Falske bestillinger i WooCommerce

Når det kommer mange bestillinger på kort tid med tilfeldige navn og e-postadresser, og de fleste har status «Mislyktes», er det korttesting. Roboter bruker kassen din til å prøve stjålne kortnumre for å finne ut hvilke kort som virker. I ordrenotatene kan du se om kortene ble avvist.

Butikken er ikke hacket, men kassen blir brukt som testverktøy. Du stopper angrepet ved å begrense antall forsøk og legge inn en robotsjekk i kassen. Ekte kunder merker knapt noe til det.

Gjør dette med en gang

1. Gå til WooCommerce → Ordrer og se gjennom bestillingene som gikk gjennom. Ikke send varene, og refunder ordrene du mener er svindel så raskt du kan. Det reduserer risikoen for tilbakeføringer.
2. Robotene tester helst med billige produkter, donasjoner og produkter der kunden velger beløpet selv. Gjør dem midlertidig utilgjengelige.
3. Kontakt betalingsleverandøren tidlig. Mange avviste betalinger på kort tid kan få leverandøren til å begrense kontoen din, og de kan slå på strengere svindelregler.

Hvis angrepet fortsatt pågår, kan du slå av gjestekjøp en periode. Gå til WooCommerce → Innstillinger → Kontoer og personvern, fjern haken ved «Aktiver gjesteutsjekking (anbefalt)» og trykk «Lagre endringer». Da må kundene opprette konto, så slå på gjestekjøp igjen når angrepet er over.

Begrens antall forsøk i kassen

Fra WooCommerce 9.6 kan du begrense hvor mange bestillinger samme besøkende kan legge inn på kort tid.

1. Gå til WooCommerce → Innstillinger → Avansert → Funksjoner.
2. Huk av for «Frekvensbegrensning for kasse» og trykk «Lagre endringer».

Grensen er tre forsøk i minuttet, så en vanlig kunde merker den nesten aldri. Den gjelder bare når kassesiden bruker kasseblokken, ikke den eldre kortkoden [woocommerce_checkout].

For besøkende som ikke er logget inn, gjelder grensen per IP-adresse. Ligger butikken bak Cloudflare eller en annen proxy, ser WordPress bare adressene til proxyen, med mindre serveren er satt opp til å se den ekte IP-adressen. Da deler mange kunder samme grense, og du må slå på proxy-støtte, for eksempel i en egen utvidelse eller i functions.php i barnetemaet:

add_filter( 'woocommerce_store_api_rate_limit_options', function ( $options ) {
	$options['proxy_support'] = true;
	return $options;
} );

Slå bare på dette hvis butikken faktisk ligger bak en proxy. Ellers kan robotene omgå grensen med forfalskede IP-adresser. Grensen og proxy-støtten er beskrevet i WooCommerce-dokumentasjonen om frekvensbegrensning.

Legg til en robotsjekk i kassen

En robotsjekk stopper automatiserte bestillinger. Cloudflare Turnstile sjekker nettleseren i bakgrunnen, så de fleste ekte kunder slipper å løse en CAPTCHA. Det finnes utvidelser som legger Turnstile eller Google reCAPTCHA inn i WooCommerce-kassen.

Har betalingsleverandøren egen svindelbeskyttelse, for eksempel Radar i Stripe, slår du den på og spør hva de anbefaler. WooCommerce har også en egen veiledning om korttesting.

Rydd i ordrelisten

Se over listen før du sletter noe, så du ikke fjerner ordrer fra ekte kunder som bare fikk kortet avvist.

1. Gå til WooCommerce → Ordrer og klikk på «Mislykket» over listen.
2. Merk ordrene, velg «Flytt til papirkurven» under «Massehandlinger» og trykk «Bruk».

Hvis angrepet fortsetter

Kommer det fortsatt bestillinger med grensen og robotsjekken på plass, omgår robotene dem, for eksempel ved å bytte IP-adresse for hvert forsøk. Da må trafikken stoppes før den når WordPress, for eksempel i brannmuren hos Cloudflare eller webhotellet. Det krever tilgang til DNS eller hostingpanelet og noen som kan lese tilgangsloggene.