Poradniki
Zapobieganie oszustwom płatniczym w e-commerce: rodzaje, narzędzia i wskaźniki
Zapobieganie oszustwom płatniczym w sklepie internetowym to zatrzymywanie card testingu, zakupów skradzionymi kartami, przejęć kont i friendly fraud bez odrzucania dobrych klientów. Działa warstwowo: kontrole konta i limity częstotliwości, odcisk urządzenia i ocena ryzyka przed płatnością, 3D Secure dla ryzykownych zamówień, CVV i adres przy autoryzacji oraz dowody w sporach. Śledź razem wskaźnik oszustw, wskaźnik sporów i fałszywe odmowy.
W skrócie
| Oszustwa płatnicze w EOG, 2024 | 4,2 mld euro wobec 3,5 mld euro w 2023 r. (EBA i EBC, grudzień 2025) |
|---|---|
| Oszustwa kartowe poza EOG | 17 razy wyższe, gdy odbiorca jest poza EOG, gdzie SCA często nie jest stosowane |
| Próg Visa VAMP dla sprzedawcy w Europie | Zgłoszenia oszustw plus spory na poziomie 1,5% rozliczonych transakcji bez fizycznej karty od kwietnia 2026 r., od 1500 zdarzeń miesięcznie |
| Mastercard Excessive Chargeback Merchant | Wskaźnik chargebacków 1,5% i co najmniej 100 chargebacków w miesiącu |
| Referencyjne wskaźniki oszustw TRA w PSD2 | 0,13% do 100 euro, 0,06% do 250 euro i 0,01% do 500 euro w zdalnych płatnościach kartowych |
| Zwroty za oszustwa APP w Wielkiej Brytanii | Obowiązkowy zwrot do 85 000 funtów za zgłoszenie od 7 października 2024 r. |
Jakie rodzaje oszustw płatniczych dotykają sklepy internetowe?
Oszustwa online podążają za pieniędzmi i najsłabszą kontrolą. EBA i EBC naliczyły w 2024 r. 4,2 mld euro oszustw płatniczych w EOG, przy czym oszustwa kartowe koncentrują się w płatnościach bez fizycznej karty i w płatnościach do sprzedawców spoza EOG. Koszt większości oszustw kartowych ponoszą sprzedawcy przez chargebacki, opłaty i utracone towary.
Każdy z poniższych rodzajów zostawia inne sygnały i wymaga innej obrony, dlatego jeden zestaw reguł lub jedno narzędzie rzadko pokrywa je wszystkie.
| Rodzaj oszustwa | Jak działa | Typowy sygnał | Główna obrona |
|---|---|---|---|
| Card testing | Boty sprawdzają skradzione numery kart małymi płatnościami | Wiele prób na małe kwoty, wysoki odsetek odmów | Limity częstotliwości, wykrywanie botów, CAPTCHA |
| Oszustwo skradzioną kartą (CNP) | Oszust kupuje prawdziwymi danymi karty | Nowe urządzenie, niezgodny kraj lub adres | Ocena ryzyka, 3D Secure |
| Przejęcie konta | Skradzione loginy służą do zamówień lub zmiany danych wypłat | Nowe urządzenie, reset hasła, zmieniony adres | Kontrola ryzyka logowania, dodatkowe uwierzytelnienie |
| Friendly fraud | Prawdziwy posiadacz karty kwestionuje zakup, który zrobił | Stały klient, dostarczone zamówienie, późniejszy spór | Czytelne opisy na wyciągu, dowód dostawy, dowody |
| Oszustwo triangulacyjne | Fałszywy sklep odsprzedaje Twoje towary opłacone skradzionymi kartami | Adres dostawy inny niż właściciel karty, wzorce odsprzedaży | Łączenie adresów i urządzeń, weryfikacja |
| Oszustwo MOTO | Skradzione karty w zamówieniach telefonicznych lub pocztowych | Pilna dostawa, wysoka wartość, brak SCA | Telefon zwrotny, kontrola CVV i adresu |
| Oszustwa APP i zwroty | Klienci lub pracownicy wprowadzeni w błąd co do przelewu | Zmienione dane bankowe, pilne prośby | Weryfikacja odbiorcy, kontrola wypłat |
Czym jest friendly fraud i czy oszustwo chargeback jest nielegalne?
Friendly fraud, zwane też oszustwem chargeback lub oszustwem pierwszej strony, zdarza się, gdy posiadacz karty, który dokonał zakupu, kwestionuje go w banku jako nieautoryzowany lub niedostarczony. Część przypadków to szczere nieporozumienie co do nieznanego opisu na wyciągu lub zakupu członka rodziny; inne są celowe. Świadome składanie fałszywego chargebacku, by zatrzymać towar i pieniądze, jest formą oszustwa i może być ścigane, ale w praktyce sprzedawcy walczą z nim w procesie sporów.
3D Secure nie zatrzymuje friendly fraud, bo prawdziwy posiadacz karty może się uwierzytelnić. Pomagają: opis na wyciągu, który klienci rozpoznają, e-maile z potwierdzeniem zamówienia, dowód dostawy i łatwa ścieżka zwrotu. W sporach Visa Compelling Evidence 3.0 pozwala odpowiedzieć na zarzut oszustwa dwiema wcześniejszymi niekwestionowanymi transakcjami sprzed 120 do 365 dni, wykonanymi tą samą kartą z pasującymi danymi urządzenia lub IP.
Jakich narzędzi do zapobiegania oszustwom powinien używać sprzedawca?
Żadne pojedyncze narzędzie nie pokrywa wszystkich rodzajów oszustw, a każde dodaje koszt lub tarcie. Przydatne pytanie brzmi: co widzi dane narzędzie i kiedy działa: przed zamówieniem, przed autoryzacją, podczas uwierzytelniania czy po sprzedaży.
Oceny uczenia maszynowego łączą wiele słabych sygnałów, a reguły kodują to, co już wiesz o swoim biznesie. Większość sprzedawców potrzebuje obu: reguł dla twardych limitów i wyjaśnialnych blokad oraz oceny dla szarej strefy pomiędzy nimi.
- Reguły: blokowanie lub weryfikacja według kraju, kwoty, produktu, sposobu dostawy albo adresu e-mail, karty i urządzenia z listy blokad
- Limity częstotliwości: ograniczanie prób na kartę, urządzenie, adres IP, e-mail i konto w ciągu minut i dni
- Odcisk urządzenia: rozpoznawanie powracających urządzeń, emulatorów, proxy i wielu kont na jednym urządzeniu
- Ocena ryzyka uczeniem maszynowym: wynik dla każdej płatności na podstawie zachowania, historii i danych sieciowych
- 3D Secure 2: uwierzytelnienie przez wydawcę, z przesunięciem odpowiedzialności za oszustwa dla płatności uwierzytelnionych
- CVV i weryfikacja adresu (AVS): kontrole wydawcy przy autoryzacji; AVS jest dostępny głównie dla kart z Wielkiej Brytanii, USA i Kanady
- Weryfikacja ręczna i wstrzymanie realizacji: dla zamówień o wysokiej wartości lub niejednoznacznych, zanim towar opuści magazyn
Jakie wskaźniki oszustw warto śledzić?
Sam wskaźnik oszustw premiuje odrzucanie wszystkich. Śledź go obok wskaźnika sporów monitorowanego przez organizacje kartowe i fałszywych odmów, które powodujesz, bo odrzucony dobry klient kosztuje pełną marżę, a często także jego kolejne zamówienia.
Program Visa Acquirer Monitoring Program liczy razem zgłoszenia oszustw i spory, a jego próg dla sprzedawców w Europie obniżono do 1,5% w kwietniu 2026 r. Przekroczenie progów organizacji kartowych prowadzi do kar, wyższych opłat agenta rozliczeniowego, a w końcu do utraty możliwości akceptowania kart.
| Wskaźnik | Jak obliczyć | Wartość referencyjna |
|---|---|---|
| Wskaźnik oszustw wg wartości | Wartość oszukańczych transakcji podzielona przez całkowitą wartość kartową | Przedziały TRA 0,13%, 0,06% i 0,01% dla PSP |
| Wskaźnik Visa VAMP | Zgłoszenia oszustw plus spory podzielone przez rozliczone transakcje CNP | Próg 1,5% dla sprzedawców w Europie od kwietnia 2026 r. |
| Wskaźnik chargebacków Mastercard | Chargebacki podzielone przez transakcje z poprzedniego miesiąca | 1,5% i 100 chargebacków dla Excessive Chargeback Merchant |
| Wskaźnik fałszywych odmów | Odrzucone lub anulowane dobre zamówienia podzielone przez wszystkie dobre zamówienia | Ustal własny punkt odniesienia; co miesiąc przeglądaj próbki |
| Odsetek wyzwań 3DS | Uwierzytelnienia z wyzwaniem podzielone przez wszystkie uwierzytelnienia | Porównuj według kraju wydawcy i przedziału kwot |
| Odsetek weryfikacji ręcznych | Zamówienia skierowane do weryfikacji podzielone przez wszystkie zamówienia | Utrzymuj tak niski, by zdążyć przed terminem wysyłki |
Jak wygląda warstwowe podejście do zapobiegania oszustwom?
Warstwy wyłapują to, co przepuściła poprzednia, i pozwalają zachować tarcie dla zamówień, które go wymagają. Płatności o niskim ryzyku przechodzą szybko, o średnim ryzyku dostają uwierzytelnienie, a o wysokim są blokowane lub weryfikowane.
Umieszczaj każdą kontrolę jak najwcześniej: zablokowanie bota do card testingu przy rejestracji jest tańsze niż płacenie opłat autoryzacyjnych za tysiące odrzuconych prób.
| Warstwa | Kiedy działa | Kontrole | Tarcie dla kupującego |
|---|---|---|---|
| 1. Konto | Rejestracja i logowanie | Wykrywanie botów, ryzyko logowania, dodatkowe uwierzytelnienie na nowych urządzeniach | Brak dla większości użytkowników |
| 2. Checkout | Przed płatnością | Limity częstotliwości, odcisk urządzenia, listy blokad | Brak |
| 3. Ocena ryzyka | Przed autoryzacją | Reguły plus ocena uczenia maszynowego | Brak |
| 4. Uwierzytelnienie | Średnie i wysokie ryzyko | Wyzwanie 3D Secure 2 lub wyjątek | Wyzwanie dla części zamówień |
| 5. Autoryzacja | U wydawcy | CVV, AVS, modele ryzyka wydawcy | Tylko odmowa |
| 6. Po sprzedaży | Realizacja i spory | Wstrzymania, dowód dostawy, dowody, zwroty | Opóźnienie dla weryfikowanych zamówień |
Jak ocena ryzyka łączy się z routingiem płatności?
Ocena ryzyka jest najbardziej użyteczna, gdy zmienia to, co dzieje się z płatnością, a nie tylko czy zostanie zablokowana. Niskie oceny można wysłać z żądaniem wyjątku TRA, aby checkout pozostał płynny, średnie przechodzą przez 3D Secure, a wysokie są blokowane lub wstrzymywane do weryfikacji. Przy kilku agentach rozliczeniowych ocena może też decydować, które połączenie obsłuży płatność, np. kierując koszyki wysokiego ryzyka na konto z najlepszą konfiguracją uwierzytelniania.
Routing tworzy też ryzyko oszustw. Ponowienie odrzuconej płatności u drugiego dostawcy pomaga przy odmowach technicznych i miękkich, ale ponawianie odmów twardych lub podejrzanego card testingu rozprzestrzenia atak na Twoje konta i podnosi wskaźniki sporów wszędzie. Reguły ponawiania powinny najpierw sprawdzać powód odmowy i ocenę ryzyka.
Jak dodać kontrole oszustw przez OrsunPay?
OrsunPay jest dostawcą usług technicznych działającym na własnych kontach PSP sprzedawcy, więc narzędzia przeciwdziałania oszustwom i zasady odpowiedzialności z umowy z każdym PSP nadal obowiązują. Raportowanie zbiera wyniki płatności od podłączonych dostawców; moduł antyfraudowy RiskCogs dodaje do każdej transakcji ocenę ryzyka i sygnały, które zasilają reguły routingu i kaskadowania.
Jak wdrożyć warstwowe zapobieganie oszustwom płatniczym
- Zmierz punkt wyjścia Wyeksportuj trzy miesiące płatności, sporów i odmów i oblicz wskaźnik oszustw, wskaźnik sporów i wskaźnik akceptacji według kraju, metody i przedziału kwot.
- Najpierw zatrzymaj ataki automatyczne Dodaj wykrywanie botów i limity częstotliwości na kartę, urządzenie, adres IP i e-mail, aby zablokować card testing, zanim dotrze do autoryzacji.
- Oceniaj każdą płatność Użyj silnika ryzyka swojego PSP lub osobnego narzędzia oceny i napisz reguły dla twardych limitów, które już znasz.
- Przypisz oceny do działań Zdefiniuj przedziały dla przepuszczenia z wyjątkiem, uwierzytelnienia 3D Secure, weryfikacji i blokady oraz przetestuj progi na dawnych zamówieniach.
- Przygotuj się na spory Popraw opis na wyciągu, przechowuj dowód dostawy i dane urządzenia oraz zwracaj oczywiste pomyłki, zanim staną się chargebackami.
- Przeglądaj co miesiąc Sprawdzaj razem oszustwa, spory i fałszywe odmowy i dostosowuj reguły, bo wzorce oszustw zmieniają się po każdej Twojej zmianie.
Najczęstsze pytania
Co to jest friendly fraud?
Friendly fraud to chargeback złożony przez prawdziwego posiadacza karty za zakup, który zrobił lub autoryzował, z twierdzeniem, że był nieautoryzowany lub niedostarczony. Stanowi dużą część sporów o oszustwa, bo 3D Secure i oceny oszustw nie zatrzymają prawdziwego posiadacza karty.
Czy oszustwo chargeback jest nielegalne?
Świadome kwestionowanie uprawnionego zakupu, aby odzyskać pieniądze i zatrzymać towar, jest oszustwem i może być ścigane. Sprzedawcy zwykle odpowiadają w procesie sporów organizacji kartowej, przedstawiając dowody, i mogą odmawiać kolejnych zamówień takiego klienta.
Co to jest oszustwo MOTO?
Oszustwo MOTO to użycie skradzionych danych karty w zamówieniach pocztowych lub telefonicznych. Takie płatności są poza silnym uwierzytelnianiem klienta, więc sprzedawcy polegają na telefonie zwrotnym, kontroli CVV i adresu oraz uważnej weryfikacji pilnych lub drogich zamówień.
Jak zatrzymać oszustwa w e-commerce, nie tracąc dobrych klientów?
Stosuj tarcie zależne od ryzyka: przepuszczaj płatności o niskim ryzyku, uwierzytelniaj średnie w 3D Secure i blokuj lub weryfikuj tylko zamówienia wysokiego ryzyka. Mierz fałszywe odmowy obok oszustw, aby zaostrzanie reguł po cichu nie kosztowało więcej przychodu, niż zatrzymuje oszustw.
Jaki wskaźnik oszustw jest dobry dla sklepu internetowego?
Trzymaj wskaźniki oszustw i sporów dużo poniżej progów 1,5% Visa i Mastercard. Sprzedawcy, którzy chcą, by agenci rozliczeniowi żądali wyjątków TRA, potrzebują portfela znacznie niższego, bo PSD2 ustala wskaźniki referencyjne dla PSP od 0,01% do 0,13%.
Co to jest card testing?
Card testing to sprawdzanie przez oszustów skradzionych numerów kart małymi płatnościami w sklepie przy użyciu botów. Powoduje opłaty autoryzacyjne, wyższy odsetek odmów i późniejsze spory o oszustwa, a zatrzymują go limity częstotliwości, wykrywanie botów i CAPTCHA w checkoucie.