CNP-fraude (Card-Not-Present) is creditcardfraude waarbij de fysieke kaart niet nodig is om een transactie te voltooien. CNP-fraude komt het meest voor bij online aankopen of transacties via de telefoon. Met de toename van e-commerce heeft deze methode een sterke groei doorgemaakt: in 2020 is de verkoop via e-commerce in de Verenigde Staten met 36% gestegen, terwijl verliezen als gevolg van CNP-fraude met 31% toenamen. Het belangrijkste verschil tussen CNP-fraude en andere vormen van creditcardfraude is het ontbreken van de fysieke kaart tijdens de transactie. Hierdoor is CNP-fraude een groot probleem voor e-commerce en verkoop op afstand.

In tegenstelling tot traditionele fraude, waarbij fraudeurs een fysieke kaart stelen of dupliceren, bemachtigen mensen die CNP-fraude plegen de benodigde creditcardgegevens meestal op een andere manier. Je moet hierbij denken aan datalekken, phishing of andere misleidende methoden. Vervolgens gebruiken ze deze gegevens om ongeautoriseerd aankopen te doen of transacties uit te voeren.

Het aanpakken van CNP-fraude kan ingewikkeld zijn omdat deze aanvallen steeds van aard veranderen. De betaaltechnologie evolueert, en dat geldt ook voor pogingen van fraudeurs om toegang te krijgen. Ondernemingen zien zich hierdoor gedwongen om krachtige maatregelen op te stellen om risico's te beperken, en deze voortdurend bij te werken. Hieronder gaan we in op CNP-fraude. Je leest wat het is, hoe het werkt en welke best practices je kunt gebruiken om deze fraude te bestrijden.

Wat staat er in dit artikel?

• Hoe werkt Card-Not-Present-fraude?
  
• Card-Not-Present-fraude (CNP) vergeleken met Card-Present-fraude (CP)
  
• Effect van Card-Not-Present-fraude op ondernemingen en klanten
  
• Signalen van Card-Not-Present-fraudeaanvallen
  
• Je onderneming beschermen tegen Card-Not-Present-fraude
  
• Reageren op Card-Not-Present-fraudeaanvallen
  

Hoe werkt Card-Not-Present-fraude?

In tegenstelling tot traditionele fraude waarbij sprake is van gestolen of gekopieerde fysieke creditcards, wordt bij CNP-fraude gebruikgemaakt van digitale mechanismen om informatie te stelen. CNP-fraude is complex en omvat verschillende stappen, van de bemachtiging van creditcard gegevens tot de ongeautoriseerde transacties. Hieronder zetten we het proces van CNP-fraude op een rijtje:

Creditcardgegevens bemachtigen

• Gegevenslekken. Fraudeurs verkrijgen creditcard gegevens via gegevenslekken bij ondernemingen. Er worden bijvoorbeeld databases gehackt om creditcardnummers, vervaldatums en beveiligingscodes te stelen.

• Phishing-aanvallen. Een andere veelgebruikte methode is phishing, waarbij fraudeurs mensen misleiden om hun gegevens te achterhalen. Het kan hierbij gaan om e-mails of nepwebsites zijn die afkomstig lijken zijn van legitieme bedrijven.

• Skimming. Hoewel het bij skimming meestal gaat om fraude met fysieke betaalkaarten, kunnen hierbij ook kaartgegevens worden geregistreerd die vervolgens worden gebruikt bij CNP-transacties.

• Gestolen gegevens kopen. Fraudeurs kunnen ook creditcard gegevens kopen op het dark web of andere illegale platforms waar dergelijke informatie wordt verkocht.

Gestolen gegevens verifiëren

• Kleine transacties. Om te controleren of de gestolen informatie geldig is en of het account actief is, voeren fraudeurs vaak kleine transacties uit (ook wel microbetalingen genoemd). Deze zijn meestal klein genoeg om onopgemerkt te blijven door de kaarthouder.

• Online verificatiediensten. Sommige fraudeurs maken gebruik van online diensten die de geldigheid van kaartgegevens controleren zonder een transactie uit te voeren.

Ongeautoriseerde transacties uitvoeren

• Online shoppen. Zodra fraudeurs over geldige kaartgegevens beschikken, doen ze online aankopen. Daarbij richten ze zich vooral op digitale goederen of diensten die snel kunnen worden verzonden.

• Grotere aankopen of transacties. Als de kleine transacties onopgemerkt blijven, kunnen fraudeurs doorgaan met grotere aankopen of kunnen ze proberen geld over te schrijven.

Goederen of diensten ontvangen

• Verzending naar veilige adressen. Vaak laten fraudeurs artikelen verzenden naar adressen die niet naar hen kunnen worden herleid, om te voorkomen dat ze worden opgespoord.

• Doorverkoop van goederen. Fraudeurs verkopen fysieke artikelen die ze via CNP-fraude hebben gekocht, door voor contant geld.

Sporen uitwissen

• Snelle afsluiting van transacties. Na ongeautoriseerde aankopen sluiten fraudeurs de transactieroutes vaak snel af. Dit kan inhouden dat accountgegevens worden gewijzigd of dat de frauduleuze accounts worden verlaten.

• Gebruik van cryptovaluta of geanonimiseerde betalingen. Om geld over te schrijven, kunnen oplichters cryptovaluta of andere methoden gebruiken om anoniem te blijven.

Uitdagingen op het gebied van preventie en opsporing

• Snel veranderende tactieken. Fraudeurs werken hun methoden voortdurend bij om beveiligingsmaatregelen te omzeilen.

• Wereldwijd bereik. Door de digitale aard van CNP-fraude kunnen fraudeurs overal te wereld toeslaan, wat rechtsvervolging en wetshandhaving bemoeilijkt.

• Balans tussen beveiliging en klantervaring. Ondernemingen willen beveiligingsmaatregelen implementeren die sterk genoeg zijn om fraude te voorkomen, maar subtiel genoeg om legitieme klanten geen ongemak te bezorgen.

Respons en risicobeperking

• Geavanceerde monitoring en analyse. Het gebruik van geavanceerde software om transacties te controleren op ongebruikelijke activiteiten is een belangrijke methode om de veiligheid te vergroten.

• Multifactorauthenticatie. Als je vraagt om aanvullende verificatie die verder gaat dan alleen kaartgegevens, kan dat een afweer zijn tegen aanvallen.

• Voorlichting van klanten. Kaarthouders bewust maken van het belang van de bescherming van hun kaartgegevens, draagt effectief bij aan de beveiliging.

CNP-fraude is een voortdurend evoluerende strijd tegen de steeds geavanceerdere methoden van fraudeurs. Dit vraagt om waakzaamheid, innovatieve technologie en samenwerking tussen bedrijven, betalingsverwerkers en klanten.

Card-Not-Present-fraude (CNP) vergeleken met Card-Present-fraude (CP)

Om de uitdagingen op het gebied van fraude aan te pakken, is het belangrijk om onderscheid te maken tussen Card-Not-Present-fraude en Card-Present-fraude. Deze vormen van fraude worden elk op een andere manier uitgevoerd en brengen elk eigen problemen met zich mee.

Belangrijkste verschillen in uitvoering

Card-Not-Present-fraude

• Optreden. CNP-fraude komt voor bij transacties waarvoor de fysieke kaart niet nodig is, zoals bij online aankopen, transacties via de telefoon en bestellingen per post.

• Methode. Fraudeurs gebruiken gestolen kaartgegevens die zijn verkregen via datalekken, phishing of andere methoden. Ze hebben geen fysieke kaart nodig om frauduleuze transacties uit te voeren, alleen het kaartnummer, de vervaldatum en soms de CVV-code (kaartverificatiewaarde).

• Detectie. Detectie van CNP-fraude kan lastig zijn omdat de fraudeur de fysieke kaart niet hoeft te presenteren om een aankoop te doen. Verificatie is gebaseerd op gegevenspunten die gemakkelijker te compromitteren zijn.

Card-Present-fraude (CP)

• Optreden. CP-fraude vindt plaats bij fysieke transacties, waarbij de fysieke kaart wordt gebruikt voor de betaling.

• Methode. Het gaat hierbij om het gebruik van een gestolen fysieke kaart of het maken van vervalste kaarten met behulp van gestolen kaartgegevens.

• Detectie. CP-fraude kan gemakkelijker worden opgespoord dan CNP-fraude. Bij fysieke tekenen zoals een beschadigde kaart, een handtekening die niet klopt of verdacht gedrag van degene die de transactie uitvoert, kan er een alarmbel gaan rinkelen die ondernemingen waarschuwt voor mogelijke fraude.

Specifieke uitdagingen en oplossingen voor CNP-fraude

Uitdagingen

• Gebrek aan fysieke verificatie. De grootste uitdaging bij CNP-fraude is het ontbreken van een fysieke kaart. Hierdoor is het lastig om te controleren of de gebruiker de rechtmatige kaarthouder is.

• Tactieken die snel veranderen. Online fraudetechnieken ontwikkelen zich in hoog tempo, wat het voor ondernemingen moeilijker maakt om nieuwe fraudemethoden bij te benen.

• Wereldwijd bereik. Fraudeurs kunnen overal ter wereld CNP-fraude plegen, wat rechtsvervolging en wetshandhaving bemoeilijkt.

Oplossingen

• Geavanceerde tools voor digitale verificatie. Tools zoals Address Verification Service (AVS), ook wel adresverificatie genoemd, en CVV-controles en tweefactorauthenticatie helpen bij het verifiëren van de identiteit van de persoon die de transactie uitvoert.

• Gedragsanalyse en AI. Implementatie van machine-learning algoritmen om aankooppatronen te analyseren en afwijkingen te detecteren, kan effectief zijn bij het identificeren van potentiële CNP-fraude.

• Voorlichting van klanten. In de strijd tegen fraude is het belangrijk om klanten voor te lichten over veilige werkwijzen bij online shoppen en over hoe ze hun kaartgegevens kunnen beschermen.

Hoewel het zowel bij CNP- en als bij CP-fraude gaat om ongeautoriseerd gebruik van een creditcard, zijn er aanzienlijke verschillen tussen de uitvoering van beide vormen en de uitdagingen die ze met zich meebrengen. CNP-fraude, waarbij de fysieke kaart niet hoeft te worden geverifieerd, vereist een grotere inzet van digitale verificatiemethoden en gegevensanalyse om fraude op te sporen en te voorkomen. Deze verschillen betekenen dat ondernemingen strategieën op maat moeten hebben om elk type fraude effectief aan te pakken, waarbij CNP-fraude vraagt om een meer technologiegestuurde, adaptieve strategie.

Effect van Card-Not-Present-fraude op ondernemingen en klanten

CNP-fraude kan een kettingreactie van effecten teweegbrengen bij ondernemingen en klanten. Inzicht in de reikwijdte van deze effecten is belangrijk voor het ontwikkelen van effectieve strategieën om dit probleem aan te pakken. Enkele gevolgen zijn:

Gevolgen voor klanten

• Financieel verlies en aansprakelijkheid. Hoewel veel creditcardmaatschappijen een beleid hebben dat de aansprakelijkheid van klanten bij fraude beperkt, kan de onmiddellijke impact van ongeautoriseerde transacties verontrustend zijn. Klanten kunnen te maken krijgen met tijdelijk verlies van geld, wat nogal wat kan betekenen, vooral als het om grote bedragen gaat.

• Zorgen over privacy. CNP-fraude vloeit vaak voort uit datalekken, waardoor klanten het onaangename gevoel krijgen dat hun persoonlijke en financiële gegevens op straat zijn komen te liggen.

• Verlies van vertrouwen. Wanneer klanten het slachtoffer worden van CNP-fraude, gaat dat mogelijk ten koste van hun vertrouwen in de veiligheid van online transacties. Dit wantrouwen kan zich uitstrekken tot alle online retail en het gedrag van klanten beïnvloeden.

• Tijd en moeite om tot een oplossing te komen. Slachtoffers van CNP-fraude moeten tijd en moeite steken in het aanvechten van frauduleuze betalingen, het beveiligen van hun rekeningen en soms het afhandelen van juridische procedures. Dat kan behoorlijk wat tijd en middelen in beslag nemen.

Gevolgen voor bedrijven

• Financiële verliezen. Ondernemingen zijn de dupe van CNP-fraude via chargebacks, waarbij zij inkomsten uit verkoop en geleverde goederen of diensten mislopen. Volgens een rapport van Insider Intelligence lopen verliezen als gevolg van CNP-fraude in de VS in 2024 naar verwachting op tot $ 10 miljard. Ondernemingen kunnen ook te maken krijgen met boetes en hogere tarieven voor betalingsverwerking.

• Hogere operationele kosten. Ondernemingen die CNP-fraude willen bestrijden, moeten investeren in geavanceerde beveiligingsmaatregelen, fraudedetectiesystemen en klantverificatieprocessen, wat leidt tot hogere operationele kosten.

• Reputatieschade. Een onderneming die de dupe wordt van CNP-fraude kan reputatieschade oplopen, vooral als de fraude vaak voorkomt of veel publiciteit krijgt. Dit kan leiden tot een verlies van klantvertrouwen, wat meestal veel moeilijker te herstellen is dan financiële verliezen.

• Impact op de klantervaring. Het implementeren van strenge beveiligingsmaatregelen om CNP-fraude te bestrijden kan het transactieproces soms omslachtiger maken voor klanten. En dat kan weer nadelig zijn voor de omzet.

• Wettelijke en juridische gevolgen. Bedrijven kunnen te maken krijgen met juridische problemen en controle van toezichthouders als ze klantgegevens niet beschermen of als blijkt dat de beveiligingsmaatregelen ontoereikend zijn.

• Uitdagingen op lange termijn. Om de dreiging van CNP-fraude aan te pakken, moeten voortdurend worden geïnvesteerd in technologie en opleiding van personeel. Dit is een uitdaging die op lange termijn constante aandacht en middelen vereist.

Signalen van Card-Not-Present-fraudeaanvallen

Het herkennen van de signalen van Card-Not-Present-fraude is belangrijk, willen ondernemingen en klanten deze aanvallen effectief kunnen voorkomen en aanpakken. Hier volgt een overzicht van mogelijke signalen van een poging tot CNP-fraude:

Voor ondernemingen

• Ongebruikelijke patronen in bestellingen. Een rode vlag is een plotselinge piek in de bestellingen, vooral van waardevolle artikelen of grote aantallen goederen. Fraudeurs proberen vaak zo veel mogelijk opbrengst te halen uit gestolen kaartgegevens.

• Meerdere transacties op één kaart. Meerdere transacties in een korte periode, vooral als ze mislukken en steeds opnieuw worden geprobeerd, kunnen erop wijzen dat een fraudeur de geldigheid van een kaart test.

• Verschillende verzend- en factuuradressen. Bestellingen waarbij het verzendadres afwijkt van het factuuradres verdienen extra aandacht, omdat dit een tactiek kan zijn die door fraudeurs wordt gebruikt.

• Bestellingen van locaties met een hoog risico. Transacties die afkomstig zijn uit of worden verzonden naar regio's die bekend staan om een hoog risiconiveau, moeten nauwlettend in de gaten worden gehouden.

• Aanvragen voor verzending met spoed of op de volgende gag. Fraudeurs kiezen vaak voor de snelste verzendmethoden, zodat ze goederen ontvangen voordat de fraude wordt ontdekt.

• Inconsistente bestelgegevens. Niet-overeenkomende informatie, zoals afwijkende namen of verschillende contactgegevens voor verschillende bestellingen, kan een teken zijn van frauduleuze activiteit.

Voor klanten

• Onverwachte transacties. Onbekende afschrijvingen op een creditcardafschrift zijn een teken van mogelijke fraude.

• Waarschuwingen van financiële instellingen. Veel banken en creditcardmaatschappijen waarschuwen bij ongebruikelijke activiteit. De ontvangst van dergelijke waarschuwingen kan een vroegtijdige waarschuwing voor fraude zijn.

• Phishing-zwendel. De ontvangst van e-mails of berichten waarin om persoonlijke of financiële informatie wordt gevraagd, kan een voorbode zijn van CNP-fraude.

• Meldingen over ongebruikelijke accountactiviteit. Meldingen over wachtwoordwijzigingen, adreswijzigingen of andere accountwijzigingen die je niet hebt doorgevoerd, zijn een signaal van fraude.

Algemene signalen

• Mislukte transacties. Meerdere mislukte transactiepogingen gevolgd door een geslaagde poging kunnen erop wijzen dat iemand gestolen kaartnummers gebruikt.

• Kleine testaankopen. Kleine transacties gaan vaak vooraf aan grotere frauduleuze aankopen. Fraudeurs voeren deze "test"betalingen uit om te zien of de kaart nog steeds actief is.

Door waakzaam te blijven en de signalen te herkennen, kunnen ondernemingen en klanten tijdig actie ondernemen om de impact van CNP-fraude te voorkomen en te beperken. Voor ondernemingen betekent dit het implementeren van passende verificatieprocessen en monitoringsystemen. Klanten moeten hun afschriften regelmatig controleren en verdachte activiteiten melden aan hun kaartuitgever.

Je onderneming beschermen tegen Card-Not-Present-fraude

Om je onderneming te beschermen tegen CNP-fraude heb je een uitgebreide strategie nodig, waarin best practices en beveiligingsmaatregelen hand in hand gaan. Voor de meeste ondernemingen met moderne betaalsystemen houdt dit ook in dat ze moeten kiezen voor betaalsoftware en hardware die bestand is tegen CNP-fraude.

Hoewel je tactieken en beleid moeten aansluiten op de specifieke aard en behoeften van je onderneming, zijn er paar manieren die voor de meeste ondernemingen relevant zijn om het risico op CNP-fraude te minimaliseren. We noemen ze hieronder:

Gebruik geavanceerde verificatietools

• AVS. Deze tool vergelijkt het factuuradres dat door de klant is opgegeven met het adres dat bekend is bij de uitgever van de creditcard. Afwijkingen kunnen duiden op een frauduleuze transactie.

• CVV. Door CVV verplicht te stellen voor online transacties wordt een extra beveiligingslaag toegevoegd omdat de code niet op magneetstrips wordt opgeslagen en voor fraudeurs moeilijker te bemachtigen is.

• Tweefactorauthenticatie (2FA). Door implementatie van 2FA voor transacties voeg je een extra verificatiestap toe. Bij 2FA wordt meestal een code verstuurd naar de telefoon of het e-mailadres van de klant.

Monitor transacties

• Real-time transactie-analyse. Gebruik systemen die transacties analyseren op het moment dat ze worden uitgevoerd, en die zoeken naar ongebruikelijke patronen of activiteiten die afwijken van de norm.

• Stel transactielimieten in. Door limieten in te stellen voor het bedrag of de frequentie van transacties, kun je frauduleuze activiteiten vroeg opsporen.

Beveilig betaalgateways

• Kies gerenommeerde betalingsverwerkers. Werk samen met betalingsverwerkers die een bewezen staat van dienst hebben op het gebied van veilige verwerking en fraudepreventie.

• Encryptie en tokenisatie. Zorg ervoor dat de betaalgateway gebruikmaakt van sterke encryptie voor gegevensoverdracht, en van tokenisatie, waarbij gevoelige kaartgegevens worden vervangen door unieke ID's.

Geef voorlichting aan je medewerkers en klanten

• Training van personeel. Organiseer regelmatig trainingssessies voor je medewerkers om hen bij te praten over de nieuwste technieken en trends op het gebied van fraudepreventie.

• Bewustwording van de klant. Licht je klanten voor over het belang van bescherming van hun kaartgegevens en over signalen van phishing-pogingen.

Houd systemen up-to-date

• Regelmatige software-updates. Houd alle software up-to-date met de nieuwste beveiligingspatches, met name software voor betalingsverwerking en beveiliging.

• Compliance met Payment Card Industry Data Security Standard (PCI DSS). Naleving van deze normen is verplicht en een best practice voor de beveiliging van de gegevens van kaarthouders.

Evalueer de beleidsregels regelmatig en pas ze aan

• Adaptieve strategieën. Naarmate fraudetechnieken zich ontwikkelen, moeten ook je preventiestrategieën zich ontwikkelen. Evalueer je beleidsregels en methoden regelmatig en pas ze aan.
  

Implementeer methoden voor klantverificatie

• Vertraagde verzending voor verdachte bestellingen. Als een bestelling verdacht lijkt, kun je verlies voorkomen door de verzending uit te stellen totdat je een verificatie hebt gedaan.

• Handmatige controle van transacties met een hoog risico. Voor sommige transacties is een mogelijk handmatige controle vereist als extra beveiligingslaag.

Door je aan deze best practices te houden kan je onderneming beveiligingslagen creëren die samen frauduleuze activiteiten effectief detecteren, voorkomen en erop reageren. Het doel is om van je onderneming een moeilijker doelwit te maken voor fraudeurs en tegelijkertijd een soepele ervaring voor echte klanten te behouden.

Reageren op Card-Not-Present-fraudeaanvallen

Voor het reageren op CNP-fraudeaanvallen is een snelle, systematische strategie vereist. Hieronder zetten we in het kort op een rijtje hoe je dergelijke incidenten effectief kunt aanpakken:

Onmiddellijke stappen

• Verifieer het incident. Ga na of het echt om fraude gaat. Soms lijkt het op fraude, maar is de klant een aankoop vergeten of is er een andere betaalkaart gebruikt.

• Neem contact op met de betalingsverwerker. Meld het incident bij je betalingsverwerker. Deze diensten hebben protocollen om met dergelijke situaties om te gaan en kunnen je begeleiden.

• Annuleer de transactie. Als de bestelling nog niet is afgehandeld, annuleer deze dan om verlies van goederen of diensten te voorkomen.

• Markeer het account. Markeer het account dat is gebruikt voor de frauduleuze transactie. Dit helpt bij de tracking en voorkomt nieuwe pogingen met dezelfde gegevens.

Vervolgacties

• Evalueer de beveiligingsmaatregelen. Beoordeel hoe de fraude heeft plaatsgevonden. Analyseer of er fouten in je beveiligingsprotocollen zitten en wat je kunt doen om deze te verhelpen.

• Werk de systemen bij. Als bij de fraude misbruik is gemaakt van een specifieke kwetsbaarheid, pak dat dan onmiddellijk aan. Dit kan gaan om het updaten van software of het wijzigen van operationele procedures.

• Documenteer alles. Houd gedetailleerde gegevens bij van de frauduleuze transactie, je reactie en eventuele communicatie met betrokken partijen. Dit is belangrijk voor eventuele onderzoeken of verzekeringsclaims.

Communicatie met klanten

• Transparante communicatie. Als klantgegevens zijn gecompromitteerd, informeer de betrokken klanten dan onmiddellijk.

• Begeleiding bij de volgende stappen. Adviseer klanten hoe ze hun accounts kunnen beveiligen en meld het incident bij hun kaartuitgever.

• Ondersteuningskanalen. Bied een toegankelijke klantenservice voor het afhandelen van vragen en zorgen met betrekking tot de fraude.

Preventieve maatregelen

• Training van medewerkers. Licht je personeel voor over CNP-fraude en het belang van het volgen van beveiligingsprotocollen.

• Werk de beveiligingsmaatregelen regelmatig bij. Blijf op de hoogte van de nieuwste fraudetrends en werk je fraudepreventiemaatregelen bij.

• Bewustzijnsprogramma's voor klanten. Licht je klanten voor over het beschermen van hun kaartgegevens en het herkennen van phishing-pogingen en andere fraudetactieken.

• Verbeter verificatieprocessen. Implementeer strengere verificatieprocessen voor transacties, vooral voor transacties die risicovol lijken.

Juridische en complianceaspecten

• Melding bij de autoriteiten. In sommige gevallen kan het nodig zijn om het incident te melden aan de politie of andere of regelgevende instanties.

• Compliance met protocollen voor datalekken. Houd je aan de wettelijke en juridische vereisten met betrekking tot datalekken, inclusief het informeren van betrokken partijen en regelgevende instanties.

Door deze stappen te nemen, kan je onderneming effectiever reageren op CNP-fraudeaanvallen, de schade beperken en zich beter verdedigen tegen toekomstige incidenten. Handel snel, leer van het incident en verbeter je processen: zo kun je je onderneming beschermen en het vertrouwen van de klant behouden. Lees meer over hoe Stripe onderneming beschermt tegen CNP-fraude.