs-IDs und kommentieren Sie die Bewertung, die betrügerisch erscheint, z. B. Kontoübernahmen oder andere betrügerische Aktivitäten. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor dem Knacken von Anmeldedaten zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Bei einem niedrigen bis mittleren Schwellenwert (0,0–0,5) wird der Endnutzer mit einer Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
  2. Beenden oder unterbrechen Sie Sitzungen für Endnutzer, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von reCAPTCHA Password Defense erhalten, und senden Sie eine E-Mail an die Endnutzer, um sie aufzufordern, ihr Passwort zu ändern.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, wird die Authentifizierung nicht zugelassen.

Credential Stuffing

Credential Stuffing ist eine automatisierte Bedrohung, bei der Angreifer versuchen, sich massenhaft anzumelden, um die Gültigkeit gestohlener Kombinationen aus Nutzername und Passwort zu überprüfen.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, auf Punktzahlen basierende Websiteschlüssel. Geben Sie im Parameter action eine Aktion an, z. B. login oder authenticate. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Empfohlen: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense finden Sie unter Gehackte Passwörter und Anmeldedaten erkennen.
  3. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Anmeldungen zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  6. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor Credential Stuffing zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Informieren Sie den Endnutzer bei der niedrigsten reCAPTCHA-Punktzahl (0,0) darüber, dass sein Passwort falsch ist.
    • Für den mittleren Schwellenwert (0,1–0,5) wird der Endnutzer mit einer Multi-Faktor-Authentifizierung per E-Mail oder SMS aufgefordert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
  2. Beenden oder unterbrechen Sie Sitzungen für Endnutzer, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von reCAPTCHA Password Defense erhalten, und senden Sie eine E-Mail an die Endnutzer, um sie aufzufordern, ihr Passwort zu ändern.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, wird die Authentifizierung nicht zugelassen.
  4. Wenn in Ihrer Bewertung accountDefenderAssessment=PROFILE_MATCH ist, erlauben Sie dem Endnutzer, ohne Identitätsbestätigung fortzufahren.

Auszahlung

Cashing out ist eine automatisierte Bedrohung, bei der Angreifer durch die Verwendung gestohlener, zuvor validierter Zahlungskarten Währung oder hochwertige Artikel erhalten.

Mindestimplementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen ein Bezahlvorgang möglich ist. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben. Geben Sie eine Aktion an, z. B. add_gift_card. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  3. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor Auszahlungen zu schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsworkflow auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  • Implementieren Sie ein Antwortmodell und erstellen Sie Bewertungen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispielantwortmodell:

      • Verwenden Sie für einen niedrigen bis mittleren Grenzwert (0,0–0, 5) ein kontextbasiertes Risikomanagement, z.B.die Begrenzung der Anzahl der Versuche und das Blockieren von Käufen über einem bestimmten Wert.
      • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, wird die Authentifizierung nicht zugelassen. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Kontoerstellung

Die Kontoerstellung ist eine automatisierte Bedrohung, bei der Angreifer mehrere Konten für den anschließenden Missbrauch erstellen.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Konten erstellt werden. Geben Sie im Parameter action eine Aktion an, z. B. register. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Empfohlen: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense finden Sie unter Gehackte Passwörter und Anmeldedaten erkennen.
  3. Implementieren Sie Fraud Defense Account Defense, um zusätzliche Signale zu erhalten, die auf die Erstellung gefälschter Konten hinweisen. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  6. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor der Kontoerstellung zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Für den niedrigsten reCAPTCHA-Score-Schwellenwert (0,0) sollten Sie die Aktionen des Kontos einschränken, bis es weiteren Betrugsprüfungen unterzogen wird.
    • Für den mittleren Schwellenwert (0,1–0,5) wird der Endnutzer mit einer Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
  2. Sitzungen für Endnutzer beenden oder unterbrechen, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von Fraud Defense Password Defense erhalten, und den Nutzer auffordern, ein neues Passwort auszuwählen.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, darf die Kontoregistrierung oder -erstellung nicht zugelassen werden.
  4. Wenn in Ihrer Bewertung accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION ist, schränken Sie den Zugriff des Kontos ein, bis eine weitere Überprüfung durchgeführt werden kann.

Betrügerische Konto- und Adressänderungen

Angreifer versuchen möglicherweise, Kontodetails wie E‑Mail-Adressen, Telefonnummern oder Postanschriften im Rahmen betrügerischer Aktivitäten oder Kontoübernahmen zu ändern.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Konten erstellt werden. Geben Sie im Parameter action eine Aktion an, z. B. change_telephone oder change_physicalmail. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  3. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Anmeldungen zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor betrügerischen Konto- und Adressänderungen zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Bei einem niedrigen bis mittleren Schwellenwert (0,0–0,5) wird der Endnutzer mit einer Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.

  2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, lassen Sie keine Kontoänderungen zu.

  3. Wenn accountDefenderAssessment in Ihrer Bewertung nicht das Label PROFILE_MATCH hat, fordern Sie den Endnutzer per E-Mail oder SMS zur Multi-Faktor-Authentifizierung auf.

Token-Cracking

Token-Cracking ist eine automatisierte Bedrohung, bei der Angreifer eine Massenaufzählung von Gutscheinnummern, Gutscheincodes und Rabatt-Tokens durchführen.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für Kästchen auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen, wertbasierte Websiteschlüssel. Geben Sie eine Aktion an, z. B. gift_card_entry. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die sich als betrügerische Geschenkkarten oder Gutscheine herausstellen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor Token-Cracking zu schützen:

  • Konfigurieren Sie die Management APIs für die Kartenverwaltung, um sicherzustellen, dass die reCAPTCHA-Tokens gültig sind und die Punktzahlen über dem Schwellenwert liegen.

    Wenn die Punktzahlen den angegebenen Schwellenwert nicht erreichen oder überschreiten, führen Sie keine Autorisierung von Geschenkkarten oder Kreditkarten durch und erlauben Sie dem Endnutzer nicht, den Gutschein oder die Geschenkkarte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

  • Achten Sie beim Erstellen von Bewertungen darauf, dass sie die folgenden Kriterien für eine erfolgreiche Transaktion erfüllen:

    • Alle bewerteten Tokens sind gültig und haben einen Wert, der über einem angegebenen Schwellenwert liegt.
    • Der Wert von expectedAction entspricht dem Wert von action, den Sie bei der Installation der bewertungsbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Informationen zum Bestätigen von Aktionen finden Sie unter Aktionen bestätigen.

    Wenn eine Transaktion diese Kriterien nicht erfüllt, führe keine Autorisierung der Geschenk- oder Kreditkarte durch und erlaube dem Endnutzer nicht, den Gutschein oder die Geschenkkarte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Scalping

Scalping ist eine automatisierte Bedrohung, bei der Angreifer mit unfairen Methoden an begrenzt verfügbare und bevorzugte Waren oder Dienstleistungen gelangen.

Mindestimplementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Geben Sie im Parameter action eine Aktion an, z. B. add_to_cart. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Geben Sie im Parameter action eine Aktion an, z. B. add_to_cart. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor Scalping zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Verwenden Sie für einen niedrigen bis mittleren Grenzwert (0,0–0, 5) ein kontextbasiertes Risikomanagement, z.B.die Begrenzung der Anzahl der Versuche und das Blockieren von Käufen über einem bestimmten Wert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.

  2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, autorisieren Sie die Geschenkkarte nicht.

Verzerrung

Skewing ist eine automatisierte Bedrohung, bei der Angreifer wiederholte Linkklicks, Seitenanfragen oder Formulareinreichungen verwenden, um einen Messwert zu ändern.

Mindestimplementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Messwerte verzerrt werden könnten. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Messwerte verzerrt werden könnten. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor Verzerrungen zu schützen:

Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

Das folgende Beispiel zeigt ein Beispielantwortmodell:

  • Verwenden Sie für niedrige bis mittlere Schwellenwerte (0,0–0, 5) ein kontextbasiertes Risikomanagement, z.B.die Erfassung der Anzahl der Klicks eines Nutzers auf eine Anzeige oder die Anzahl der Seitenaktualisierungen durch einen Nutzer. Anhand dieser Daten können Sie entscheiden, ob der Messwert gezählt werden soll.
  • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.

Scraping

Scraping ist eine automatisierte Bedrohung, bei der Angreifer Websitedaten oder Artefakte automatisiert erfassen.

Mindestimplementierung

  1. Installieren Sie punktzahlbasierte Websiteschlüssel auf allen Seiten, die wichtige Informationen enthalten, und auf wichtigen Seiten, auf denen Endnutzer interagieren. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.
  2. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie punktzahlbasierte Websiteschlüssel auf allen Seiten, die wichtige Informationen enthalten, und auf wichtigen Seiten, auf denen Endnutzer interagieren. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  3. Bewertungen für alle Tokens erstellen. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Transaktionen, die betrügerisch waren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor Scraping zu schützen:

CAPTCHA-Überlistung

Die Umgehung von CAPTCHAs ist eine automatisierte Bedrohung, bei der Angreifer mithilfe von Automatisierung versuchen, die Antwort auf visuelle und/oder akustische CAPTCHA-Tests und zugehörige Rätsel zu analysieren und zu ermitteln.

Mindestimplementierung

  1. Installieren Sie auf allen Seiten, die Endnutzereingaben, Kontoerstellung, Zahlungsinformationen oder Endnutzerinteraktionen mit potenzieller Betrugsgefahr beinhalten, bewertungsbasierte Websiteschlüssel. Geben Sie im Parameter action eine beschreibende Aktion an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, die Endnutzereingaben, Kontoerstellung, Zahlungsinformationen oder Endnutzerinteraktionen mit potenzieller Betrugsgefahr beinhalten, bewertungsbasierte Websiteschlüssel. Geben Sie im Parameter action eine beschreibende Aktion an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise reCAPTCHA for WAF und die Google Cloud Armor-Integration verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor CAPTCHA-Umgehung zu schützen:

  • Implementieren Sie ein Antwortmodell und erstellen Sie Bewertungen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispielantwortmodell:

      • Bei einem niedrigen bis mittleren Schwellenwert (0,0–0,5) wird der Endnutzer mit einer Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
      • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, wird die Authentifizierung nicht zugelassen.

  • Wenn Endnutzer Webbrowser verwenden, in denen JavaScript deaktiviert ist, gehen Sie so vor:

    1. Blockieren Sie diese Endnutzer.
    2. Benachrichtigen Sie die Endnutzer, dass für Ihre Website JavaScript erforderlich ist.

  • Achten Sie darauf, dass das Promise grecaptcha.enterprise.ready erfüllt wird, damit das Script von Google nicht von den Browsern der Endnutzer blockiert wird. Das bedeutet, dass die reCAPTCHA JavaScript API vollständig geladen wurde und kein Fehler aufgetreten ist.

  • Bei reinen Web-APIs empfehlen wir, das reCAPTCHA-Token oder das Ergebnis der Fraud Defense-Bewertung an die Backend-API zu übergeben und die API-Aktion nur zuzulassen, wenn das reCAPTCHA-Token gültig ist und einen bestimmten Schwellenwert erreicht. So wird sichergestellt, dass der Endnutzer die API nicht verwendet, ohne die Website aufzurufen.

Nächste Schritte