Guider
Forebygging av betalingssvindel for nettbutikker: svindeltyper, verktøy og nøkkeltall
Forebygging av betalingssvindel for nettforhandlere betyr å stoppe card testing, kjøp med stjålne kort, kontoovertakelse og friendly fraud uten å avvise gode kunder. Det virker i lag: konto- og velocity-kontroller, enhetsgjenkjenning og en risikoscore før betaling, 3D Secure ved risikable bestillinger, CVV- og adressekontroll ved autorisasjon og dokumentasjon til chargebacks etterpå. Følg svindelrate, tvistandel og falske avslag samlet.
Kort fortalt
| Betalingssvindel i EØS, 2024 | 4,2 mrd. euro, opp fra 3,5 mrd. euro i 2023 (EBA og ECB, desember 2025) |
|---|---|
| Kortsvindel utenfor EØS | 17 ganger høyere når mottakeren ligger utenfor EØS, der SCA ofte ikke brukes |
| Visa VAMP-grense for forhandlere, Europa | Svindelmeldinger pluss tvister på 1,5 % av avregnede card-not-present-transaksjoner siden april 2026, fra 1 500 hendelser i måneden |
| Mastercard Excessive Chargeback Merchant | Chargebackrate på 1,5 % og minst 100 chargebacks i løpet av en måned |
| PSD2s TRA-referansesvindelrater | 0,13 % opptil 100 euro, 0,06 % opptil 250 euro og 0,01 % opptil 500 euro for fjernkortbetalinger |
| Britisk refusjon ved APP-svindel | Obligatorisk refusjon opptil 85 000 pund per krav siden 7. oktober 2024 |
Hvilke typer betalingssvindel rammer nettforhandlere?
Nettsvindel følger pengene og den svakeste kontrollen. EBA og ECB registrerte betalingssvindel for 4,2 mrd. euro i EØS i 2024, der kortsvindelen var konsentrert om card-not-present-betalinger og betalinger til forhandlere utenfor EØS. Forhandlere bærer kostnaden ved det meste av kortsvindelen gjennom chargebacks, gebyrer og tapte varer.
Hver type nedenfor etterlater ulike signaler og krever sitt eget forsvar, og derfor dekker et enkelt regelsett eller et enkelt verktøy sjelden dem alle.
| Svindeltype | Slik fungerer den | Typisk signal | Viktigste forsvar |
|---|---|---|---|
| Card testing | Roboter tester stjålne kortnumre med små betalinger | Mange forsøk med lavt beløp, høy avslagsrate | Velocity-grenser, botdeteksjon, CAPTCHA |
| Svindel med stjålne kort (CNP) | En svindler kjøper med ekte kortopplysninger | Ny enhet, avvikende land eller adresse | Risikoscoring, 3D Secure |
| Kontoovertakelse | Stjålne innlogginger brukes til å bestille eller endre utbetalingsopplysninger | Ny enhet, tilbakestilt passord, endret adresse | Risikokontroll ved innlogging, step-up-autentisering |
| Friendly fraud | Den ekte kortinnehaveren bestrider et kjøp vedkommende selv har gjort | Tilbakevendende kunde, levert bestilling, senere tvist | Tydelige beskrivelser på kontoutskrift, leveringsbevis, dokumentasjon |
| Triangulasjonssvindel | En falsk nettbutikk videreselger varene dine betalt med stjålne kort | Leveringsadressen avviker fra kortinnehaveren, mønstre som hos videreselgere | Kobling av adresser og enheter, gjennomgang |
| MOTO-svindel | Stjålne kort brukes til telefon- eller postbestillinger | Hastelevering, høy verdi, ingen SCA | Tilbakeringingskontroll, CVV- og adressekontroll |
| APP- og refusjonssvindel | Kunder eller ansatte lures til å sende penger | Endrede bankopplysninger, hastende forespørsler | Verifisering av mottaker, kontroll med utbetalinger |
Hva er friendly fraud, og er chargeback-svindel ulovlig?
Friendly fraud, også kalt chargeback-svindel eller first-party fraud, oppstår når kortinnehaveren som har gjort et kjøp, bestrider det overfor banken som uautorisert eller ikke mottatt. Noen tilfeller skyldes ærlig forvirring over en ukjent beskrivelse på kontoutskriften eller et familiemedlems kjøp; andre er forsettlige. Å inngi en falsk chargeback med vilje for å beholde både varer og penger er en form for svindel og kan straffeforfølges, men i praksis bekjemper forhandlere det gjennom tvistprosessen.
3D Secure stopper ikke friendly fraud, fordi den ekte kortinnehaveren kan autentisere seg. Det som hjelper, er en beskrivelse på kontoutskriften som kundene kjenner igjen, ordrebekreftelser på e-post, leveringsbevis og en enkel vei til refusjon. Ved Visa-tvister lar Compelling Evidence 3.0 forhandlere besvare en svindelpåstand med to tidligere ubestridte transaksjoner fra 120 til 365 dager før, gjort med samme kort og samsvarende enhets- eller IP-data.
Hvilke verktøy for svindelforebygging bør en nettforhandler bruke?
Ingen enkeltstående verktøy dekker alle svindeltyper, og hvert verktøy legger til kostnad eller friksjon. Det nyttige spørsmålet er hva hvert verktøy ser, og når det virker: før bestillingen, før autorisasjonen, under autentiseringen eller etter salget.
Maskinlæringsscorer kombinerer mange svake signaler, mens regler uttrykker det du allerede vet om virksomheten din. De fleste forhandlere trenger begge deler: regler for harde grenser og forklarbare blokkeringer, scoring for gråsonen imellom.
- Regler: blokker eller gå gjennom etter land, beløp, produkt, leveringsmetode eller blokkerte e-poster, kort og enheter
- Velocity-kontroller: begrens forsøk per kort, enhet, IP-adresse, e-post og konto innen minutter og dager
- Enhetsgjenkjenning: gjenkjenn tilbakevendende enheter, emulatorer, proxyer og mange kontoer på én enhet
- Risikoscoring med maskinlæring: en score per betaling ut fra atferd, historikk og nettverksdata
- 3D Secure 2: autentisering hos utstederen, med ansvarsforskyvning ved svindel for autentiserte betalinger
- CVV- og adressekontroll (AVS): utstederkontroller ved autorisasjon; AVS finnes hovedsakelig for britiske, amerikanske og kanadiske kort
- Manuell gjennomgang og tilbakeholdt levering: for bestillinger med høy verdi eller uklare bestillinger før varene forlater lageret
Hvilke nøkkeltall for svindel bør du følge?
Svindelraten alene belønner å avvise alle. Følg den ved siden av tvistandelen som kortselskapene overvåker, og de falske avslagene du selv forårsaker, for en god kunde du avviser, koster hele marginen og ofte kundens neste bestillinger også.
Visas Acquirer Monitoring Program teller svindelmeldinger og tvister sammen, og grensen for forhandlere i Europa ble senket til 1,5 % i april 2026. Overskrides kortselskapenes grenser, følger bøter, høyere innløsergebyrer og til slutt tap av kortaksept.
| Nøkkeltall | Slik beregnes det | Referanseverdi |
|---|---|---|
| Svindelrate etter verdi | Svindelvolum delt på samlet kortvolum | PSD2s TRA-nivåer 0,13 %, 0,06 % og 0,01 % for PSP-er |
| Visa VAMP-ratio | Svindelmeldinger pluss tvister delt på avregnede CNP-transaksjoner | Grense for forhandlere på 1,5 % i Europa siden april 2026 |
| Mastercards chargebackrate | Chargebacks delt på forrige måneds transaksjoner | 1,5 % og 100 chargebacks for Excessive Chargeback Merchant |
| Rate for falske avslag | Gode bestillinger som er avvist eller kansellert, delt på alle gode bestillinger | Sett din egen baseline; gå gjennom stikkprøver hver måned |
| 3DS-utfordringsrate | Utfordrede autentiseringer delt på alle autentiseringer | Sammenlign per utstederland og beløpsintervall |
| Rate for manuell gjennomgang | Bestillinger sendt til gjennomgang delt på alle bestillinger | Hold den lav nok til at gjennomgangen rekker innen leveringsfristen |
Hvordan ser en lagdelt tilnærming til svindelforebygging ut?
Lagene fanger det det forrige laget overså, og lar deg spare friksjonen til bestillingene som trenger den. Betalinger med lav risiko går raskt gjennom, betalinger med middels risiko får autentisering, og betalinger med høy risiko blokkeres eller gjennomgås.
Plasser hver kontroll så tidlig som mulig: Det er billigere å blokkere en card testing-bot ved opprettelsen av en konto enn å betale autorisasjonsgebyrer for tusenvis av avviste forsøk.
| Lag | Når det virker | Kontroller | Friksjon for kunden |
|---|---|---|---|
| 1. Konto | Opprettelse og innlogging | Botdeteksjon, innloggingsrisiko, step-up på nye enheter | Ingen for de fleste brukere |
| 2. Kasse | Før betaling | Velocity-grenser, enhetsfingeravtrykk, blokkeringslister | Ingen |
| 3. Risikoscore | Før autorisasjon | Regler pluss maskinlæringsscore | Ingen |
| 4. Autentisering | Middels og høy risiko | 3D Secure 2-utfordring eller unntak | Utfordring for en andel av bestillingene |
| 5. Autorisasjon | Hos utstederen | CVV, AVS, utstederens risikomodeller | Kun avslag |
| 6. Etter salget | Levering og tvister | Tilbakeholdelse, leveringsbevis, dokumentasjon, refusjoner | Forsinkelse ved gjennomgåtte bestillinger |
Hvordan henger risikoscoring sammen med betalingsruting?
En risikoscore er mest nyttig når den endrer hva som skjer med betalingen, og ikke bare om den blokkeres. Lave scorer kan sendes med en forespørsel om TRA-unntak for å holde kassen friksjonsfri, middels scorer går gjennom 3D Secure, og høye scorer blokkeres eller holdes for gjennomgang. Med flere innløsere kan scoren også avgjøre hvilken tilkobling som håndterer en betaling, for eksempel ved å sende handlekurver med høy risiko til kontoen som har det beste autentiseringsoppsettet.
Ruting skaper også svindelrisiko. Et nytt forsøk hos en annen leverandør etter et avslag hjelper ved tekniske og myke avslag, men nye forsøk etter harde avslag eller mistenkt card testing sprer angrepet til alle kontoene dine og hever tvistandelen overalt. Regler for nye forsøk bør først kontrollere avslagsårsaken og risikoscoren.
Hvordan legger du til svindelkontroller gjennom OrsunPay?
OrsunPay er en teknisk tjenesteleverandør oppå forhandlerens egne PSP-kontoer, så svindelverktøyene og ansvarsreglene i hver PSP-avtale fortsetter å gjelde. Rapportering samler betalingsresultater fra tilkoblede leverandører; risikobasert smart ruting og en RiskCogs-integrasjon for scoring av enheter og transaksjoner er planlagt og ikke tilgjengelige i dag.
Slik setter du opp lagdelt forebygging av betalingssvindel
- Mål baselinen din Eksporter tre måneders betalinger, tvister og avslag, og beregn svindelrate, tvistandel og godkjenningsrate per land, betalingsmetode og beløpsintervall.
- Stopp automatiserte angrep først Legg til botdeteksjon og velocity-grenser per kort, enhet, IP-adresse og e-post for å blokkere card testing før det når autorisasjonen.
- Score hver betaling Bruk PSP-ens risikomotor eller et eget scoringsverktøy, og skriv regler for de harde grensene du allerede kjenner.
- Knytt scorer til handlinger Definer intervaller for gjennomføring med unntak, autentisering med 3D Secure, gjennomgang og blokkering, og test grensene på tidligere bestillinger.
- Forbered deg på tvister Rett opp beskrivelsen på kontoutskriften, lagre leveringsbevis og enhetsdata, og refunder åpenbare feil før de blir til chargebacks.
- Gå gjennom hver måned Kontroller svindel, tvister og falske avslag samlet, og juster reglene, siden svindelmønstre skifter etter hver endring du gjør.
Ofte stilte spørsmål
Hva er friendly fraud?
Friendly fraud er en chargeback som den ekte kortinnehaveren inngir for et kjøp vedkommende selv har gjort eller godkjent, med påstand om at det var uautorisert eller ikke mottatt. Det utgjør en stor andel av svindeltvistene, fordi 3D Secure og svindelscorer ikke kan stoppe den ekte kortinnehaveren.
Er chargeback-svindel ulovlig?
Å bestride et legitimt kjøp med vilje for å få pengene tilbake og beholde varene er svindel og kan straffeforfølges. Forhandlere svarer vanligvis gjennom kortselskapenes tvistprosess med dokumentasjon og kan avvise fremtidige bestillinger fra kunden.
Hva er MOTO-svindel?
MOTO-svindel bruker stjålne kortopplysninger i post- eller telefonbestillinger. Disse betalingene ligger utenfor sterk kundeautentisering, så forhandlere støtter seg på tilbakeringingskontroll, CVV- og adressekontroll og nøye gjennomgang av hasteordrer og bestillinger med høy verdi.
Hvordan stopper jeg svindel i netthandel uten å miste gode kunder?
Bruk risikobasert friksjon: la betalinger med lav risiko gå gjennom, autentiser dem med middels risiko med 3D Secure, og blokker eller gå bare gjennom bestillinger med høy risiko. Mål falske avslag ved siden av svindel, slik at strengere regler ikke i det skjulte koster mer omsetning enn de redder.
Hva er en god svindelrate for en nettbutikk?
Hold svindel- og tvistandelen godt under Visas og Mastercards grenser på 1,5 %. Forhandlere som vil at innløsere skal be om TRA-unntak, trenger en portefølje som ligger langt lavere, siden PSD2 fastsetter referanserater mellom 0,01 % og 0,13 % for PSP-er.
Hva er card testing?
Card testing er når svindlere bruker roboter til å teste stjålne kortnumre med små betalinger på et nettsted. Det gir autorisasjonsgebyrer, høyere avslagsrater og senere svindeltvister og stoppes med velocity-grenser, botdeteksjon og CAPTCHA i kassen.