Guider
Förebygga betalningsbedrägerier för nätbutiker: bedrägerityper, verktyg och mätetal
Att förebygga betalningsbedrägerier för nätbutiker innebär att stoppa korttestning, köp med stulna kort, kontokapning och friendly fraud utan att avvisa goda kunder. Det sker i lager: konto- och hastighetskontroller, enhetsfingeravtryck och riskpoäng före betalning, 3D Secure för riskfyllda order, CVV- och adresskontroll vid auktorisering samt bevisning efter försäljningen. Följ bedrägerigrad, tvistkvot och felaktiga avvisningar tillsammans.
I korthet
| Betalningsbedrägerier i EES, 2024 | 4,2 miljarder euro, upp från 3,5 miljarder euro 2023 (EBA och ECB, december 2025) |
|---|---|
| Kortbedrägerier utanför EES | 17 gånger högre när betalningsmottagaren finns utanför EES, där SCA ofta inte tillämpas |
| Visas VAMP-tröskel för handlare, Europa | Bedrägerianmälningar plus tvister på 1,5 % av avslutade kortbetalningar utan fysiskt kort sedan april 2026, från 1 500 händelser i månaden |
| Mastercard Excessive Chargeback Merchant | Chargebackkvot på 1,5 % och minst 100 chargebacks under en månad |
| Referensnivåer för bedrägerigrad i PSD2 TRA | 0,13 % upp till 100 €, 0,06 % upp till 250 € och 0,01 % upp till 500 € för kortbetalningar på distans |
| Ersättning för APP-bedrägerier i Storbritannien | Obligatorisk återbetalning på upp till 85 000 pund per krav sedan 7 oktober 2024 |
Vilka typer av betalningsbedrägerier drabbar nätbutiker?
Bedrägerier på nätet följer pengarna och den svagaste kontrollen. EBA och ECB räknade med 4,2 miljarder euro i betalningsbedrägerier i EES 2024, där kortbedrägerierna koncentrerades till kortbetalningar utan fysiskt kort och till betalningar till handlare utanför EES. Handlare bär kostnaden för de flesta kortbedrägerier genom chargebacks, avgifter och förlorade varor.
Varje typ nedan lämnar olika signaler och kräver ett eget försvar, och därför räcker sällan en enda regeluppsättning eller ett enda verktyg.
| Bedrägerityp | Så fungerar det | Typisk signal | Främsta försvar |
|---|---|---|---|
| Korttestning | Bottar provar stulna kortnummer med små betalningar | Många försök på lågt belopp, hög andel avvisningar | Hastighetsgränser, botdetektering, CAPTCHA |
| Bedrägeri med stulet kort (CNP) | En bedragare handlar med riktiga kortuppgifter | Ny enhet, land eller adress som inte stämmer | Riskpoäng, 3D Secure |
| Kontokapning | Stulna inloggningar används för att beställa eller ändra utbetalningsuppgifter | Ny enhet, återställt lösenord, ändrad adress | Riskkontroll vid inloggning, stegvis autentisering |
| Friendly fraud | Den verkliga kortinnehavaren bestrider ett köp som personen själv gjort | Återkommande kund, levererad order, tvist i efterhand | Tydliga beskrivningar, leveransbevis, bevisning |
| Triangulationsbedrägeri | En falsk butik säljer vidare dina varor och betalar med stulna kort | Leveransadressen skiljer sig från kortinnehavaren, återförsäljarmönster | Koppling av adress och enhet, granskning |
| MOTO-bedrägeri | Stulna kort används i telefon- eller postorder | Expressleverans, högt värde, ingen SCA | Återuppringning, CVV- och adresskontroll |
| APP- och återbetalningsbedrägerier | Kunder eller personal luras att skicka pengar | Ändrade bankuppgifter, brådskande förfrågningar | Verifiering av betalningsmottagare, utbetalningskontroller |
Vad är friendly fraud, och är chargebackbedrägeri olagligt?
Friendly fraud, även kallat chargebackbedrägeri eller förstapartsbedrägeri, uppstår när kortinnehavaren som gjort ett köp bestrider det hos sin bank som obehörigt eller ej mottaget. En del fall beror på ärlig förvirring över en okänd beskrivning på kontoutdraget eller en familjemedlems köp; andra är medvetna. Att medvetet lämna in en falsk chargeback för att behålla både varor och pengar är en form av bedrägeri och kan åtalas, men i praktiken bekämpar handlare det genom tvistprocessen.
3D Secure stoppar inte friendly fraud, eftersom den verkliga kortinnehavaren kan autentisera sig. Det som hjälper är en beskrivning på kontoutdraget som kunderna känner igen, orderbekräftelser, leveransbevis och en enkel väg till återbetalning. I Visa-tvister låter Compelling Evidence 3.0 handlare bemöta ett bedrägeriyrkande med två tidigare obestridda transaktioner från 120 till 365 dagar tidigare, gjorda med samma kort och matchande enhets- eller IP-data.
Vilka bedrägeriverktyg bör en nätbutik använda?
Inget enskilt verktyg täcker alla bedrägerityper, och varje verktyg tillför kostnad eller friktion. Den användbara frågan är vad varje verktyg ser och när det agerar: före ordern, före auktorisering, under autentiseringen eller efter försäljningen.
Poäng från maskininlärning kombinerar många svaga signaler, medan regler kodar det du redan vet om din verksamhet. De flesta handlare behöver båda: regler för hårda gränser och förklarbara blockeringar, poängsättning för gråzonen emellan.
- Regler: blockera eller granska efter land, belopp, produkt, leveranssätt eller svartlistad e-postadress, kort och enhet
- Hastighetskontroller: begränsa försök per kort, enhet, IP-adress, e-postadress och konto inom minuter och dagar
- Enhetsfingeravtryck: känn igen återkommande enheter, emulatorer, proxyservrar och många konton på en enhet
- Riskpoäng med maskininlärning: en poäng per betalning utifrån beteende, historik och nätverksdata
- 3D Secure 2: autentisering av utgivaren, med ansvarsskifte för bedrägerier vid autentiserade betalningar
- CVV- och adressverifiering (AVS): utgivarens kontroller vid auktorisering; AVS finns främst för kort från Storbritannien, USA och Kanada
- Manuell granskning och leveransstopp: för order med högt värde eller oklara order innan varorna lämnar lagret
Vilka mätetal för bedrägerier bör du följa?
Enbart bedrägerigraden belönar att alla avvisas. Följ den tillsammans med den tvistkvot som kortnätverken övervakar och de felaktiga avvisningar du orsakar, eftersom en god kund du avvisar kostar hela marginalen och ofta kundens nästa order också.
Visas Acquirer Monitoring Program räknar bedrägerianmälningar och tvister tillsammans, och dess tröskel för handlare i Europa sänktes till 1,5 % i april 2026. Överträdelser av nätverkens trösklar leder till böter, högre avgifter från inlösaren och till sist förlorad kortacceptans.
| Mätetal | Så beräknar du det | Referensvärde |
|---|---|---|
| Bedrägerigrad efter värde | Bedrägligt belopp delat med total kortvolym | PSD2 TRA-nivåerna 0,13 %, 0,06 % och 0,01 % för betaltjänstleverantörer |
| Visas VAMP-kvot | Bedrägerianmälningar plus tvister delat med avslutade CNP-transaktioner | Tröskel för handlare på 1,5 % i Europa sedan april 2026 |
| Mastercards chargebackkvot | Chargebacks delat med föregående månads transaktioner | 1,5 % och 100 chargebacks för Excessive Chargeback Merchant |
| Andel felaktiga avvisningar | Goda order som avvisats eller avbrutits delat med alla goda order | Fastställ en egen basnivå; granska stickprov varje månad |
| Andel 3DS-verifieringar | Autentiseringar med verifiering delat med alla autentiseringar | Jämför per utgivarland och beloppsnivå |
| Andel manuell granskning | Order som skickats till granskning delat med alla order | Håll den så låg att granskningen hinns med före leveransstoppet |
Hur ser ett bedrägeriförebyggande upplägg i flera lager ut?
Lagren fångar det som föregående lager missade och låter dig spara friktionen till de order som behöver den. Betalningar med låg risk går snabbt igenom, betalningar med medelhög risk får autentisering och betalningar med hög risk blockeras eller granskas.
Placera varje kontroll så tidigt som möjligt: att blockera en korttestningsbot vid registreringen är billigare än att betala auktoriseringsavgifter för tusentals avvisade försök.
| Lager | När det agerar | Kontroller | Friktion för kunden |
|---|---|---|---|
| 1. Konto | Registrering och inloggning | Botdetektering, inloggningsrisk, stegvis autentisering på nya enheter | Ingen för de flesta användare |
| 2. Kassa | Före betalning | Hastighetsgränser, enhetsfingeravtryck, svartlistor | Ingen |
| 3. Riskpoäng | Före auktorisering | Regler plus poäng från maskininlärning | Ingen |
| 4. Autentisering | Medelhög och hög risk | 3D Secure 2-verifiering eller undantag | Verifiering för en andel av ordrarna |
| 5. Auktorisering | Hos utgivaren | CVV, AVS, utgivarens riskmodeller | Endast avvisning |
| 6. Efter försäljningen | Leverans och tvister | Leveransstopp, leveransbevis, bevisning, återbetalningar | Fördröjning för granskade order |
Hur hänger riskpoäng ihop med betalningsrouting?
En riskpoäng är som mest användbar när den ändrar vad som händer med betalningen, inte bara om den blockeras. Låga poäng kan skickas med en begäran om TRA-undantag för att hålla kassan friktionsfri, medelhöga poäng går genom 3D Secure och höga poäng blockeras eller hålls för granskning. Med flera inlösare kan poängen också avgöra vilken anslutning som hanterar en betalning, till exempel genom att skicka varukorgar med hög risk till kontot med bäst autentiseringsupplägg.
Routing skapar också bedrägeririsk. Att göra om en avvisad betalning hos en andra leverantör hjälper vid tekniska och mjuka avvisningar, men nya försök efter hårda avvisningar eller misstänkt korttestning sprider attacken över dina konton och höjer tvistkvoterna överallt. Regler för nya försök bör kontrollera avvisningsorsaken och riskpoängen först.
Hur lägger du till bedrägerikontroller via OrsunPay?
OrsunPay är en teknisk tjänsteleverantör ovanpå handlarens egna konton hos betaltjänstleverantörer, så varje leverantörsavtals bedrägeriverktyg och ansvarsregler gäller fortfarande. Rapporteringen samlar betalningsresultat från anslutna leverantörer; riskbaserad smart routing och en RiskCogs-integration för enhets- och transaktionspoängsättning är planerade och inte tillgängliga idag.
Så inför du bedrägeriförebyggande i flera lager
- Mät din basnivå Exportera tre månaders betalningar, tvister och avvisningar och beräkna bedrägerigrad, tvistkvot och godkännandegrad per land, metod och beloppsnivå.
- Stoppa automatiserade attacker först Lägg till botdetektering och hastighetsgränser per kort, enhet, IP-adress och e-postadress för att blockera korttestning innan den når auktoriseringen.
- Poängsätt varje betalning Använd leverantörens riskmotor eller ett separat poängverktyg och skriv regler för de hårda gränser du redan känner till.
- Koppla poäng till åtgärder Definiera nivåer för att släppa igenom med undantag, autentisera med 3D Secure, granska och blockera, och testa trösklarna mot tidigare order.
- Förbered dig för tvister Rätta beskrivningen på kontoutdraget, spara leveransbevis och enhetsdata och återbetala uppenbara misstag innan de blir chargebacks.
- Granska varje månad Följ bedrägerier, tvister och felaktiga avvisningar tillsammans och justera reglerna, eftersom bedrägerimönstren förändras efter varje ändring du gör.
Vanliga frågor
Vad är friendly fraud?
Friendly fraud är en chargeback som den verkliga kortinnehavaren lämnar in för ett köp som personen själv gjort eller godkänt, med påståendet att det var obehörigt eller inte mottaget. Det utgör en stor del av bedrägeritvisterna eftersom 3D Secure och bedrägeripoäng inte kan stoppa den verkliga kortinnehavaren.
Är chargebackbedrägeri olagligt?
Att medvetet bestrida ett legitimt köp för att få tillbaka pengarna samtidigt som man behåller varorna är bedrägeri och kan åtalas. Handlare svarar oftast genom nätverkens tvistprocess med bevisning och kan vägra framtida order från kunden.
Vad är MOTO-bedrägeri?
MOTO-bedrägeri innebär att stulna kortuppgifter används i post- eller telefonorderbetalningar. Dessa betalningar ligger utanför stark kundautentisering, så handlare förlitar sig på återuppringning, CVV- och adressverifiering och noggrann granskning av expressorder eller order med högt värde.
Hur kan jag stoppa bedrägerier i e-handeln utan att förlora goda kunder?
Använd riskbaserad friktion: släpp igenom betalningar med låg risk, autentisera de med medelhög risk med 3D Secure och blockera eller granska bara order med hög risk. Mät felaktiga avvisningar vid sidan av bedrägerier så att skärpta regler inte i tysthet kostar mer intäkter än de bedrägerier de stoppar.
Vad är en bra bedrägerigrad för en nätbutik?
Håll bedrägeri- och tvistkvoterna väl under Visas och Mastercards trösklar på 1,5 %. Handlare som vill att inlösare ska begära TRA-undantag behöver en portfölj som ligger betydligt lägre, eftersom PSD2 anger referensnivåer mellan 0,01 % och 0,13 % för betaltjänstleverantörer.
Vad är korttestning?
Korttestning innebär att bedragare använder bottar för att kontrollera stulna kortnummer med små betalningar på en webbplats. Det ger auktoriseringsavgifter, högre andel avvisningar och senare bedrägeritvister, och stoppas med hastighetsgränser, botdetektering och CAPTCHA i kassan.