Med den ökande populariteten för onlineshopping och digitala betalningar har e-handelswebbplatser blivit en oumbärlig del av vardagen i Japan. Säkerhetsrisker – som kreditkortsbedrägerier, personuppgiftsläckor och cyberattacker – ökar dock för varje år som går. Många e-handelsföretag har svårt att ta reda på hur de ska hantera dessa problem på grund av begränsade resurser.

I den här artikeln förklarar vi grundläggande säkerhetsåtgärder för e-handel i Japan och några metoder för att hantera bedrägliga betalningar och informationsläckor.

Vad innehåller den här artikeln?

• Varför är säkerhetsåtgärder nödvändiga inom e-handel?
  
• Vanliga säkerhetsincidenter som påverkar e-handelsföretag
  
• Säkerhetsriktlinjer för e-handelswebbplatser
  
• Grundläggande säkerhetsåtgärder för e-handelswebbplatser
  
• Hantera säkerhetshot inom e-handel
  
• Hur kan e-handelsföretag i Japan förbättra säkerheten?
  
• Hur Stripe Radar kan hjälpa till
  

Varför är säkerhetsåtgärder nödvändiga inom e-handel?

I takt med att e-handeln expanderar blir metoderna för bedrägerier och cyberattacker mer sofistikerade. Skador som orsakas av attacker mot kreditkortsuppgifter blir allt allvarligare för varje år. Därför måste säkerhetsåtgärderna stärkas.

Åtgärder för att förhindra skador från kreditkortsbedrägerier

Enligt Japan Consumer Credit Association (JCA) uppgick förlusterna på grund av kreditkortsbedrägerier under 2024 till rekordhöga 55,5 miljarder JPY. Detta belopp växte med mer än det dubbla på bara fem år. Detta visar att bedrägerierna ökar i takt med e-handelns tillväxt.

Majoriteten av dessa förluster (dvs. över 90 %) orsakades av stöld av kreditkortsnummer på e-handelswebbplatser. Denna stöld utförs genom nätfiske-e-post, falska shoppingwebbplatser och hackning av e-handelssystem. Utan grundläggande motåtgärder är det osannolikt att en dessa förluster kommer att minska. Riktlinjerna för kreditkortssäkerhet kräver också att e-handelsföretag vidtar specifika åtgärder.

Skydda kundernas personuppgifter

E-handelswebbplatser hanterar mycket information om kreditkort. Dessutom hanterar de personuppgifter, t.ex. namn, adresser, telefonnummer och e-post. När personuppgifter läcker ut är skadan inte begränsad till en enda person. Vanligtvis läcker en stor mängd kunddata, vilket leder till stor ekonomisk skada och skada på företagets rykte.

Kortinnehavare som drabbas av bedrägerier på grund av kortnummerstöld kan få oväntade debiteringar och kan också känna oro och missnöje över informationsläckan. Detta kan leda till att de förlorar förtroendet för e-handelswebbplatsen. För att återställa förtroendet bör företaget lägga tid och resurser på kundsupport och utredningar. Dataläckor kan dock skada trovärdigheten och lönsamheten för företaget som helhet.

Den pågående risken för cyberattacker

E-handelswebbplatser är attraktiva måltavlor för cyberattacker. Detta beror på att de är tillgängliga när som helst och innehåller en stor mängd transaktionsdata. En rapport från ministeriet för ekonomi, handel och industri (METI) visar att obehörig åtkomst, nätfiske och hackade betalningssystem ökar. Under de senaste åren har attackmetoderna blivit allt mer sofistikerade. De har utökats till att omfatta automatiserade bedrägerier som kallas credit master-attacker och nätfiskebedrägerier med hjälp av artificiell intelligens (AI).

Vanliga säkerhetsincidenter som påverkar e-handelsföretag

Många olika typer av säkerhetsincidenter kan inträffa på e-handelswebbplatser. Här är några vanliga exempel och deras risker:

Systemavstängningar

Detta händer när e-handelwebbplatsen stängs och blir otillgänglig på grund av server- eller systemfel. När en webbplats stängs kan den förlora försäljning och kundernas förtroende. Dessutom kan återställningsinsatser leda till arbetskostnader och ekonomiska kostnader.

Information-technology Promotion Agency (IPA) tillhandahåller säkerhetsriktlinjer för att bygga och driva e-handelswebbplatser som rekommenderar att man förbereder sig för sådana situationer genom att regelbundet säkerhetskopiera data, införa redundans, införa åtkomstkontroll och använda loggar.

Enligt en undersökning som genomförts av IPA och kommissionen för skydd av personuppgifter (Personal Information Protection Commission, PPC) uppskattas den genomsnittliga försäljningsförlusten på grund av stängningen av en e-handelswebbplats till 57 miljoner JPY. Den genomsnittliga kostnaden för att reagera på denna typ av incidenter uppskattas till 240 miljoner JPY.

Ändring av webbplats

Om virus eller skadlig kod infiltrerar administratörsterminaler eller servrar kan de orsaka skador på system eller data. Ett företag inom e-handel bör installera antivirusprogram, regelbundet uppdatera operativsystem och programvara och upprätta ett system för att upptäcka hackare.

Enligt National Police Agency (NPA) har det förekommit flera rapporter om ett brott som kallas webbskimning. Detta innebär att olagliga program är inbäddade i legitima e-handelswebbplatser för att komma över kundernas kortuppgifter.

Obehörig åtkomst

Detta inträffar när en tredje part får obehörig åtkomst till administrativa skärmar eller databaser för att visa, ändra eller radera data. De säkerhetsriktlinjer som nämns ovan inkluderar viktiga motåtgärder, såsom multifaktorautentisering, sårbarhetsbedömning, åtkomstkontroll och identifiering av avvikelser i inloggningen.

E-handelswebbplatser som är byggda med programvara med öppen källkod (OSS) kan utgöra en särskild risk. Enligt IPA byggdes 97 % av de berörda e-handelswebbplatserna internt, och många använder OSS-system. OSS-system är bekväma, men deras sårbarheter är också lättare att upptäcka. Om korrigeringar till exempel inte tillämpas snabbt eller korrekt kan ett OSS-system lätt bli ett mål för obehörig åtkomst.

Utpressningsprogram

Denna cyberattack innebär att bedrägliga aktörer krypterar system eller data och kräver pengar i byte för att återställa dem. Företag kan minska risken för denna attack genom regelbunden säkerhetskopiering, separat lagring, begränsningar av administratörsbehörighet och återställningsutbildning.

Enligt en rapport från Japan Network Security Association (JNSA) har attacker med utpressningsprogramvara orsakat ekonomiska förluster på mellan 10 och flera hundra miljoner JPY. Detta inkluderar små och medelstora företag, där det i vissa fall rapporteras förluster som överstiger 100 miljoner JPY.

Säkerhetsriktlinjer för e-handelswebbplatser

Säkerhetsriktlinjerna för byggande och drift av e-handelswebbplatser som IPA har publicerat innehåller särskilda säkerhetsriktlinjer för att skapa och driva e-handelswebbplatser på ett säkert sätt. De är främst avsedda för små och medelstora företag och oberoende leverantörer.

De viktigaste riktlinjerna är:

• Förhindra säkerhetsincidenter.
  
• Korrekt design och operativa sårbarheter.
  
• Ge support till icke-specialiserad personal.
  
• Tydliggöra ansvarsfördelningen mellan relevanta parter för både interna och outsourcade system.
  

Säkerhetsriktlinjerna är mer än en teknisk manual. Istället förenar de praktiskt arbete med beslutsfattande genom att betona vikten av säkerhetsåtgärder som ledningsbeslut. Dessutom ger riktlinjerna exempel på orsaker, effekter och risker för säkerhetsincidenter som har inträffat eller kan inträffa.

I samtliga fall av säkerhetsincidenter är den främsta orsaken oklarheter i vem som är ansvarig och vad som behöver skyddas. Riktlinjerna delar in säkerhetsåtgärder i tre kategorier baserade på de parter som är involverade i att förhindra incidenter. De tydliggör och förklarar också varje parts roller.

Operatörer av e-handelswebbplatser bör:

• Besluta om policyer för skapande av webbplatser och konstruktion och drift
  
• Tydliggöra outsourcing och val av leverantörer, avtal och hantering
  
• Upprätta en policy för att skydda kundernas information
  

Utvecklings- och konstruktionsleverantörer bör:

• Designa och implementera sårbarhetsfria system
  
• Utföra verifiering och testning
  
• Uppdatera och hantera programvara
  

Leverantörer av drift och underhåll bör:

• Utföra regelbunden sårbarhetssupport för servrar och programvara
  
• Upprätta logghanterings- och övervakningssystem
  
• Upprätta ett insatssystem i händelse av olyckor
  

Grundläggande säkerhetsåtgärder för e-handelswebbplatser

För många företag kan det verka komplicerat att uppdatera och stärka säkerhetsåtgärderna. Det är dock viktigt att börja med enkla steg som kan utföras omedelbart, som att stärka lösenord och se över delningsinställningarna. Sedan kan företag gradvis bygga robusta säkerhetssystem. Här är några specifika åtgärder som e-handelsföretag bör överväga:

Integrera Three-Domain Secure (3D Secure) 2.0 för identitetsverifiering

3D Secure 2.0 är ett system som förbättrar identitetsautentisering för kreditkortsbetalningar. Engångskoder och biometrisk autentisering kan förhindra obehöriga betalningar som använder imitationstaktik.

Detta system erbjuder också en förbättrad kundupplevelse jämfört med konventionella lösenordsmetoder, samtidigt som det balanserar säkerhet och bekvämlighet. Detta har gjort det allt populärare bland kreditkorts- och betaltjänstleverantörer. E-handelswebbplatser som ännu inte har integrerat 3D Secure riskerar att drabbas av återkrediteringar och nekade transaktioner. Därför bör e-handelsföretag överväga att införa det tidigt.

Överensstämmelse med Payment Card Industry Data Security Standard (PCI DSS):

PCI DSS är en internationell säkerhetsstandard för företag som hanterar kreditkortsuppgifter. Denna standard ger detaljerade specifikationer, t.ex. kryptering av information, åtkomstkontroll och logghantering. Strikt efterlevnad krävs vid intern hantering av kortuppgifter.

Att hantera alla dessa krav internt kan dock vara en stor börda, så många företag använder betalningsombud som uppfyller PCI DSS-kraven för att minska denna börda samtidigt som de uppfyller kraven.

Implementera identifiering av kreditkortsbedrägerier

Bedrägliga transaktioner är inte alltid uppenbara till en början. Ofta upptäcker företag dem efter att köpen har slutförts. Detta gör det viktigt att ha ett system som identifierar och reagerar på tecken på bedrägliga transaktioner i realtid, särskilt innan transaktioner görs eller avräknas. Här är några egenskaper som bör flagga transaktioner som misstänkta:

• Åtkomst från områden med en historia av bedrägerier
  
• Kortposter från samma IP-adress (Internet Protocol) i följd
  
• Kund- och kortinnehavaruppgifterna stämmer inte överens
  
• Flera köp med högt värde på kort tid
  

Att använda ett system som automatiskt blockerar eller pausar transaktioner för granskning när de klassificeras som riskfyllda kan förhindra skador innan de inträffar.

Hur du hanterar säkerhetshot inom e-handel

Att implementera säkerhetsåtgärder kan bidra till att minska förekomsten av säkerhetsincidenter. Det ökade antalet fall av bedrägerier innebär dock att de flesta företag sannolikt kommer att uppleva ett säkerhetsintrång av något slag. Detta kan inträffa även om företaget vidtar motåtgärder. Här är några sätt att reagera på specifika säkerhetsincidenter:

Virusinfektion eller utpressningsprogram

Sluta använda den infekterade datorn eller servern och koppla från den från nätverket. Därefter ska du rapportera incidenten till berörda företagspartner och kunder samt relevanta myndigheter. I Japan måste till exempel förekomst av virusangrepp och utpressningsprogram rapporteras till IPA. Fortsätt sedan med ditt utrednings- och återställningsarbete. Genom att säkerhetskopiera data regelbundet kan du minimera skadan från denna typ av incident.

Dataläckor

Dataläckor inkluderar obehörig åtkomst till nätverk, olagliga aktiviteter som begås av anställda (dvs. internt tjänstefel), missriktade e-postmeddelanden och oavsiktlig publicering på webben. Om detta händer, bekräfta vilken typ och mängd av data som har läckt samt status för säkerhetsåtgärder som kryptering och åtkomstbegränsningar.

I händelse av obehörig åtkomst ska du omedelbart koppla från enheten från nätverket och stänga av tjänster. Detta är viktigt eftersom det finns risk för att personuppgifter eller konfidentiell information läcker ut. Om kreditkorts- eller kontoinformation läcker ut ska du kontakta kreditkortsföretaget och spärra kontot/kontona.

Om du begår tjänstefel internt ska du begränsa åtkomsten till interna system och bevara bevis, t.ex. persondatorer. Om e-postmeddelanden har skickats till fel mottagare ska du kontakta dem och begära att de raderar e-postmeddelandena. Om information av misstag har publicerats på företagets webbplats ska du omedelbart radera den eller begränsa åtkomsten så att den inte kan visas utanför organisationen.

När du har vidtagit dessa åtgärder ska du rapportera och meddela berörda parter vid behov:

• Om läckt information – till exempel kontouppgifter – kan missbrukas, varna de individer och företag som påverkas för att förhindra sekundär skada.
  
• Om personuppgifter läcker ut ska du rapportera detta till PPC.
  
• Om orsaken till informationsläckan är brottslig – till exempel obehörig åtkomst eller internt tjänstefel – rapportera uppgifterna till polisen.
  
• Om orsaken till informationsläckan är ett datorvirus eller obehörig åtkomst ska du rapportera incidenten till IPA-rapporteringskontoret.
  

Undersök sedan omfattningen, orsaken och skadan av den läckta informationen. Fortsätt sedan med återvinningsarbetet för att förhindra att situationen uppstår igen.

Systemavstängning

Om ett system stängs av kan det vara svårt att omedelbart identifiera orsaken. Potentiella orsaker är allmänna fel på utrustningen och säkerhetsöverträdelser, t.ex. cyberattacker och programvarubuggar. Om orsaken är okänd bör företaget reagera som om det är ett säkerhetsproblem.

Vid systemfel, fel, avstängningar eller överhängande tecken på att ett sådant kan uppstå ska du kontakta systemadministratören eller informationssäkerhetsansvarig. Beroende på situationen kan den ansvariga parten koppla över eller stänga av servrarna vid behov.

Därefter ska du kontakta företagets partner och rapportera incidenten till relevanta myndigheter. Om det förekommer virus eller obehörig åtkomst ska du rapportera det till IPA:s rapporteringskontor. Utred orsaken till incidenten och fortsätt med återställande och förebyggande av återkommande händelser.

Hur kan e-handelsföretag i Japan förbättra säkerheten?

Säkerhetsåtgärder för e-handel är viktiga för att skydda den dagliga verksamheten. Oavsett företagets storlek är kortbedrägerier och dataläckor alltid en risk som företag måste arbeta för att bekämpa.

Under de senaste åren har det blivit lättare att anta och integrera en mängd olika åtgärder, till exempel 3D Secure, för att stärka identitetsverifieringen (dvs. förfaranden för kundkännedom [KYC]). Företag kan också följa branschstandarder – som PCI DSS – och införa tjänster för att upptäcka bedrägerier. Det är viktigt att vara vaksam och vidta proaktiva åtgärder i förväg. Bara för att ett företag inte har stött på säkerhetsproblem betyder det inte att det kan vara självbelåtet. Företagare måste förbättra säkerhetsåtgärderna för sina e-handelswebbplatser för att säkerställa tillförlitligheten, pålitligheten och kontinuiteten i sin e-handel.

Hur Stripe Radar kan hjälpa till

Stripe Radar använder AI-modeller som tränats på data från Stripes globala nätverk och uppdateras kontinuerligt baserat på de senaste bedrägeritrenderna, vilket skyddar ditt företag när bedrägerierna utvecklas.

Stripe erbjuder även Radar for Fraud Teams, som gör det möjligt för användare att lägga till anpassade regler som hanterar bedrägeriscenarier för just deras företag och få tillgång till avancerade bedrägeriinsikter.

Radar kan hjälpa ditt företag att:

• Förhindra bedrägeriförluster: Stripe hanterar över 1 biljon dollar i betalningar årligen. Denna omfattning gör det möjligt för Radar att på ett korrekt sätt upptäcka och förhindra bedrägerier, vilket sparar pengar.
  
• Öka intäkterna: Radars AI-modeller är tränade på verkliga tvistdata, kundinformation, webbläsardata etc. Detta gör att Radar kan identifiera riskabla transaktioner och minska falska positiva resultat, vilket ökar dina intäkter.
  
• Spara tid: Radar är inbyggt i Stripe och kan konfigureras med noll kodrader. Du kan också övervaka din bedrägeriprestanda, skriva regler och annat på en enda plattform, vilket ökar effektiviteten.
  

Läs mer om Stripe Radar eller börja idag.