Stripe는 “friendly fraud”에 친화적임

• Friendly fraud는 고객이 상품 수령 뒤 결제를 부인하는 문제이며, 많은 결제 신호를 가진 Stripe가 더 잘 막아야 하는 영역임
• Ciglue 고객은 DHL 배송 증명이 있는 첫 주문 뒤 분쟁을 제기했고, 은행 오류라고 설명했지만 실제로는 정정하지 않음
• 판매자는 배송 증거와 고객 대화, 정책을 제출했지만 은행이 고객 편을 들며 돈·제품·배송비·분쟁 수수료를 모두 잃음
• 고객이 수법을 자랑한 스크린샷까지 Stripe에 전달됐지만, Stripe는 이를 가맹점 간 사기 신호로 쓰지 않는다고 답함
• Stripe의 대응은 판매자 계정의 Radar 규칙에 머물러, 다음 판매자는 같은 고객의 반복 악용을 처음부터 다시 감당해야 함

---

사건 개요와 분쟁 결과

• Friendly fraud는 고객이 상품을 받은 뒤 결제를 부인하는 방식의 문제이며, Stripe처럼 많은 결제 신호를 가진 대형 사업자가 더 잘 대응할 수 있어야 한다는 문제의식에서 출발함
• 고객은 시가용 접착제 제품인 Ciglue를 두 번 구매했고, 첫 주문은 DHL로 발송되어 배송 증명까지 있는 상태에서 배송 완료됨
• 고객은 환불이나 재배송을 요청하지 않고 분쟁을 제기했으며, 이후 은행이 필리핀의 실제 사기 거래들과 이 결제를 함께 묶은 실수였다고 설명함
• 고객은 은행에 연락하겠다고 했고 PayPal로 다시 결제하겠다고도 했지만, 실제로는 은행에 정정하지 않고 제품을 받지 못한 것처럼 주장함
• 은행은 고객 편을 들었고, 판매자는 돈, 제품, 배송비, 분쟁 수수료를 모두 잃었으며 제출한 배송 증거와 고객 대화, 웹사이트 정책도 결과를 바꾸지 못함
• 첫 분쟁이 들어오기 전 같은 고객이 추적 불가 배송으로 두 번째 주문을 넣었고, 첫 분쟁 며칠 뒤 두 번째 분쟁도 제기됨
• 첫 분쟁이 고객에게 유리하게 끝난 뒤 고객은 이메일로 자신의 수법을 자랑했고, 판매자는 해당 스크린샷을 Stripe에 전달함

Stripe 대응과 한계

• 판매자는 Stripe에 스크린샷을 보내며 은행, 사기 신고 네트워크, 또는 Stripe 내부에서라도 이 증거가 제대로 신고될 수 있는지 문의함
• 이미 종료된 분쟁을 뒤집거나 돈을 회수하려는 요청이 아니라, 명확한 차지백 악용 증거가 어떤 방식으로든 의미 있게 쓰이길 기대한 것임
• Stripe는 한 판매자에게서 받은 차지백 악용 증거를 가맹점 간 사기 신호로 만들거나, 고객의 카드·이메일·기타 세부정보에 대해 다른 판매자에게 영향을 주는 조치로 쓰지 않는다고 답함
• 한 명의 화난 판매자 때문에 Stripe 전체 결제 시스템에서 누군가가 자동 차단되는 구조는 바람직하지 않지만, “전체 차단”과 “스크린샷은 받았고 Radar를 검토하라” 사이에는 큰 간극이 있음
• Stripe는 Radar를 많은 결제와 신호, 더 나은 사기 탐지, 머신러닝 기반 네트워크 효과로 판매하지만, 실제 고객의 차지백 악용 증거는 네트워크 신호로 이어지지 않음
• 권장 해결책은 Radar 규칙으로 해당 고객의 재구매를 막는 것이며, 판매자는 이 규칙을 쓰기 위해 업그레이드하고 Stripe에 추가 비용을 내야 할 가능성이 있음
• 이 거래는 정상처럼 보였고 검사도 통과했으며 실제 주소도 일치했기 때문에, “고객이 제품을 받은 뒤 은행에 거짓말하는” 상황을 체크아웃 규칙으로 걸러내기 어려움
• 소규모 판매자는 분쟁에서 협상력이 거의 없고, 은행이 결정하며 Stripe가 은행을 가리키는 동안 판매자는 돈·제품·수수료·처리 시간을 잃게 됨
• 새로운 증거가 나중에 나타나면 제출하기에 너무 늦을 수 있고, 같은 고객이 다른 곳에서 반복하더라도 다음 판매자가 다시 피해를 볼 수 있음
• “friendly”한 것은 없으며, Stripe가 아무 조치를 하지 않으면서 결과적으로 사기 행위자에게 친화적인 구조가 됨

[GN⁺]

Hacker News 의견들

• Stripe에서 Radar 사기 방지 제품을 이끄는 Josh임. 이런 사기 악용은 정말 화나는 일이고, Stripe가 사용자에게 주고 싶은 경험이 아님
  여기서 여러 사람이 말한 핵심은 타당함. 특정 분쟁을 사후에 되돌릴 수 있느냐만의 문제가 아니라, 차지백 악용 증거가 다음 사업자를 보호하는 데 쓰일 수 있느냐의 문제임
  다만 한 사업자의 신고만으로 Stripe 전체 가맹점에서 구매자를 자동 차단하는 세상도 원하지 않음. 정당한 분쟁도 있고, 소비자 계정이 탈취되기도 하며, 과도한 차단의 오탐은 실제 구매자에게 피해를 줄 수 있음
  그래도 “이 사람을 전부 자동 차단”과 “스크린샷 고맙다” 사이에는 분명히 빈틈이 있고, 그 부분을 해결하고 싶음
  친근한 사기(friendly fraud)가 크게 늘면서 Radar를 단순 거래 사기 방지에서 회원가입, 체험 시작 등 고객 생애주기 전반의 사기·악용을 막는 제품으로 확장 중임
  현재 Stripe 네트워크 전반에서 상습 차지백 악용자를 식별해 거래 전에 사업자에게 보여주고 의사결정에 반영하는 작업, 고객 계정 자체의 누적 악용 위험 점수화, 친근한 사기 발생 시 Smart Disputes로 증거를 더 잘 구성해 분쟁에서 이기도록 돕는 방어책을 만들고 있음
  Radar에 대한 피드백이 있으면 jackerman at stripe dot com으로 보내도 됨

• SaaS를 운영하는데 이런 일을 가끔 겪음. 차지백이 들어오면 원칙적으로 그 고객을 데이터베이스에서 완전히 차단해야 함
  카드, 이메일 주소, 접근 지문을 모두 차단해 두면 그들이 다시 가입하거나 제품을 사서 같은 고통을 주려 할 때 번거로움을 많이 줄일 수 있음

  • 악용자들은 이런 차단을 쉽게 우회함. 전체 악용을 하는 사람들은 작은 집단임
  • 고급 사용자는 카드, 이메일, 지문 같은 세 식별자를 모두 쉽게 바꿀 수 있음. “접근 지문”이 정확히 뭘 뜻하는지 궁금함
    모든 사용자 추적용 브라우저 지문은 봤지만, 필요할 때만 쓰는 지문 채취 같은 걸 말하는 건지 모르겠음
  • 그냥 3D Secure를 강제하면 책임이 고객의 은행으로 넘어감. 정말 제품을 원한다면 대부분은 거래 확인을 위해 휴대폰에서 은행 앱을 여는 걸 크게 꺼리지 않음
  • 그런 정책을 둘 거라면 정당한 고객지원 문의에는 신속하게 응답하는 게 좋음
  • iOS 앱이라면 DeviceCheck도 쓰면 됨. Uber는 계정 전체 차단에 이걸 사용함

• “한 가맹점의 차지백 악용 증거를 다른 가맹점용 교차 사기 신호로 만들거나, 고객의 카드·이메일·기타 정보를 다른 가맹점에 대해 조치하는 데 쓰지 않는다”는 말을 Stripe가 이렇게 명확히 했다는 게 놀라움
  Stripe가 이런 세부사항을 실제로 전달하는 건 좋음. 하지만 많은 대기업이 왜 “신고 감사합니다. 적절한 방식으로 처리하겠습니다” 같은 불투명한 답변만 하는지도 논리는 보임. 사실을 말하면 사람들이 더 화를 냄

  • 아님. 애매한 답변이었다면 훨씬 더 화났을 것임. 여전히 그들이 아무 조치도 하지 않는다는 점에는 화가 났음
    명확한 답을 받기까지 몇 번 오가긴 했지만 결국 명확한 답을 받았고, 경험상 Stripe 지원은 여전히 훌륭하고 소통도 잘함
  • 아님. 모호한 답변이 훨씬 더 화나게 함. 다만 그런 경우에는 쓸 내용이 없을 뿐임

• 고객이 당신을 속였고, 그다음에는 고객의 은행도 그랬음. Stripe가 그런 건 아님. 제목과 글에서 왜 Stripe가 비난받는지 모르겠음
  물론 Radar 없이도 Stripe가 더 할 수는 있겠지만, 한 판매자의 불만만으로 Stripe 전체 네트워크에서 고객을 차단하는 사업을 Stripe가 한다면 위험할 수 있음. 그런 접근에는 분명히 많은 문제가 생길 수 있음

  • 맞음. 하지만 Stripe는 다음 가맹점이 같은 함정에 빠지는 걸 막기 위해 아무것도 하지 않았음. 모든 증거를 갖고도 무시했음
    블로그 글에서 말하려던 핵심이 그거임. 물론 가맹점이 소비자를 너무 쉽게 차단할 수 있어도 공정하지 않음. 하지만 분명히 중간 지점은 있을 것임
    Stripe는 이런 신고를 가지고 아무것도 하지 않는다고 아주 명시적으로 말했음. 그냥 무시됨
  • 아님, Stripe도 책임이 있음. 차지백은 고객의 은행이 결정한다는 건 흔한 오해임. 실제로는 여러 차례 오가는 절차 뒤에 최종적으로 카드 네트워크가 결정함
    카드 발급 쪽에서 몇 년 일했고, Stripe를 쓰는 가맹점들의 제출 자료를 여러 번 봤음. 네트워크 규칙상 확실히 이길 사안인데도 Stripe가 다투기를 거부한 경우를 알고 있음
    Stripe는 대부분의 차지백을 싸우는 게 돈이 안 된다고 판단한 듯함. 아마 비용을 가맹점에 떠넘기면 되고, 가맹점이 다른 곳으로 가지 않을 거라 보기 때문일 것임
  • “짜증 난 가맹점 하나가 Stripe 결제 시스템 전체에서 누군가를 차단할 수 있는 시스템”은 원하지 않을 것임. 하지만 “이 사람을 전부 자동 차단”과 “스크린샷 고맙습니다. Radar를 검토해 보세요” 사이에는 꽤 큰 간극이 있고, 그 지점이 답답함

• Stripe에서 수백만 달러 규모의 차지백을 처리해 봤음. 우리는 티켓을 팔았고, 티켓은 재판매가 쉬웠으며 고객은 전 세계에서 공연을 보러 온 관광객들이었음
  Stripe Radar는 좋은 제품이 아니었음. 매우 의심스러운 거래를 위험도 1이나 2점, 100점 만점 기준으로 평가하는 일이 많았음. 머신러닝 배경은 없지만 방법론에 뭔가 결함이 있는 것 같았고, 안에서 선 하나가 빠진 듯 동작했음. 불행히도 Stripe가 신경 쓸 유인이 크지 않아 보임

• 이제 Stripe는 적어도 정신적으로는 PayPal 2.0에 가깝다고 꽤 확신함
  플랫폼 내 부정행위에는 눈감고, 돈을 받은 뒤 성인 창작자나 판매자를 잠그며, 어디에나 있지만 딱히 사랑받지는 않음
  Stripe가 핀테크 판을 바꾸고 더 많은 사람이 프로그래밍 방식으로 접근할 수 있게 만든 점은 좋지만, 이런 이유들 때문에 요즘 결제 관련 조언을 구하는 사람들에게 “Stripe는 피하라”고 자주 말하게 됨

  • 이런 산업의 본질이 그럼. 기존 강자는 오랜 제약이 쌓여 느리고 투박하며 상대하기 불쾌함
    신규 업체는 민첩하고 함께 일하기 좋다는 점으로 차별화해 시장 점유율을 가져감
    시간이 지나면 신규 업체도 규제 감시, 사기, 운영 부담, 책임 회피성 관행 등을 점점 더 처리해야 함
    그러면 신규 업체가 기존 강자가 되고, 다시 처음으로 돌아감
  • 대안으로는 누구를 추천함?

• 사기성 차지백을 당했음. 구매가 승인되지 않았다는 주장이었는데, 그 사람은 수업에 직접 나타났음. 더 나빴던 건 Link로 결제했기 때문에 Stripe가 2단계 인증으로 그 사람을 적극적으로 확인했다는 점임
  왜 Stripe나 경쟁사가 “올해 가맹점에 대해 x건 초과 차지백을 제기한 카드의 거래 거부” 같은 설정을 제공하지 않는지 설명해 줄 수 있음?

  • 그런 규칙은 좀 까다로워 보임. 누군가의 카드가 실제로 도용됐을 수도 있으니까
    답답한 건 Stripe가 머신러닝 Radar 규칙 등을 자랑하면서도 실제로 가치 있는 데이터를 거기에 넣지 못한다는 점임
    Stripe 지원은 고객이 나를 사기쳤다고 자랑하는 이메일을 봤고, 명백한 친근한 사기라는 데 완전히 동의했지만, 그 정보를 가지고 아무것도 하지 않았음
  • 이유가 이건지는 모르겠지만, 내가 그런 시스템을 만들라고 요청받는다면 Fair Credit Reporting Act상 소비자 보고서에 해당할까 봐 꽤 걱정할 것임
    필연적으로 나올 뉴스 드라마도 원치 않음. “저는 가난하고 순진한 할머니일 뿐이고 Facebook 광고를 믿었을 뿐인데, Stripe가 제가 사기당했다는 이유로 인터넷 상점 절반에서 저를 차단했어요!” 같은 식으로 나올 수 있음
  • 구매가 승인되지 않았다는 주장이고 사람이 수업에 직접 나타났다고 했는데, 어떤 사람이 수업에 온 건 맞더라도 그 사람이 사용된 신용카드의 주인이라는 걸 어떻게 알 수 있음?
  • 그들의 사업 모델은 가능한 한 많은 “유효한” 거래를 허용하는 것이지, “고객사”를 섬기는 게 아님. 그들은 결제 서비스 제공자임

• 이건 그냥 사기임. “친근한 사기”는 고객이 청구 내역을 알아보지 못해 차지백을 거는 것처럼 우발적이거나 올바른 의도에서 나온 경우임

  • 실제로 청구 내역을 알아보지 못한 건 사기가 아님. 사기에는 의도, 적어도 “기억나는 게 없으면 전부 분쟁 제기하고 기억하려는 노력도 거의 안 하겠다” 같은 중대한 부주의가 필요하다고 봄
    “그냥 사기”라는 표현은 이미 “범죄자 c가 모르는 카드 소유자 a의 카드를 모르는 가맹점 b에서 사용”하는 경우에 쓰이고 있음. 그렇다면 “친근한 사기”라는 표현에 반대하는 이유가 뭔지 궁금함
  • 그게 핵심임. 형사 고소를 할 수 있고, 민사 법원에서도 이길 수 있음
  • 맞음. 그리고 Stripe는 그걸 훨씬 더 잘 막을 수 있는데 그러지 않음

• 좋은 글임. 핵심은 Stripe가 분쟁 이후의 친근한 사기 증거를 Radar의 교차 가맹점 신호로 쓰지 않겠다고 인정한 부분이었음
  거기에 고객이 차지백에서 이긴 뒤 문자 그대로 자랑한 것까지 보면, 시스템이 인디 판매자에게 얼마나 불리하게 기울어져 있는지 드러남

• Stripe가 친근한 사기 관련 데이터를 기록하는 건 분명함. 최소한 Visa Compelling Evidence 3.0은 구현하고 있음 https://support.stripe.com/questions/how-does-stripe-support...
  Stripe 지원이 보낸 메시지 스크린샷이 없으니, 조심스럽고 법적으로 문제없는 애매한 답변으로 그냥 물러가게 하려 했고, 그게 분노한 블로그 글로 바뀐 게 아닐까 싶음

  • Stripe의 답변을 그대로 공유할 수 있음. 꽤 긴 왕복이었음. 최근 이메일 일부를 보면 내가 제공한 증거를 쓰지 않는다는 점이 분명해 보임
    “피드백을 기록해 팀에 전달하겠습니다. 거래 후 악용 탐지에 대한 지적은 타당합니다. Stripe에는 강력한 네트워크 수준 사기 탐지가 있지만, 가맹점이 제공한 확정 사기 증거를 더 넓은 가맹점 생태계를 보호하는 데 활용하는 부분에는 공백이 있어 보입니다. 직접 증거를 가진 가맹점의 이런 피드백은 시스템 개선에 가치가 있습니다.”
  • “조심스럽고 법적으로 문제없는 애매한 답변으로 그냥 물러가게 하려 했다”가 맞다면, 문제를 완전히 묵살하는 것 자체가 기만이라는 뜻이라서 그다지 나은 상황은 아님
  • 그 링크는 4~12개월 전 당신과의 이의 제기 없는 거래가 이번 분쟁 거래가 실제로 정당했음을 입증할 수 있다는 내용임
    하지만 글의 사례는 1~2주 안에 분쟁 구매만 한 사람에 관한 것임
  • Stripe가 친근한 사기 관련 데이터를 기록한다는 점에 대한 내 유일한 불만은, 갱신할 생각이 없고 서비스 결제 페이지에서 이미 갱신 안 함으로 설정한 진행 중 구독의 카드 정보를 삭제할 수 없다는 것임
  • 요점이 뭐임? Stripe가 뭐라고 말했는지가 중요하다고 생각함? 분노한 블로그 글을 정당화하지 않을 만한 답변이 뭐였을지 궁금함