小規模オンラインストアの不正対策：低摩擦で効く防御策

不正は映画のような大掛かりなハッキングではなく、普通の注文に紛れて進行するシンプルな悪用で、発覚すると金銭的被害や時間コストが発生します。

代表的な例：盗用カード、プロモコードやクーポンの濫用、転送先／リシッピング住所、受け取り拒否されるCOD注文、そして「フレンドリーフラウド（顧客が注文を否認する）」などです。

まずは直近の痛手を振り返るのが最速です。過去30～90日の注文を引き出して、あなたに時間や金銭的損失を与えたものをタグ付けしましょう：チャージバック、紛争、返金、配送失敗、CODの返品など。

次に、それらがどこで始まったかでグループ化します（プロモ時の急増、新商品、特定地域、CODなど）。そうすることで、最も損失を生む瞬間に手を入れられます。

週次で追うべきシンプルな指標は3つです：

• チャージバック率 = チャージバック数 / 総注文数
• COD返品率 = 返品／受取拒否されたCOD注文 / COD注文総数
• 手動レビュー率 = 停止して確認した注文 / 総注文数

チャージバックの増加は盗用カードやフレンドリーフラウドを示し、COD返品の増加は受取意欲の低さや虚偽情報を示します。手動レビュー率が上がるのはボットやプロモで望ましくない客層が来ている可能性があります。

まずはソフトな制限から始め、ログイン、パスワードリセット、カート追加、チェックアウト、そしてクーポンやギフトコード入力に注目してください。攻撃者にとってコード推測は安価で、あなたには高くつきます。

おすすめ設定：

• 繰り返しの試行に対して応答を遅延させる（少しずつ長くする）
• 数分単位の一時的なクールダウン（何時間もブロックしない）
• 濫用が見られた場合のみ追加の一回限りの検証を要求する
• チェックアウトは使えるままにしつつ、繰り返しの注文試行を制限する
• 閲覧よりもクーポン／ギフトカード試行に厳しくする

これで「人間にしては速すぎる」挙動を止めつつ、通常の購入者を邪魔しません。

両方使うのが有効です。IPごとの制限は明らかな自動化を捕まえ、アカウントごとの制限はIPを切り替えるボットを捕まえます。

ヒットしたときの挙動も決めておくと良いです：

• クーポン推測にはクーポン入力を一時凍結、アカウント全体をロックしない
• チェックアウトの再試行には短い遅延を入れる（完全停止しない）

「試行が多すぎます。2分後に再試行してください」といった明瞭なメッセージはサポート負担を減らします。

住所チェックは非常に効果的で、チェックアウトに追加のステップを加えずに損失を減らせます。既に集めているデータを使って、正常な注文では滅多に起きないパターンを検出し、要確認としてルーティングします。

フラグに値する主要なパターン：

• 初回購入で請求先と配送先の名前が一致しない
• 国の組み合わせが通常と異なる
• 建物が多い地域で部屋番号が欠けている
• フレイトフォワーダー、郵便転送業者、よく使われるリシップ先
• 郵便番号の代わりにPOボックスが入っている（配送業者が通れない場合）

比較前に住所を正規化しましょう。多くの「違う」住所は単に表記揺れです。余分なスペース削除、表記統一（"St."→"Street"等）を行い、各国ごとの形式に注意してください。

住所問題の多くは自動キャンセルではなくレビューのトリガーにしてください。正当な顧客がオフィスやギフト先に送ることはよくあります。

CODはコンバージョンを高めますが、知らぬ間に返品コストが増えることがあります。リスクが高いのは高額注文、初回購入、返品が多いカテゴリなどです。

リスクの高いCODのみを確認しましょう。迅速かつ一貫した方法を採用します。

軽量な確認方法の例：

• 短い期限内に「YES」と返信するSMS確認
• 高額注文には30〜60秒の簡単な電話確認
• 配達時間帯（午前/午後）確認で偽住所を検出
• 配送時に一回限りのPIN（キャリアが対応していれば）

買い手がすぐ答えられる1、2問にしてください：「最寄りの目印は？」「何を注文しましたか（サイズ／色）？」など。尋問のようにならないよう注意。

確認が取れなかった場合の事前ルールも決めておきます：24時間保留、キャンセル、または前払いへの切替提案。サポートが個別対応で交渉しないよう一貫性を持って運用します。

疑わしい注文専用のレビューキューを用意し、怪しいものを二度見する場にします。目的は完璧な検出ではなく、迅速に判断してマージンを守り、クリーンな注文を止めないことです。

キューは絞って運用しましょう。明確なシグナル（同一端末からの多数試行、請求先と配送先の不一致、大きなカゴ、連続した急ぎの注文など）のときだけフラグを立てます。フラグが多すぎると無視されます。

レビューを速くするためにキャプチャする項目：

• フラグ理由（平易な言葉）
• シンプルなリスクスコア（低/中/高）
• 簡単なメモ（見たもの、確認したこと）
• 決定とタイムスタンプ
• 誰がレビューしたか

レビューは2〜3の強いシグナルに基づいて短時間で行い、20個の弱いヒントで悩まないこと。明らかな問題がなければ承認して先に進めます。

小さな店では、説明できるシンプルなルールが最も役立ちます。複雑なスコアモデルは調整が難しく、忙しい時に無視されがちです。

具体的で測定可能、かつアクションにつながるシグナルを選びます：

• 短時間に同じ端末やIPからの過度なチェックアウト試行
• 同様の注文が立て続けに起こる異常な速度
• 送付先が電話やカードの地域と一致しない
• ランダムに見えるメールアドレス＋速い配送指定
• 初回購入で高額注文

弱いシグナル1つだけで自動ブロックするのは避けてください。複数組み合わせて要求することで誤検知を減らせます（例：「初回購入 + 高額注文 + 住所不一致」なら一時保留）。

また、リピート顧客や過去に成功配達のある顧客、企業アカウント、通常のギフトパターンはホワイトリスト化して良い顧客を守ります。

創業者が犯しやすいミスの一つは、弱いシグナルで白黒を決めてしまうことです。弱いシグナルは正常な注文にも現れます。自動キャンセルは良い顧客を失わせます。

また、すべての注文に追加ステップを課すと最高の顧客を傷つけ、真の不正者は別の手段へ移ります。摩擦は「疑わしい少数」にだけかけるのが狙い目です。

チェックアウト後に現れるシグナル（支払い後の住所編集、何度も“部屋番号忘れ”の連絡、再配送リクエスト、失敗配達後の返金傾向）を見落としがちなのも問題です。

注意すべき誤り：

• 弱いシグナル1つでキャンセル／返金する
• すべての顧客に検証を課す
• 配送での手がかり（失敗配送、再送、住所修正）を無視する
• 新しい不正が成功してもルールを更新しない

不正対策は習慣として運用するのが最適です。チェックは短く、学んだことを書き留め、同時にルールを変える量は少なくします。

プロモ前の簡単な対策：IPやアカウントごとのクーポン試行上限、短時間内のチェックアウト再試行の制限。

出荷前の確認：配送に必要な情報（郵便番号を含む完全な住所、連絡のつく電話番号）があるかを確認。欠けている、あるいは怪しい場合はレビュー保留にします。

CODはリスクが高い場合のみ一工夫。簡単なルール例：初回購入かつ平均注文額以上なら確認メッセージや電話を入れる。

日次ルーチン（10〜15分）：

例：30%オフの週末セールを小さな店が開始したとします。1時間で注文が5倍に跳ね上がり、支払い失敗の問い合わせや似たようなチェックアウトの未完了が大量に出ます。

この場合、信号は重なりがちです：同一端末やIP帯からの多数のチェックアウト、都市や郵便番号と合わない配送先、初回顧客からのCOD急増、同一プロモの小さなバリエーションでの再利用など。

当日中にできる低摩擦の対応：

• チェックアウトとプロモコード試行に対する穏やかなレート制限（繰り返しを遅くし、初回購入者はブロックしない）
• 疑わしいパターンを拒否せずレビューキューへフラグ付けする
• フラグが立った注文には住所チェックを強化する（部屋番号欠落、郵便番号不一致、電話書式が異常など）
• CODはリスクの高いもののみ確認する

本物の購入者がフラグを受けた場合は短く落ち着いた文面で：

「ご注文ありがとうございます。本日は注文が非常に混み合っているため、不正防止のために簡単な確認を行っています。配送先と連絡先電話番号をご確認いただけますか？確認が取れ次第、すぐ発送いたします。」

不正対策は大掛かりなプロジェクトではなく習慣です。1つの変更を行い、1週間様子を見てから次に移る。簡単なローアウト例：

• 1週目：チェックアウト試行、プロモ試行、支払い失敗の連続に対するレート制限
• 2週目：基本的な住所チェック（部屋番号欠落、都市と郵便番号の不一致など）
• 3週目：CODは高リスク注文のみ確認（初回、金額が大きい、ミスマッチシグナル）
• 4週目：閾値を調整し、承認した例外を記録する

ルールは平易な言葉で書いてください。新しいメンバーが10秒で適用できないルールは曖昧すぎます。良いルールは行動と結果を含みます（例：「請求国と配送国が異なり、注文合計が$200超ならレビュー保留」）。

人間が判断する部分だけに負担が行くように自動化できるところは自動化しましょう：自動フラグ、なぜフラグが付いたかを示す単一のキュー画面、承認・キャンセル・確認要求の簡単なボタン、決定ログ。

Eコマースプラットフォームの機能を超えたら、カスタムの管理画面とレビューワークフローは短期間で作れます。Koder.ai (koder.ai) を使えば、チャットでキュー画面やルールを説明して週ごとに反復し、準備ができたらソースコードをエクスポートできます。これにより、すべてのチェックアウトに摩擦を加えずにプロセスを実用化できます。