搬瓦工WHMCS反欺诈机制如何运作？

搬瓦工在后台使用的 WHMCS 反欺诈模块，已经把传统的“黑名单”升级为多维度风险评分系统。每一次下单都会触发一条“数据收集 → 风险评估 → 动作执行”的闭环，哪怕是几毫秒的延迟也足以决定订单是直接通过、需要人工复审还是直接标记为 Fraud。

核心数据来源

IP 归属地：通过 MaxMind GeoIP2、IP2Location 双库交叉验证，若 IP 所在国家与账户填写的国家不符，即进入高危阈值。
浏览器指纹：采集 User‑Agent、语言、屏幕分辨率、Canvas 指纹等 15 项信息，组合后生成唯一哈希。
支付渠道画像：PayPal、支付宝、信用卡等渠道的历史成功率、退款率以及同一支付账号在 30 天内的下单次数。
账户行为轨迹：注册时是否使用了临时邮箱、是否曾在同一设备上登录过多个账号、密码强度等。

风险评分模型

系统为每一项指标预设权重，采用加权求和得到 0‑100 的风险分。分值低于 30 时直接通过，30‑70 之间会触发“自动审查”——发送验证码或要求补充地址；超过 70 则自动标记为 Fraud 并启动退款流程。值得注意的是，模型会动态调节权重：如果同一 IP 在过去 48 小时内出现三次 Fraud，后续同 IP 的权重会提升 15 分。

自动化决策路径

订单创建 → 实时抓取上述数据。
风险评分计算 → 与阈值对比。
低风险 → 直接生成 Invoice，发送激活邮件。
中风险 → 触发二次验证（短信、邮件验证码），验证成功后转为低风险。
高风险 → 标记为 Fraud，调用支付网关的全额退款接口，同时在后台记录 “欺诈日志”。

实战案例剖析

一名用户在北京使用 VPN 连入美国节点，注册时填写了 “China”。系统在 GeoIP 检测到 IP 属于美国，却在账单地址栏出现中国邮编，风险评分瞬间跳至 78 分。由于未触发二次验证，订单被直接标记为 Fraud，三分钟内完成退款。若该用户关闭 VPN、改为本地宽带再下单，IP 与国家匹配后评分降至 22 分，订单即可顺利通过。