Fraude kost ondernemingen meer dan alleen verloren goederen. In feite kost elke $ 1,00 aan betalingsfraude in Amerikaanse financiële diensten gemiddeld $ 5,75. De kosten zijn gelaagd: chargebacks verminderen de marges en fraudeonderzoeken kosten personeelstijd. De overheadkosten van fraudemanagement kunnen groei ernstig belemmeren. Met een framework voor frauderisicobeheer kun je deze kosten op een gestructureerde manier minimaliseren. Hierdoor krijg je inzicht in je blootstelling, kun je prioriteit geven aan de belangrijkste risico's en kun je controles implementeren die standhouden als de aanvalspatronen veranderen.

Hieronder bespreken we wat frauderisicobeheer is, hoe de cyclus van vier fasen in de praktijk werkt en hoe je een framework opbouwt dat bij je onderneming past.

Hoogtepunten

• Frauderisicobeheer volgt doorgaans een cyclus van identificatie, beoordeling, risicobeperking en continue monitoring.

• De soorten fraude die online ondernemingen vaak het hardst treffen, (CNP-fraude (card-not-present), accountovername en vriendelijke fraude) maken misbruik van de mazen die worden achtergelaten door externe, digitale transacties.

• Een beleid voor frauderisicobeheer werkt alleen als het van meet af aan expliciet eigenaarschap, een vastgelegde risicobereidheid en een controlefrequentie omvat.

Wat is frauderisicobeheer?

Frauderisicobeheer is het proces waarbij de manieren waarop jouw onderneming kan worden uitgebuit voor financieel gewin worden geïdentificeerd, beoordeeld en hierop wordt gereageerd. Het verschilt op één belangrijke manier van algemeen risicobeheer: fraude gaat gepaard met opzet. Je waakt tegen het gedrag van mensen die actief proberen je controlesystemen te omzeilen.

Hoe werkt frauderisicobeheer?

De cyclus van frauderisicobeheer bestaat uit vier fasen: identificatie, beoordeling, risicobeperking en doorlopende monitoring. Elke fase bouwt voort op de vorige.

Identificatie van frauderisico's

Begin met je aanvalsoppervlak: hoe je transactiestroom eruitziet, waar mensen ermee werken en waar dit geautomatiseerd is. Ondernemingen met hoge CNP-transactievolumes hebben te maken met andere aanvalsvectoren dan bedrijven die persoonlijk betalingen aannemen. Historische fraudegegevens vormen een startpunt, maar geven alleen informatie over fraude die je al hebt gezien. Patroonanalyse en het in kaart brengen van je businessmodel helpen bij het opsporen van kwetsbaarheden voordat deze worden misbruikt.

Beoordeling van frauderisico's

Niet alle frauderisico's zijn even groot, en je kunt ze niet op dezelfde manier behandelen. Beoordeel elk risico op twee vlakken: waarschijnlijkheid en impact. Waarschijnlijkheid weerspiegelt hoe vaak een soort fraude voorkomt in ondernemingen zoals die van jou. CNP-fraude komt bijvoorbeeld vaak voor in e-commerce, terwijl first-party misbruik vaker voorkomt in abonnementen en kredietproducten. Impact omvat financieel verlies, chargebackkosten, herstelkosten en een verslechtering van de klantervaring. Risico's met een hoge waarschijnlijkheid en een grote impact moeten onmiddellijk aandacht krijgen en toegewijde controles.

Beperking van frauderisico's

Door risicobeperking vertaal je jouw beoordeling in controles over drie lagen. Preventieve controles stoppen fraude voordat deze plaatsvindt. Detectiecontroles onderscheppen fraude terwijl deze bezig is of kort daarna. Reactieprocedures bepalen wat er gebeurt nadat de fraude is bevestigd, zoals het opschorten van accounts, het verzamelen van bewijsmateriaal voor geschillen en, indien gerechtvaardigd, escalatie naar de rechtshandhaving. Als je alleen vertrouwt op preventie, kun je onvoorbereid zijn wanneer er een nieuwe aanvalsvector opduikt.

Continue monitoring en beoordeling

Fraudepatronen veranderen en controles die zes maanden geleden werkten, werken nu misschien niet meer. Fraudeurs delen technieken, nieuwe productkenmerken creëren nieuwe kwetsbaarheden en aanvalsvectoren ontwikkelen zich sneller dan jaarlijkse beoordelingscycli kunnen bijhouden. Elk kwartaal controleren is een redelijk uitgangspunt, met ad-hocbeoordelingen die worden geactiveerd door grote wijzigingen in chargebackpercentages, nieuwe productlanceringen of bevestigde fraude-incidenten.

Hoe voer je een frauderisicobeoordeling uit?

Een frauderisicobeoordeling is een gestructureerde controle van je blootstelling. Dit zijn de stappen:

• Baken je scope af: Beslis of je de gehele onderneming, een specifieke productlijn of een bepaald type transactie beoordeelt. De scope bepaalt wat je opneemt in je inventaris en wie erbij betrokken moet worden.

• Maak een transactieoverzicht: Documenteer elk punt in de transactiestroom waar fraude kan plaatsvinden. In een e-commerce-onderneming omvat dit het afrekenen, het maken van een account, het opslaan van betaalmethoden, terugbetalingen en chargeback aanvragen. Elk van deze punten is een potentieel doelwit.

• Identificeer fraudescenario's: Vraag je bij elk contactpunt af wat een fraudeur zou kunnen doen (bijv. kaarttesten bij het afrekenen, accountovername bij inloggen, vriendelijke fraude in de fase van chargeback aanvragen) en wat ze ermee zouden winnen. Als je het scenario specificeert, is het veel gemakkelijker te beoordelen en te beperken.

• Beoordeel waarschijnlijkheid en impact: Gebruik historische gegevens, branchebenchmarks en input van je betaaldienstverlener. Waarschijnlijkheidsscores moeten je werkelijke transactievolume en klantprofiel weerspiegelen, geen algemene branchegemiddelden. Impactscores moeten rekening houden met direct financieel verlies, chargeback-kosten, herstelkosten en een verslechtering van de klantervaring.

• Prioriteer en wijs eigenaarschap toe: Bij risico's met een hoge prioriteit moet een specifieke persoon of een specifiek team verantwoordelijk zijn voor de controle. Zonder eigenaarschap worden er geen controles geïmplementeerd en niet gecontroleerd.

• Documenteer en stel een controlebeoordelingsdatum in: Het resultaat van een frauderisicobeoordeling is een levend document, waaraan vanaf het begin een controlefrequentie moet worden gekoppeld.

Welke frauderisico's zijn het belangrijkst voor e-commerce- en financiële platformen?

De soorten fraude die online ondernemingen doorgaans het hardst treffen, maken allemaal misbruik van de afwezigheid van fysieke verificatie. Dit omvat onder meer de volgende:

CNP-fraude

CNP-fraude doet zich voor wanneer gestolen of gecompromitteerde kaartgegevens worden gebruikt om aankopen te doen via een kanaal waarbij de betaalkaart niet fysiek aanwezig is: online afrekenen, telefonische bestellingen, terugkerende facturatie en in-app-aankopen. De betaalkaart zelf wisselt nooit van eigenaar, waardoor het zonder gelaagde verificatie moeilijk te detecteren is. CNP-fraudepercentages pieken doorgaans na grote datalekken, wanneer er nieuwe reeksen inloggegevens op de dark web-marktplaatsen belanden.

Fraude met accountovernames

Het testen van aanmeldgegevens (geautomatiseerde aanvallen die gestolen gebruikersnamen en wachtwoordcombinaties op veel websites testen) is goedkoop om uit te voeren, waardoor accountovernamefraude een veelvoorkomende dreiging is geworden. Fraudeurs gebruiken gelekte gebruikersnamen en wachtwoorden om toegang te krijgen tot klantaccounts, waarna ze verzendadressen wijzigen, nieuwe betaalmethoden toevoegen of tegoeden opnemen. Het is bijzonder schadelijk omdat het het vertrouwen van de klant aantast, zelfs als de onderneming correct reageert.

Vriendelijke fraude

Vriendelijke fraude, ook wel chargebackfraude genoemd (en soms ondergebracht in de bredere categorie first-party fraude), doet zich voor wanneer een legitieme kaarthouder een aankoop doet en vervolgens bij de bank een chargeback aanvraagt. Ze beweren dat ze de goederen nooit hebben ontvangen of dat ze geen toestemming hebben gegeven voor de transactie. Geschillenpercentages boven de circa 1% van het transactievolume zijn een veelvoorkomend waarschuwingssignaal, hoewel de drempels variëren per betaaldienstverlener en branche.

Misbruik van het beleid

Misbruik van het beleid bevindt zich tussen fraude en legitiem klantgedrag in en omvat terugbetalingsfraude, het stapelen van promotiecodes en het misbruik maken van verwijzingen. Het is niet altijd het werk van georganiseerde criminelen. Soms zijn het gewone klanten die misbruik maken van mazen in het beleid. De financiële impact is in beide gevallen reëel, en de bijbehorende controles overlappen met fraudepreventie voor betalingen.

Hoe sluit een framework voor frauderisicobeheer aan bij de tools die je dagelijks gebruikt?

Een framework voor frauderisicobeheer zonder uitvoering is slechts documentatie. De vertaling van strategie naar dagelijkse fraudepreventie gebeurt via drie categorieën tools:

• Engines op basis van regels: Dit zijn logische controles waarmee je transacties boven een bepaalde waarde van nieuwe accounts kunt blokkeren, bestellingen kunt markeren waarbij het land van facturatie en verzending niet overeenkomen, of aanvullende verificatie kunt vereisen voor risicovolle productcategorieën. Regels zijn snel en transparant, maar statisch. Geavanceerde fraude past zich snel aan bekende regels aan, en daarom zijn op regels gebaseerde systemen alleen niet voldoende.

• Machine-learningmodellen: Deze analyseren transacties met veel grotere functiesets dan welke engine op basis van regels dan ook handmatig aan zou kunnen. Een goed getraind model kan honderden variabelen tegelijkertijd wegen en in milliseconden een risicoscore genereren. Het nadeel is de ondoorzichtigheid, aangezien machine-learningmodellen niet altijd een duidelijke verklaring geven waarom een transactie verdacht is, wat de oplossing van geschillen en de klantenservice kan bemoeilijken.

• Systemen voor monitoring en waarschuwingen: Hiermee wordt de cirkel rondgemaakt. Realtime dashboards, integraties van chargebackwaarschuwingen en geautomatiseerde rapportages vertellen je wanneer er iets verandert. Zonder monitoring ontdek je geen kwetsbaarheden tussen twee controlecycli door.

Stripe Radar brengt alle drie de lagen samen binnen de betaalinfrastructuur van Stripe. Het machine-learningmodel van Radar is getraind met transactiegegevens uit het hele Stripe-netwerk, wat betekent dat het profiteert van signalen die jouw onderneming alleen niet had kunnen genereren. Je kunt je eigen regels op maat toevoegen en 3D Secure vereisen voor bepaalde soorten transacties of wrijving toevoegen voor bestellingen die overeenkomen met bekende fraudepatronen. Intelligentie op netwerkniveau en bedrijfsspecifieke regels werken samen in plaats van afzonderlijk.

Hoe stel je een frauderisicobeheerbeleid op voor je onderneming?

Een frauderisicobeheerbeleid formaliseert je framework. Het definieert wat je beschermt, wie verantwoordelijk is voor de bescherming ervan, en wat er gebeurt als er iets misgaat.

Hier is een stapsgewijs overzicht van hoe je dat beleid opstelt:

• Definieer de scope en doelstellingen van het beleid: Wees specifiek. 'Onder de in de branche gangbare drempelwaarden voor fraude en geschillen blijven' is een zinvolle doelstelling. 'Fraude verminderen' niet.

• Stel een duidelijke risicobereidheidsverklaring op: Dit helpt het team consistente beslissingen te nemen. 'We accepteren een fraudepercentage van hooguit 0,1% op kaarttransacties voordat we controles escaleren' is een duidelijke stelling. 'We nemen fraude serieus' niet.

• Maak een lijst van specifieke controles die je hebt geïmplementeerd: Vermeld wat ze moeten voorkomen en wie de eigenaar is. Het hoeft niet uitputtend te zijn, maar het moet specifiek genoeg zijn zodat een nieuw teamlid je preventiestrategie begrijpt door het te lezen.

• Stel escalatieprocedures op: Bepaal wat een escalatie activeert, wie er op de hoogte wordt gebracht als fraudedrempels worden overschreden en wat de responstijd is voor bevestigde incidenten. Deze procedures zijn het belangrijkst wanneer alles snel gaat en er geen tijd is om het proces helemaal van voren af aan te leren.

• Stel je beoordelingsfrequentie in: Wanneer wordt het beleid gecontroleerd en wat leidt er tot een tussentijdse beoordeling? Bepaal dit vooraf, anders wordt het misschien niet uitgevoerd.

Hoe Stripe Radar kan helpen

Stripe Radar gebruikt AI-modellen om fraude op te sporen en te voorkomen, getraind op basis van gegevens uit het wereldwijde netwerk van Stripe. Het werkt deze modellen steeds bij op basis van de nieuwste fraudetrends, zodat je onderneming beschermd blijft terwijl fraude zich ontwikkelt.

Stripe biedt ook Radar for Fraud Teams, waarmee gebruikers regels op maat kunnen toevoegen die zich richten op fraudescenario's die specifiek zijn voor hun bedrijf en toegang hebben tot geavanceerd fraude-inzicht.

Radar kan je onderneming helpen met:

• Fraudeverliezen voorkomen: Stripe verwerkt jaarlijks meer dan $ 1 biljoen aan betalingen. Deze schaalgrootte stelt Radar in staat om fraude nauwkeurig op te sporen en te voorkomen, waardoor je geld bespaart.

• Omzet verhogen: de AI-modellen van Radar zijn getraind op basis van echte chargebackgegevens, klantinformatie, browsegegevens en meer. Hierdoor kan Radar risicovolle transacties identificeren en valse positieven verminderen, waardoor je omzet stijgt.

• Tijd besparen: Radar is ingebouwd in Stripe en hoeft niet te worden geconfigureerd. Je kunt ook je frauderesultaten monitoren, regels opstellen en meer op één platform, waardoor de efficiëntie toeneemt.

Lees meer over Stripe Radar of ga vandaag nog aan de slag.