Что такое Fraud?

Что такое Fraud

Определение

Fraud (мошенничество) в контексте Java и веб-разработки — это несанкционированное или обманное использование системы, данных или ресурсов для получения неправомерной выгоды. В Java-приложениях это часто связано с безопасностью, аутентификацией, авторизацией и финансовыми операциями.

Типы Fraud в веб-приложениях

1. Аутентификационный Fraud (Authentication Fraud)

Попытка выдать себя за другого пользователя:

// Небезопасный пример
@PostMapping("/login")
public ResponseEntity<String> login(
    @RequestParam String username,
    @RequestParam String password
) {
    // Плохо: небезопасное хранение пароля
    User user = userRepository.findByUsernameAndPassword(username, password);
    
    if (user != null) {
        // Уязвимость: легко подделать
        String token = generateWeakToken(username);
        return ResponseEntity.ok(token);
    }
    
    return ResponseEntity.status(401).body("Invalid credentials");
}

Защита:

@PostMapping("/login")
public ResponseEntity<String> secureLogin(
    @RequestParam String username,
    @RequestParam String password,
    HttpServletResponse response
) {
    // Проверяем пароль с bcrypt
    User user = userRepository.findByUsername(username);
    
    if (user != null && passwordEncoder.matches(password, user.getPasswordHash())) {
        // Генерируем криптографически стойкий токен
        String secureToken = generateSecureJWT(user.getId(), 1800); // 30 минут
        
        // Отправляем в secure cookie
        response.addHeader("Set-Cookie", 
            "jwt=" + secureToken + "; Path=/; HttpOnly; Secure; SameSite=Strict"
        );
        
        return ResponseEntity.ok("Login successful");
    }
    
    return ResponseEntity.status(401).body("Invalid credentials");
}

2. Финансовый Fraud (Financial Fraud)

Нелегальные платежи, двойные транзакции, кража денег:

// Пример: система платежей
@Service
public class PaymentService {
    
    private final FraudDetectionService fraudDetectionService;
    private final PaymentRepository paymentRepository;
    private final TransactionLogger transactionLogger;
    
    @Transactional
    public PaymentResponse processPayment(PaymentRequest request) {
        // Шаг 1: Проверяем не fraud ли это
        FraudScore fraudScore = fraudDetectionService.analyze(request);
        
        if (fraudScore.isSuspicious()) {
            transactionLogger.logSuspiciousActivity(
                request.getUserId(),
                fraudScore.getReason()
            );
            throw new FraudDetectedException("Payment blocked: suspected fraud");
        }
        
        // Шаг 2: Проверяем дублирование (idempotency)
        if (paymentRepository.existsByIdempotencyKey(request.getIdempotencyKey())) {
            throw new DuplicatePaymentException("This payment already exists");
        }
        
        // Шаг 3: Проверяем лимиты
        if (!isWithinLimits(request.getUserId(), request.getAmount())) {
            throw new LimitExceededException("Amount exceeds daily limit");
        }
        
        // Шаг 4: Выполняем платёж
        Payment payment = new Payment(
            request.getUserId(),
            request.getAmount(),
            request.getIdempotencyKey()
        );
        
        payment = paymentRepository.save(payment);
        
        // Шаг 5: Логируем для аудита
        transactionLogger.logSuccessfulPayment(
            payment.getId(),
            request.getUserId(),
            request.getAmount()
        );
        
        return new PaymentResponse(payment.getId(), "SUCCESS");
    }
}

3. Fraud Detection — система обнаружения

@Service
public class FraudDetectionService {
    
    private final UserBehaviorAnalyzer behaviorAnalyzer;
    private final IPGeoLocationService ipService;
    private final DeviceFingerprinting deviceFingerprint;
    
    public FraudScore analyze(PaymentRequest request) {
        FraudScore score = new FraudScore();
        
        // 1. Анализ поведения пользователя
        if (isUnusualBehavior(request.getUserId(), request)) {
            score.addPoints(30); // +30 баллов
        }
        
        // 2. Проверка географии
        if (isGeographicallyImpossible(request.getUserId())) {
            score.addPoints(50); // +50 баллов
        }
        
        // 3. Анализ IP
        String ipAddress = request.getIpAddress();
        if (isVpnOrProxy(ipAddress)) {
            score.addPoints(20);
        }
        
        // 4. Проверка девайса
        if (isNewOrUnknownDevice(request.getUserId(), request.getDeviceId())) {
            score.addPoints(25);
        }
        
        // 5. Паттерны платежей
        if (isAbnormalTransactionPattern(request)) {
            score.addPoints(35);
        }
        
        return score; // Если >= 80 баллов - fraud
    }
    
    private boolean isUnusualBehavior(Long userId, PaymentRequest request) {
        UserBehavior history = behaviorAnalyzer.getUserHistory(userId);
        
        // Пользователь обычно платит маленькие суммы, а сейчас большую?
        if (request.getAmount() > history.getAverageAmount() * 3) {
            return true;
        }
        
        // Обычно платит по четвергам, а сейчас понедельник в 3 ночи?
        return isUnusualTime(history, request);
    }
    
    private boolean isGeographicallyImpossible(Long userId) {
        UserLocation lastLocation = ipService.getLastLocation(userId);
        UserLocation currentLocation = ipService.getCurrentLocation(userId);
        
        if (lastLocation == null) return false;
        
        // Два платежа из разных стран за 10 минут?
        long timeDiff = System.currentTimeMillis() - lastLocation.getTimestamp();
        double distance = calculateDistance(
            lastLocation.getLatitude(), lastLocation.getLongitude(),
            currentLocation.getLatitude(), currentLocation.getLongitude()
        );
        
        // Максимальная скорость человека примерно 900 км/ч (самолёт)
        double maxPossibleDistance = (900 * timeDiff) / (60 * 60 * 1000);
        
        return distance > maxPossibleDistance;
    }
}

4. Account Takeover Fraud (ATO)

Когда злоумышленник получает доступ к чужому аккаунту:

@Service
public class AccountSecurityService {
    
    private final UserRepository userRepository;
    private final LoginAttemptService loginAttemptService;
    private final MFAService mfaService;
    
    public void handleSuspiciousLogin(String username, String ipAddress) {
        // Проверяем количество неудачных попыток
        int failedAttempts = loginAttemptService.getFailedAttempts(username);
        
        if (failedAttempts >= 5) {
            // Блокируем аккаунт после 5 неудачных попыток
            User user = userRepository.findByUsername(username);
            user.setAccountLocked(true);
            user.setLockedAt(LocalDateTime.now());
            userRepository.save(user);
            
            // Отправляем письмо владельцу
            emailService.sendAccountLockedNotification(user.getEmail());
            
            return;
        }
        
        // Требуем MFA для нового IP
        if (!isKnownIp(username, ipAddress)) {
            mfaService.sendMFACode(username); // SMS или Email
        }
    }
}

5. API Abuse Fraud

Жестокие атаки, перебор паролей, спам:

@Component
public class RateLimitingFilter implements Filter {
    
    private final RateLimitService rateLimitService;
    
    @Override
    public void doFilter(
        ServletRequest request,
        ServletResponse response,
        FilterChain chain
    ) throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        String clientId = getClientIdentifier(httpRequest);
        String endpoint = httpRequest.getRequestURI();
        
        // Проверяем rate limit
        if (!rateLimitService.isAllowed(clientId, endpoint)) {
            HttpServletResponse httpResponse = (HttpServletResponse) response;
            httpResponse.setStatus(429); // Too Many Requests
            httpResponse.getWriter().write("Rate limit exceeded");
            return;
        }
        
        chain.doFilter(request, response);
    }
}

Защита от Fraud

Лучшие практики

• Никогда не логируй пароли в логах
• Используй HTTPS везде
• Требуй MFA для критических операций
• Мониторь аномалии в real-time
• Логируй все попытки доступа
• Используй idempotency keys для платежей
• Блокируй аккаунты после N неудачных попыток
• Требуй верификацию при смене email/пароля

Заключение

Fraud — это серьёзная угроза для веб-приложений, особенно работающих с деньгами или персональными данными. Защита от мошенничества требует многоуровневого подхода: криптография, мониторинг, аналитика и быстрое реагирование на аномалии. Java-разработчик обязан понимать типичные виды мошенничества и реализовывать соответствующие защиты.