Bij kaarttesten valideren fraudeurs gestolen kaartgegevens (bijv. kaartnummers, vervaldata en CVC's) door kleine transacties door betalingssystemen uit te voeren om te bevestigen dat de betaalkaart actief is.

Dit soort fraude maakt gebruik van legitieme transactieprocessen om detectie te voorkomen. Fraudeurs richten zich vaak op websites die bekend staan om de verwerking van een groot volume aan transacties met een lage waarde, omdat deze minder snel waarschuwingen activeren. Zodra een betaalkaart deze initiële 'testfase' doorstaat en als actief en niet-geblokkeerd wordt beschouwd, neemt de waarde ervan voor de fraudeur drastisch toe. Ze kunnen de kaart dan zelf gebruiken om grotere aankopen te doen, of ze kunnen de kaartgegevens verkopen op de zwarte markt.

Creditcardfraude neemt toe—en kaarttesten is een van de meest voorkomende toegangspunten. Alleen al in de eerste drie kwartalen van 2025 werden meer dan 500.000 gevallen van creditcardfraude gemeld bij de Federal Trade Commission—dat zijn er bijna 180.000 meer dan in dezelfde periode in 2024. De verwachting is dat wereldwijde verliezen door kaartfraude tegen 2030 oplopen tot $ 41,06 miljard. De digitale aard van deze transacties betekent ook dat ze overal vandaan kunnen worden uitgevoerd, wat de inspanningen van wetshandhaving bemoeilijkt en de uitdaging vergroot voor ondernemingen en financiële instellingen die de financiële informatie van hun klanten proberen te beschermen.

Hieronder leggen we uit wat ondernemingen moeten weten over dit type fraude en hoe ze zich ertegen kunnen beschermen.

Wat staat er in dit artikel?

• Wat is kaarttesten?
  
• Hoe werkt kaarttesten?
  
• De invloed van kaarttesten op ondernemingen en klanten
  
• Signalen van aanvallen via kaarttesten
  
• Waar let Stripe op?
  
• De onderneming beschermen tegen kaarttesten
  
• Reageren op aanvallen via kaarttesten
  
• Hoe Stripe Radar kan helpen
  

Wat is kaarttesten?

Van kaarttesten is sprake wanneer kwaadwillenden proberen om gestolen kaartgegevens, zoals kaartnummers, vervaldata of CVC's, te valideren door ze te gebruiken op betaalsystemen die geen goede verificatiecontroles hebben. Als een betaling slaagt (of zelfs als deze wordt geweigerd met een specifieke redencode), weten ze dat de betaalkaart echt is.

Hoe werkt fraude met kaarttesten?

Kaarttesten werkt via een relatief eenvoudig proces. Er zijn twee belangrijke manieren waarop kaarttesten wordt uitgevoerd:

• Handmatig testen: Een fraudeur probeert handmatig kaartgegevens uit, en past deze aan op basis van weigeringscodes. Het volume is laag, de impact is laag, maar het is nog steeds een signaal.

• Enumeratie: Meer geavanceerde kwaadwillenden gebruiken geautomatiseerde scripts en bots om veel creditcards tegelijk te identificeren. Dit is met name gevaarlijk.

Fraudeurs verkrijgen gestolen kaartnummers, testen ze om er zeker van te zijn dat ze werken, en gebruiken ze vervolgens. Hier is meer informatie over hoe dit verloopt:

1. Fraudeurs verkrijgen gestolen kaartnummers: Kwaadwillenden verkrijgen gestolen creditcardnummers afkomstig van datalekken, phishing-oplichting of darkweb-marktplaatsen.

2. Ze voeren testtransacties van lage waarde uit: De testfase omvat het uitvoeren van kleine transacties op websites. Kwaadwillenden richten zich vaak op platforms die bekend staan om microtransacties (bijv. digitale diensten of pagina's voor liefdadigheidsdonaties) waar fraudedetectie minder streng is.

3. Ze bevestigen welke kaarten actief zijn: Het is voor fraudeurs cruciaal om te bevestigen dat de creditcard actief is en nog niet als gestolen is opgegeven, en goedgekeurde transacties signaleren dat. Op websites waar aanvullende informatie, zoals factuuradressen, niet strikt wordt geverifieerd, wordt dit proces eenvoudiger.

4. Ze gebruiken of verkopen geverifieerde kaarten: Zodra een betaalkaart is geverifieerd, wordt deze waardevoller op de zwarte markt. De fraudeur kan de kaart nu vol vertrouwen gebruiken voor grotere, onbevoegde aankopen of de kaartgegevens aan anderen verkopen.

Kaarttesten is doorgaans een leidende indicator van een bredere fraudeaanval, maar de daadwerkelijke frauduleuze activiteit treedt mogelijk pas maanden later op of wordt pas dan gedetecteerd, en vaak bij een volledig andere verkoper. Dit maakt het met name lastig om te traceren.

Wat zijn de gevolgen van kaarttesten voor bedrijven en klanten?

Kaarttesten vormen verschillende uitdagingen voor ondernemingen. De schade wordt meestal hier ervaren:

Gevolgen voor bedrijven

• Financiële verliezen: Ondernemingen draaien op voor chargebackkosten wanneer klanten onbevoegde betalingen betwisten.

• Hogere operationele kosten: Het onderhouden van fraudedetectiesystemen en het afhandelen van de gevolgen van fraude brengen extra uitgaven met zich mee.

• Reputatieschade: Herhaalde incidenten tasten het vertrouwen van de klant aan en kunnen de omzet verlagen.

• Strenger toezicht door kaartuitgevers en verwerkers: Hoge fraudeniveaus kunnen leiden tot strenger toezicht en sancties van creditcarduitgevers en verwerkers, hogere verwerkingskosten of in extreme gevallen het verlies van de mogelijkheid om creditcardbetalingen te verwerken.

Gevolgen voor klanten

• Financieel ongemak: Slachtoffers van kaarttesten worden geconfronteerd met het gedoe van het aanvragen van chargebacks en het laten uitgeven van nieuwe kaarten. Hoewel klanten doorgaans niet aansprakelijk zijn voor frauduleuze betalingen, kan het oplossen van deze problemen tijdrovend zijn.

• Zorgen over privacy: Het besef dat iemands kaartgegevens zijn gestolen en misbruikt, kan angst over privacy en veiligheid veroorzaken.

• Potentieel voor grotere financiële schade: Hoewel kaarttesten betrekking heeft op kleine bedragen, kan dit een voorbode zijn van grotere onbevoegde transacties die van invloed kunnen zijn op de kredietscore van een klant. Zodra is geverifieerd dat kaartgegevens actief zijn, kunnen ze worden gebruikt voor grootschaligere fraude of worden verkocht op de zwarte markt.

Signalen voor fraudeaanvallen met kaarttesten

Het herkennen van en reageren op aanvallen met kaarttesten is belangrijk voor bedrijven om zichzelf en hun klanten te beschermen. Het op de hoogte zijn van de signalen en het implementeren van effectieve monitoringsystemen zijn belangrijke stappen in dit proces. Hier zijn enkele aanwijzingen dat je bedrijf mogelijk is getroffen door dit type aanval:

• Meerdere kleine transacties: Een reeks transacties van lage waarde, vaak snel achter elkaar, kan een sterke aanwijzing zijn voor kaarttesten. Dit zijn doorgaans bedragen die laag genoeg zijn om detectie te voorkomen. Stripe controleert op dergelijke verificatiekosten.

• Gebruik van meerdere kaarten: Meerdere pogingen om verschillende kaartnummers te gebruiken vanaf hetzelfde IP-adres of apparaat is een waarschuwingssignaal. Het suggereert dat iemand een reeks kaartnummers aan het testen is.

• Mislukte transacties: Een groot aantal geweigerde betalingen kan ook wijzen op kaarttesten omdat fraudeurs vaak ongeldige of verlopen kaartnummers gebruiken. Stripe controleert op hoge weigeringspercentages bij verkopers zonder eerdere Stripe-geschiedenis. Stripe let ook op weigeringen vanwege onjuiste vervaldata of niet-herkende primaire accountnummers (PAN) die niet plaatsvinden aan het einde van een maandelijkse factureringscyclus wanneer deze weigeringen gebruikelijker zijn. Deze factoren suggereren dat een kwaadwillende partij combinaties aan het uitproberen is.

• Inconsistente factureringsinformatie: Transacties waarbij de opgegeven factureringsinformatie niet overeenkomt met de kaartgegevens, kunnen wijzen op frauduleuze activiteiten.

Vroege detectie hangt af van de wetenschap waar je op moet letten, en snel handelen wanneer signalen verschijnen.

Waar let Stripe op?

Stripe gebruikt verschillende signalen om gevallen van kaarttesten te identificeren. Hier zijn enkele van de kritieke indicatoren die we monitoren:

• Toename in weigeringen: Fraudeurs die kaarten valideren, voeren vaak onjuiste informatie in, wat leidt tot een toename in geweigerde autorisaties. Bepaalde specifieke redenen voor weigering duiden meestal op een kaarttestaanval:

  • Geen kaartrecord: Tijdens pogingen om kaartgegevens te identificeren, kunnen kwaadwillenden kaartgegevens invoeren die niet zijn toegewezen aan een kaarthouder, maar die wel zijn gekoppeld aan een bankidentificatienummer (BIN) en beschikbaar zijn in ons systeem. Gebruikers kunnen deze informatie niet zien, aangezien de kaarten niet aan hen zijn gekoppeld. Het ontstaan van weigeringen op deze kaarten kan wijzen op aanhoudende kaarttesten.
    
  • Onjuiste vervaldatum: Vaker missen fraudeurs precieze details zoals vervaldata en CVC, wat ertoe leidt dat ze verschillende combinaties proberen. Deze weigeringen geven aan dat de kwaadwillende een geldig PAN heeft geïdentificeerd—en ze weten dit op basis van de weigeringsreden.
    

• Piek in accountverificaties: Accountverificatie is een procedure waarmee ondernemingen bevestigen dat de creditcard die voor een transactie wordt gebruikt, geldig is. Tijdens deze procedure wordt een kleine, vaak tijdelijke, “verificatiebetaling” uitgevoerd om ervoor te zorgen dat de betaalkaart actief is en een beschikbaar saldo heeft. Een plotselinge piek in accountverificaties kan indicatief zijn voor kaarttesten.

• Autorisaties en weigeringen bij nieuwe verwervers: We monitoren activiteiten bij verwervers die we in het verleden nog niet bij Stripe hebben gezien. Als we een nieuwe verkoper zien met een zeer hoog volume aan weigeringen vanwege niet-overeenkomende vervaldata of kaarten die niet bestaan, ondernemen we actie om te voorkomen dat goede ondernemingen worden uitgebuit en slechte ondernemingen fraude plegen.

Hoe bescherm je je bedrijf tegen fraude met kaarttesten?

Het beschermen van je onderneming tegen aanvallen met kaarttesten vereist een combinatie van effectieve beveiligingsmaatregelen, geavanceerde tools, best practices op het gebied van betalingsverwerking en het ervoor zorgen dat je personeel weet hoe te reageren op kaarttesten wanneer ze de tekenen ervan herkennen. Deze strategieën zijn ontworpen om het risico op frauduleuze activiteiten te identificeren en te beperken, en tegelijkertijd een soepele ervaring voor legitieme klanten mogelijk te maken.

Effectieve beveiligingsmaatregelen en -tools

• Address Verification Service (AVS): AVS vergelijkt het facturatieadres dat door de gebruiker is opgegeven met het adres dat bekend is bij de creditcardmaatschappij. Inconsistenties kunnen duiden op mogelijke fraude.

• CVV-verificatie: Het vereisen van de CVV voor transacties helpt om ervoor te zorgen dat de persoon die de aankoop doet, fysiek toegang heeft tot de betaalkaart, wat het risico op frauduleus gebruik van online verkregen kaartnummers verkleint.

• Transactielimieten instellen: Stel limieten in voor het aantal transacties of het totale bedrag in dollars dat per betaalkaart is toegestaan binnen een bepaald tijdsbestek om meerdere frauduleuze pogingen te voorkomen. Blokkeer transacties in landen waar je niet verwacht dat je gebruikers actief zijn en transacties binnen categorieën die je gebruikers naar verwachting niet gebruiken, zoals digitale goederen of advertentieplatforms. Als een betaalkaart is gecompromitteerd, annuleer of bevries deze dan onmiddellijk via de Cards API of Tokens API.

• Geavanceerde tools voor fraudedetectie installeren: Investeer in tools die gebruikmaken van machine-learning (ML) en kunstmatige intelligentie om transactiepatronen te analyseren en afwijkingen te signaleren die duiden op kaarttesten.

• Multifactorauthenticatie (MFA): Voor transacties die verdacht lijken, kan het implementeren van een extra authenticatielaag frauduleuze actoren afschrikken.

Best practices voor betalingsverwerking

• Monitor pieken in geweigerde betalingen en goedkeuringen van lage bedragen: Let op geweigerde betalingen die optreden als gevolg van een onjuiste vervaldatum of CVC op onverwachte momenten in de maand of facturatiecyclus. Een toename van dit soort geweigerde betalingen is typisch aan het einde van de maand voor betaalkaarten die gekoppeld zijn aan abonnementen, maar ze wekken argwaan als ze op andere momenten voorkomen. Vaak laten fraudeurs een piek in geweigerde betalingen volgen door een toename van goedgekeurde transacties met een laag bedrag.

• Let op veranderingen in uitgavenpatronen: Aankopen van hoge bedragen, plotselinge uitgaven in het buitenland en meerdere aankopen bij één verkoper binnen enkele seconden zijn het onderzoeken waard.

Hoe kun je reageren op fraudeaanvallen met kaarttesten?

Grijp snel in als er fraude met kaarttesten wordt gedetecteerd.

Te nemen stappen wanneer fraude met kaarttesten wordt gedetecteerd

• Bevries verdachte transacties onmiddellijk: Zodra je kaarttesten vermoedt, moet je de betreffende transacties controleren. Bevries alle lopende transacties die verband houden met de vermoedelijke fraude om verdere ongeautoriseerde activiteit te voorkomen.

• Pas verbeterde verificatie toe op grensgevallen: Als sommige transacties argwaan wekken maar niet onomstotelijk frauduleus zijn, implementeer dan verbeterde verificatieprocessen. Dit kan inhouden dat je contact opneemt met de klant voor bevestiging of aanvullende authenticatie vereist.

• Analyseer de omvang van de aanval: Voer een grondige analyse uit van de transactiepatronen om de omvang en methode van de aanval te achterhalen. Dit helpt bij het identificeren van de bron en mogelijke zwakke plekken in het systeem.

• Verscherp de parameters voor fraudedetectie: Pas op basis van de analyse de parameters voor fraudedetectie aan, zodat deze gevoeliger zijn voor het soort activiteit dat tijdens het incident is waargenomen. Dit kan het aanscherpen van transactielimieten of het wijzigen van waarschuwingstriggers inhouden.

Meldingsprocedures en herstelmaatregelen voor getroffen bedrijven

• Stel je financiële partners op de hoogte: Informeer je financiële partners, waaronder banken en kaartverwerkers, onmiddellijk over het incident. Ze kunnen helpen bij het monitoren van verdere verdachte activiteit en zelf de nodige acties ondernemen.

• Meld grootschalige incidenten bij wetshandhavingsinstanties: In geval van grootschalige fraude is het raadzaam om aangifte te doen bij wetshandhavingsinstanties. Autoriteiten kunnen een onderzoek instellen en werken aan het oppakken van de daders.

• Schakel indien nodig cyberbeveiligingsexpertise in: Als de aanval geavanceerd is of als er zorgen zijn over kwetsbaarheden in het systeem, kan het inschakelen van cyberbeveiligingsexperts helpen identificeren hoe de aanval is gebeurd en hoe je incidenten kunt voorkomen.

• Communiceer tijdig met getroffen klanten: Communiceer transparant met getroffen klanten. Informeer hen over het incident en adviseer over stappen die ze moeten nemen, zoals het monitoren van hun kredietrapporten of het vervangen van hun betaalkaarten. Houd hen op de hoogte van beveiligingsmaatregelen en moedig hen aan om verdachte activiteit met betrekking tot hun transacties te melden.

• Controleer en versterk de verdediging na het incident: Voer na het incident een uitgebreide evaluatie uit van de beveiligingsmaatregelen. Het versterken van de verdediging kan bestaan uit het updaten van software, het herzien van protocollen of het trainen van personeel in nieuwe beveiligingspraktijken.

• Documenteer wat er is gebeurd en pas je aan: Gebruik het incident als een leermoment. Analyseer wat er is gebeurd, wat effectief was in je reactie en waar verbeteringen nodig zijn. Pas je strategieën hierop aan om je beter voor te bereiden op bedreigingen.

Lees meer over hoe Stripe ondernemingen helpt beschermen tegen fraude met kaarttesten.

Hoe Stripe Radar kan helpen

Stripe Radar gebruikt AI-modellen om fraude op te sporen en te voorkomen, getraind op basis van gegevens uit het wereldwijde netwerk van Stripe. Het werkt deze modellen steeds bij op basis van de nieuwste fraudetrends, zodat je onderneming beschermd blijft terwijl fraude zich ontwikkelt.

Stripe biedt ook Radar for Fraud Teams, waarmee gebruikers regels op maat kunnen toevoegen voor specifieke fraude scenario's voor hun bedrijf en toegang krijgen tot geavanceerde fraude- inzichten.

Radar kan je onderneming helpen met:

• Voorkom fraudeverliezen: Stripe verwerkt jaarlijks meer dan $ 1 biljoen aan betalingen. Deze schaal stelt Radar uniek in staat om fraude te helpen detecteren en voorkomen, wat je geld bespaart.

• Omzet verhogen: de AI-modellen van Radar zijn getraind op basis van echte chargebackgegevens, klantinformatie, browsegegevens en meer. Hierdoor kan Radar risicovolle transacties identificeren en valse positieven verminderen, waardoor je omzet stijgt.

• Tijd besparen: Radar is ingebouwd in Stripe en hoeft niet te worden geconfigureerd. Je kunt ook je frauderesultaten monitoren, regels opstellen en meer op één platform, waardoor de efficiëntie toeneemt.

Lees meer over Stripe Radar of ga vandaag nog aan de slag.