Gidsen
Fraudedetectie voor webshops: fraudetypes, tools en meetwaarden
Fraudedetectie bij online betalingen betekent card testing, aankopen met gestolen kaarten, accountovername en friendly fraud tegenhouden zonder goede klanten te weigeren. Het werkt in lagen: account- en snelheidscontroles, device fingerprinting en een risicoscore vóór de betaling, 3D Secure bij riskante bestellingen, CVV- en adrescontroles bij autorisatie en bewijsvoering achteraf. Meet fraudepercentage, geschillenratio en onterechte weigeringen samen.
In het kort
| Betalingsfraude in de EER, 2024 | € 4,2 miljard, tegen € 3,5 miljard in 2023 (EBA en ECB, december 2025) |
|---|---|
| Kaartfraude buiten de EER | 17 keer hoger wanneer de ontvanger buiten de EER zit, waar SCA vaak niet wordt toegepast |
| Visa VAMP-drempel voor webshops, Europa | Fraudemeldingen plus geschillen van 1,5% van de afgewikkelde card-not-present-transacties sinds april 2026, vanaf 1.500 gebeurtenissen per maand |
| Mastercard Excessive Chargeback Merchant | Chargebackratio van 1,5% en ten minste 100 chargebacks in een maand |
| PSD2 TRA-referentiepercentages fraude | 0,13% tot € 100, 0,06% tot € 250 en 0,01% tot € 500 voor kaartbetalingen op afstand |
| Vergoeding van APP-fraude in het VK | Verplichte vergoeding tot £ 85.000 per claim sinds 7 oktober 2024 |
Welke soorten betalingsfraude treffen webshops?
Online fraude volgt het geld en de zwakste controle. De EBA en de ECB telden in 2024 € 4,2 miljard aan betalingsfraude in de EER, waarbij kaartfraude zich concentreert in card-not-present-betalingen en in betalingen aan ondernemers buiten de EER. Webshops dragen de kosten van het merendeel van de kaartfraude via chargebacks, kosten en verloren goederen.
Elk type hieronder laat andere signalen na en vraagt een andere verdediging. Daarom dekt één regelset of één tool zelden alle typen.
| Fraudetype | Werkwijze | Typisch signaal | Belangrijkste verdediging |
|---|---|---|---|
| Card testing | Bots proberen gestolen kaartnummers uit met kleine betalingen | Veel betalingen van laag bedrag, hoog weigeringspercentage | Snelheidslimieten, botdetectie, CAPTCHA |
| Fraude met gestolen kaart (CNP) | Een fraudeur koopt met echte kaartgegevens | Nieuw apparaat, afwijkend land of adres | Risicoscore, 3D Secure |
| Accountovername | Gestolen logins worden gebruikt om te bestellen of uitbetaalgegevens te wijzigen | Nieuw apparaat, wachtwoordreset, gewijzigd adres | Loginrisicocontrole, extra authenticatie |
| Friendly fraud | De echte kaarthouder betwist een aankoop die hij zelf deed | Terugkerende klant, bezorgde bestelling, later geschil | Herkenbare omschrijving, bezorgbewijs, bewijsvoering |
| Triangulatiefraude | Een nepwinkel verkoopt uw goederen door, betaald met gestolen kaarten | Verzendadres wijkt af van kaarthouder, patroon van doorverkoop | Koppelen van adres en apparaat, handmatige controle |
| MOTO-fraude | Gestolen kaarten bij telefonische of schriftelijke bestellingen | Spoedlevering, hoog bedrag, geen SCA | Terugbelcontrole, CVV- en adrescontrole |
| APP- en terugbetalingsfraude | Klanten of medewerkers worden misleid om geld over te maken | Gewijzigde bankgegevens, urgente verzoeken | IBAN-naamcheck, controles op uitbetalingen |
Wat is friendly fraud en is chargeback fraude strafbaar?
Friendly fraud, ook terugboekingsfraude of first-party fraude genoemd, ontstaat wanneer de kaarthouder die een aankoop deed die bij zijn bank betwist als niet geautoriseerd of niet ontvangen. Sommige gevallen zijn oprechte verwarring over een onbekende omschrijving of een aankoop van een gezinslid, andere zijn opzet. Wie bewust een valse chargeback indient om goederen en geld te houden, pleegt een vorm van fraude en kan worden vervolgd, maar in de praktijk bestrijden ondernemers dit via het geschillenproces.
3D Secure houdt friendly fraud niet tegen, omdat de echte kaarthouder zichzelf kan authenticeren. Wat helpt: een omschrijving op het afschrift die klanten herkennen, orderbevestigingen per e-mail, bezorgbewijs en een eenvoudige route voor terugbetaling. Bij Visa-geschillen kunt u met Compelling Evidence 3.0 een fraudeclaim beantwoorden met twee eerdere onbetwiste transacties van 120 tot 365 dagen eerder, gedaan met dezelfde kaart en overeenkomende apparaat- of IP-gegevens.
Welke fraudepreventietools moet een webshop gebruiken?
Geen enkele tool dekt elk fraudetype en elke tool kost geld of veroorzaakt frictie. De bruikbare vraag is wat elke tool ziet en wanneer hij ingrijpt: vóór de bestelling, vóór autorisatie, tijdens authenticatie of na de verkoop.
Machine-learningscores combineren veel zwakke signalen, terwijl regels vastleggen wat u al over uw bedrijf weet. De meeste webshops hebben beide nodig: regels voor harde grenzen en uitlegbare blokkades, scoring voor het grijze gebied daartussen.
- Regels: blokkeren of beoordelen op land, bedrag, product, verzendmethode of geblokkeerd e-mailadres, kaart en apparaat
- Snelheidscontroles: beperk pogingen per kaart, apparaat, IP-adres, e-mailadres en account binnen minuten en dagen
- Device fingerprinting: herken terugkerende apparaten, emulators, proxy's en veel accounts op één apparaat
- Risicoscore met machine learning: een score per betaling op basis van gedrag, historie en netwerkgegevens
- 3D Secure 2: authenticatie door de uitgever, met omkering van aansprakelijkheid voor geauthenticeerde betalingen
- CVV- en adresverificatie (AVS): controles van de uitgever bij autorisatie; AVS is vooral beschikbaar voor kaarten uit het VK, de VS en Canada
- Handmatige beoordeling en vasthouden van orders: voor bestellingen met een hoog bedrag of twijfelachtige orders voordat de goederen het magazijn verlaten
Welke fraudemeetwaarden moet u volgen?
Het fraudepercentage op zich beloont het weigeren van iedereen. Volg het naast de geschillenratio die de kaartnetwerken monitoren en de onterechte weigeringen die u veroorzaakt, want een goede klant die u wegstuurt kost de volledige marge en vaak ook zijn volgende bestellingen.
Het Acquirer Monitoring Program van Visa telt fraudemeldingen en geschillen samen, en de drempel voor webshops in Europa is in april 2026 verlaagd naar 1,5%. Wie netwerkdrempels overschrijdt, krijgt boetes, hogere acquirertarieven en uiteindelijk geen kaartacceptatie meer.
| Meetwaarde | Berekening | Referentiewaarde |
|---|---|---|
| Fraudepercentage naar waarde | Frauduleus volume gedeeld door totaal kaartvolume | PSD2 TRA-bandbreedtes 0,13%, 0,06% en 0,01% voor PSP's |
| Visa VAMP-ratio | Fraudemeldingen plus geschillen gedeeld door afgewikkelde CNP-transacties | Drempel van 1,5% voor webshops in Europa sinds april 2026 |
| Mastercard chargebackratio | Chargebacks gedeeld door transacties van de vorige maand | 1,5% en 100 chargebacks voor Excessive Chargeback Merchant |
| Percentage onterechte weigeringen | Geweigerde of geannuleerde goede orders gedeeld door alle goede orders | Bepaal een eigen basislijn; beoordeel maandelijks steekproeven |
| 3DS-challengepercentage | Uitgedaagde authenticaties gedeeld door alle authenticaties | Vergelijk per land van de uitgever en bedragsklasse |
| Percentage handmatige beoordeling | Naar beoordeling gestuurde orders gedeeld door alle orders | Houd het laag genoeg om binnen uw verzendtijdstip te beoordelen |
Hoe ziet fraudedetectie in lagen eruit?
Elke laag vangt op wat de vorige miste en laat u de frictie bewaren voor de bestellingen die het nodig hebben. Risicoarme betalingen gaan snel door, betalingen met middelhoog risico krijgen authenticatie en betalingen met hoog risico worden geblokkeerd of beoordeeld.
Plaats elke controle zo vroeg mogelijk: een card-testingbot blokkeren bij de registratie is goedkoper dan autorisatiekosten betalen voor duizenden geweigerde pogingen.
| Laag | Wanneer | Controles | Frictie voor de klant |
|---|---|---|---|
| 1. Account | Registratie en login | Botdetectie, loginrisico, extra stap op nieuwe apparaten | Geen voor de meeste gebruikers |
| 2. Checkout | Vóór de betaling | Snelheidslimieten, device fingerprint, blokkadelijsten | Geen |
| 3. Risicoscore | Vóór autorisatie | Regels plus machine-learningscore | Geen |
| 4. Authenticatie | Middelhoog en hoog risico | 3D Secure 2 challenge of uitzondering | Challenge voor een deel van de orders |
| 5. Autorisatie | Bij de uitgever | CVV, AVS, risicomodellen van de uitgever | Alleen een weigering |
| 6. Na de verkoop | Levering en geschillen | Vasthouden, bezorgbewijs, bewijsvoering, terugbetalingen | Vertraging bij beoordeelde orders |
Hoe hangt risicoscoring samen met betalingsroutering?
Een risicoscore is het nuttigst wanneer hij bepaalt wat er met de betaling gebeurt, niet alleen of die wordt geblokkeerd. Lage scores kunnen met een TRA-uitzondering worden verstuurd om de checkout frictieloos te houden, middelhoge scores gaan door 3D Secure en hoge scores worden geblokkeerd of vastgehouden voor beoordeling. Met meerdere acquirers kan de score ook bepalen welke verbinding een betaling verwerkt, bijvoorbeeld door risicovolle mandjes te sturen naar het account met de beste authenticatie-inrichting.
Routering brengt zelf ook frauderisico. Een geweigerde betaling opnieuw proberen bij een tweede aanbieder helpt bij technische en soft declines, maar harde weigeringen of vermoedelijke card testing opnieuw proberen verspreidt de aanval over uw accounts en verhoogt overal de geschillenratio. Controleer bij nieuwe pogingen daarom eerst de weigeringsreden en de risicoscore.
Hoe voegt u fraudecontroles toe via OrsunPay?
OrsunPay is een technisch dienstverlener bovenop de eigen PSP-accounts van de ondernemer, dus de fraudetools en aansprakelijkheidsregels van elk PSP-contract blijven gelden. Rapportage brengt betalingsresultaten van gekoppelde aanbieders samen; de antifraudemodule RiskCogs voegt aan elke transactie een risicoscore en signalen toe die de routing- en cascaderegels voeden.
Fraudepreventie in lagen opzetten
- Meet uw basislijn Exporteer drie maanden aan betalingen, geschillen en weigeringen en bereken het fraudepercentage, de geschillenratio en het goedkeuringspercentage per land, methode en bedragsklasse.
- Stop eerst geautomatiseerde aanvallen Voeg botdetectie en snelheidslimieten per kaart, apparaat, IP-adres en e-mailadres toe om card testing te blokkeren voordat het de autorisatie bereikt.
- Geef elke betaling een score Gebruik de risicomotor van uw PSP of een aparte scoretool en schrijf regels voor de harde grenzen die u al kent.
- Koppel scores aan acties Definieer banden voor doorlaten met uitzondering, authenticeren met 3D Secure, beoordelen en blokkeren, en test de drempels op eerdere bestellingen.
- Bereid u voor op geschillen Corrigeer uw omschrijving op het afschrift, bewaar bezorgbewijs en apparaatgegevens en betaal duidelijke vergissingen terug voordat het chargebacks worden.
- Beoordeel maandelijks Bekijk fraude, geschillen en onterechte weigeringen samen en pas regels aan, want fraudepatronen verschuiven na elke wijziging die u doorvoert.
Veelgestelde vragen
Wat is friendly fraud?
Friendly fraud is een chargeback die de echte kaarthouder indient voor een aankoop die hij zelf deed of autoriseerde, met de claim dat die niet geautoriseerd of niet ontvangen was. Het is goed voor een groot deel van de fraudegeschillen, omdat 3D Secure en fraudescores de echte kaarthouder niet kunnen tegenhouden.
Is chargeback fraude strafbaar?
Wie bewust een legitieme aankoop betwist om geld terug te krijgen en de goederen te houden, pleegt fraude en kan worden vervolgd. Ondernemers reageren meestal via het geschillenproces van de kaartnetwerken met bewijs en kunnen toekomstige bestellingen van die klant weigeren.
Wat is MOTO-fraude?
MOTO-fraude gebruikt gestolen kaartgegevens bij telefonische of schriftelijke bestellingen. Deze betalingen vallen buiten sterke klantauthenticatie, dus ondernemers vertrouwen op terugbelcontroles, CVV- en adresverificatie en een zorgvuldige beoordeling van spoedleveringen en bestellingen met een hoog bedrag.
Hoe voorkom ik fraude in mijn webshop zonder goede klanten te verliezen?
Gebruik risicogestuurde frictie: laat risicoarme betalingen door, authenticeer betalingen met middelhoog risico met 3D Secure en blokkeer of beoordeel alleen bestellingen met hoog risico. Meet onterechte weigeringen naast fraude, zodat strengere regels niet ongemerkt meer omzet kosten dan de fraude die ze tegenhouden.
Wat is een goed fraudepercentage voor een webshop?
Houd fraude- en geschillenratio's ruim onder de drempels van 1,5% van Visa en Mastercard. Wilt u dat acquirers TRA-uitzonderingen voor u aanvragen, dan is een veel lagere waarde nodig, want PSD2 stelt voor PSP's referentiepercentages tussen 0,01% en 0,13%.
Wat is card testing?
Card testing is wanneer fraudeurs met bots gestolen kaartnummers uitproberen via kleine betalingen op een website. Het veroorzaakt autorisatiekosten, een hoger weigeringspercentage en later fraudegeschillen, en wordt tegengegaan met snelheidslimieten, botdetectie en CAPTCHA in de checkout.