Slik kan du forebygge svindel i netthandel: 9 tiltak

Svindel er noe enhver bedriftseier må forholde seg til. For å forebygge svindel i netthandel må du kjenne risikoen. I Cybersources rapport fra 2023 oppga de undersøkte bedriftene at de i gjennomsnitt tapte 2,9 % av netthandelsomsetningen til betalingssvindel. Som et regneeksempel tilsvarer det 290 kr for hver 10 000 kr i omsetning.

En strategi for svindelforebygging bidrar til å redusere tap og avskrekke svindlere fra å angripe nettbutikken din. Med de riktige tiltakene på plass kan du blokkere svindel automatisk, og dermed spare deg selv for timer med manuell gjennomgang av bestillinger hver uke.

Denne artikkelen viser hvordan du lager en slik strategi, hvilke typer svindel du bør være oppmerksom på, og hvilke effektive tiltak som kan beskytte bedriften din.

Hva er svindelforebygging?

Svindelforebygging er en strategi som hjelper bedrifter med å oppdage, forebygge og håndtere svindel. Målet er å beskytte bedriftens økonomi, omdømme og kunder. I netthandel kan strategien blant annet omfatte kontroll av betalinger, gjennomgang av mistenkelige bestillinger og tydelige rutiner for ansatte.

Hvorfor er svindelforebygging viktig?

Økonomiske tap og ustabilitet

Svindel er et kostbart problem for bedrifter. Å bli offer for økonomisk kriminalitet kan tappe bankkontoen din til fordel for en svindler. Når kunder fremmer uriktige tilbakeføringskrav, såkalt «friendly fraud», kommer kostnadene ved å håndtere tvisten i tillegg. I Cybersources rapport fra 2023 anslo bedriftene at håndteringen i gjennomsnitt kostet 35 USD for hver 100 USD i omtvistede beløp.

Risiko for omdømmet

Mange kjøp blir gjort, eller i det minste påvirket, av anbefalinger fra andre. Hvis én kunde får en negativ opplevelse med nettstedet ditt, er det en risiko for at vedkommende forteller venner og familie om svindelfaren. Dette kan avskrekke folk fra å kjøpe produktene dine.

Krav til etterlevelse av regelverket

Det finnes lover som skal beskytte forbrukere og bedrifter mot økonomisk kriminalitet. I Norge gjelder hvitvaskingslovens plikter bestemte typer virksomheter. Det er derfor viktig å avklare hvilke krav som gjelder for din bedrift, fremfor å anta at alle nettbutikker har de samme pliktene.

Finansinstitusjoner som behandler betalinger for bedrifter, må følge hvitvaskingsregelverket når de er omfattet av det. Det innebærer blant annet å kontrollere kundenes identitet, overvåke transaksjoner for mistenkelig aktivitet og rapportere mistanke om hvitvasking.

Brudd på kravene virksomheten er underlagt, kan gi svindlere smutthull å utnytte og føre til sanksjoner. Det gjelder også når virksomheten ikke selv har blitt offer for svindel.

Utfordringer med effektivitet

Svindel er komplisert og tar mye tid å håndtere. Å bestride krav, samle inn bevis og håndtere konsekvensene av svindel stjeler verdifull tid fra bedriften din, tid som kunne vært brukt på andre viktige oppgaver.

Typer svindel

• Phishing (nettfiske)
• Friendly fraud
• Svindel med korttesting
• Refusjonsmisbruk
• Misbruk av lojalitetsprogrammer
• Kontoovertakelse
• Trianguleringssvindel
• Identitetstyveri

Phishing (nettfiske)

Phishing, eller nettfiske, skjer når svindlere utgir seg for å være noen andre. De forsøker å få folk til å avsløre sensitiv informasjon. Et eksempel er en e-post fra noen som påstår at de jobber i banken din, og ber om opplysninger som kan gi dem uautorisert tilgang til bedriftens bankkonto.

I Cybersources rapport om svindel i netthandel fra 2023 var phishing, pharming og whaling samlet den vanligste kategorien. Totalt 43 % av bedriftene oppga å ha opplevd slike angrep, opp fra 35 % i rapporten fra 2022.

Friendly fraud

Friendly fraud, også kjent som tilbakeføringssvindel, er ikke så uskyldig som navnet kan antyde. Det skjer når kunder kjøper noe fra en bedrift og fremmer uriktige tilbakeføringskrav hos kortutstederen. De kan for eksempel påstå at de ikke mottok produktet, eller at transaksjonen ikke var godkjent. Slike krav må skilles fra berettigede reklamasjoner og betalingstvister.

Dessverre er svindelaktige tilbakeføringskrav vanlige. I rapporten fra 2023 oppga 34 % av bedriftene å ha opplevd friendly fraud. Rapporten oppga også at i gjennomsnitt 2,6 % av netthandelsbestillingene førte til svindelrelaterte tilbakeføringer. Dette siste tallet omfatter mer enn bare friendly fraud.

Svindel med korttesting

Svindel med korttesting skjer når svindlere tester om stjålne eller genererte kortopplysninger kan brukes til betalinger. De bruker ofte små transaksjoner eller gjentatte betalingsforsøk i nettbutikker. To vanlige metoder er:

• Enumeration-angrep, der svindlere systematisk gjetter og sjekker kortopplysninger ved hjelp av automatiserte skript eller boter. De har ikke nødvendigvis fullstendige kortopplysninger å begynne med og genererer mange kombinasjoner til de finner en som fungerer.
• Gyldighetssjekker, der svindlere bekrefter at innhentede kredittkortopplysninger kan brukes. Dette gjøres ofte med små transaksjoner eller valideringsverktøy. I dette tilfellet har svindlerne allerede kortinformasjon og trenger ikke å gjette kortnumrene. De trenger bare å undersøke om opplysningene fortsatt er gyldige.

En tredjedel av bedriftene i Cybersources undersøkelse fra 2023 hadde opplevd korttesting. Betalingstjenester for netthandel som Shopify Payments har verktøy som kan redusere risikoen.

Adressekontroll kan blant annet sammenligne kundens faktureringsadresse med opplysningene hos kortutstederen. Et avvik er et risikosignal og betyr ikke i seg selv at bestillingen automatisk kanselleres.

Refusjonsmisbruk

Refusjonsmisbruk skjer når en kunde utnytter returvilkårene dine med uriktige opplysninger eller uredelige returer. Det kan for eksempel være å returnere en forfalsket vare eller uriktig hevde at varen har en mangel. Mange returer eller en berettiget reklamasjon er ikke i seg selv svindel.

Denne typen svindel er særlig vanlig i motebransjen. Enkelte kunder har drevet med såkalt «wardrobing», en type svindel der folk kjøper et klesplagg, bruker det (med prislappen fortsatt på) og returnerer det for full refusjon.

I en amerikansk rapport fra 2023 fant National Retail Federation og Appriss Retail at forhandlere tapte 13,70 USD til retursvindel for hver 100 USD i returnerte varer. For julehandelen anslo rapporten tapet til 16,50 USD for samme returverdi. Tallene gjelder det amerikanske markedet.

Misbruk av lojalitetsprogrammer

Lojalitetsprogrammer finnes for å belønne kunder som handler hos deg, men de kan også misbrukes. I Cybersources rapport fra 2023 oppga 22 % av bedriftene at de hadde opplevd lojalitetssvindel. Det kan skje når kunder stjeler poeng eller utnytter smutthull i lojalitetsprogrammet.

Kontoovertakelse

Kontoovertakelse er en form for identitetstyveri som kan skje hvis noen får uautorisert tilgang til bedriftskontoene dine, for eksempel kontoen på netthandelsplattformen din. Når de er logget inn, kan svindlere se privat informasjon. De kan også sperre deg ute av kontoen og kreve betaling for å gi deg tilgangen tilbake.

Kontoovertakelser kan også skje hvis noen får uautorisert tilgang til en kundekonto på nettstedet ditt. Svindlere kan misbruke lagrede betalingsmåter til å gjøre uautoriserte kjøp eller teste stjålne kortopplysninger i en annen persons navn.

Trianguleringssvindel

Trianguleringssvindel involverer tre parter: en kunde, en svindler og en legitim nettbutikk. Svindleren oppretter en falsk butikk og lokker kunder med lave priser. Når kunden betaler, beholder svindleren pengene og bruker stjålne kortopplysninger fra en tredjeperson til å bestille varen i en ekte nettbutikk.

Kunden oppgis som mottaker. Den ekte nettbutikken sender varen, men kan senere få et tilbakeføringskrav fra eieren av det stjålne kortet.

Denne nettsvindelen kan forbli uoppdaget en stund fordi kunden fortsatt får produktet sitt. Kunden vet ikke nødvendigvis at svindleren har brukt et stjålet kort til å betale den ekte nettbutikken.

Identitetstyveri

Identitetstyveri skjer når en svindler bruker noen andres identitet, det være seg navnet, e-postadressen eller nettkontoene deres, til å gjøre svindelaktige transaksjoner. Svindlere kan få tilgang til disse opplysningene gjennom datainnbrudd eller phishing-angrep. Noen ganger selges opplysningene på det mørke nettet for at svindlere skal kunne kjøpe dem.

Identitetstyveri er et spesielt stort problem for forhandlere, fordi du tror at du har med ekte kunder å gjøre. Hvis noen for eksempel logger inn på kontoen sin og ber om refusjon til et annet kort, er det ikke sikkert du skjønner at det ikke er den faktiske kunden som kontakter deg, men noen som ulovlig har logget inn på kontoen deres og krevd refusjonen.

9 tiltak for å forebygge svindel i netthandel

1. Bruk Shopify Payments
2. Bruk verktøy for risikovurdering av IP-adresser
3. Bruk verifiseringsprogramvare
4. Begrens antall varer per bestilling
5. Gjør butikkens vilkår tydeligere
6. Gjennomgå risikofylte bestillinger
7. Lær opp ansatte i strategien for svindelforebygging
8. Oppdater sikkerhetstiltakene jevnlig
9. Dokumenter bestillinger og betalinger

1. Bruk Shopify Payments

En sikker betalingsgateway for netthandel bidrar til å forebygge svindel. Shopify Payments støtter kravene til sterk kundeautentisering i PSD2 gjennom integrert 3D Secure. For betalinger som autentiseres med 3D Secure, kan ansvaret for svindelrelaterte tilbakeføringskrav flyttes til kortutstederen, med unntak etter kortnettverkenes regler. Dette er noe annet enn Shopify Protect, som bare er tilgjengelig for kvalifiserte amerikanske butikker og bestillinger gjennom Shop Pay.

Bedrifter som bruker Shopify Payments, får også innebygde kontroller som kan oppdage korttesting og andre risikofylte betalingsmønstre. Verktøyene bruker blant annet maskinlæring for å vurdere risiko.

Mistenkelige betalingsforsøk kan blokkeres før en bestilling opprettes, men kontrollene er ingen garanti for at all svindel stoppes.

I tillegg hjelper Shopifys svindelanalyse deg med å identifisere høyrisikobestillinger ved å vurdere betalingsopplysninger, kjennetegn ved bestillingen og signaler knyttet til kunde, sted, enhet og nettverk.

2. Bruk verktøy for risikovurdering av IP-adresser

Verktøy for risikovurdering av IP-adresser vurderer om en bestilling kan være svindel, basert på opplysninger knyttet til IP-adressen. De kan blant annet se etter uvanlige geografiske mønstre, bruk av proxy-tjenester og tegn på at bestillingen ble lagt inn av en bot.

Shopify har lignende kontroller innebygd i netthandelsplattformen. Shopifys svindelanalyse viser om kvalifiserte bestillinger har lav, middels eller høy risiko for et svindelrelatert tilbakeføringskrav. Bestillinger med middels eller høy risiko markeres i administratoren og i bestillingsvarsler på e-post. Dette hjelper deg med å finne bestillinger som bør undersøkes nærmere.

3. Bruk verifiseringsprogramvare

Verifiseringsprogramvare kan bidra til å kontrollere om opplysningene i kassen stemmer, og om kunden ser ut til å gjøre et legitimt kjøp. Når slike kontroller er aktivert i nettbutikken, kan de hjelpe deg med å identifisere risiko. Eksempler på kontroller er:

• Identitetsverifisering: Er kunden virkelig den de utgir seg for å være, eller er det en svindler som imiterer dem? Bekjemp identitetssvindel med verifiseringsprogramvare som ber kundene bekrefte at det virkelig er dem, med tofaktorautentisering eller biometrisk identifikasjon.
• Kortverifisering: Kortnummer og utløpsdato kan komme på avveie. CVV- eller CVC-koden er en sikkerhetskode på tre eller fire sifre som vanligvis står på kortet. Å be om koden kan bidra til å bekrefte at kunden har tilgang til kortopplysningene, men beviser ikke alene at kjøpet er legitimt.
• Adresseverifisering: Svindlere som har stjålet kortopplysninger, har ikke nødvendigvis riktig faktureringsadresse. AVS (Address Verification System) sammenligner deler av faktureringsadressen og postnummeret med opplysningene hos kortutstederen. Dette er ikke en kontroll av om fakturerings- og leveringsadressen er like.

I Cybersources rapport fra 2023 brukte bedriftene i gjennomsnitt fem verktøy for svindeloppdagelse. Kortverifisering, identitetskontroll og tofaktorautentisering var blant de vanligste.

Med Shopify kan du bruke svindelindikatorer som CVV-resultater, adressekontroller og mistenkelige bestillingsmønstre som grunnlag for risikovurderingen. Du kan deretter sette opp relevante kontroll- og automatiseringsregler. Ingen enkelt indikator bekrefter kundens identitet eller avgjør alene om en bestilling er svindel.

4. Begrens antall varer per bestilling

Svindlere legger ofte inn store bestillinger når de bruker stjålne kredittkortopplysninger. De håper at ved å holde seg til et lite antall forhandlere vil de svindelaktige transaksjonene gå ubemerket hen.

Reduser risikoen for denne typen svindel ved å begrense antall varer per bestilling. Hvis kunder for eksempel bare kan bestille maks ti enheter, kan du begrense tapet ved én enkelt svindelbestilling. En slik grense stopper likevel ikke nødvendigvis gjentatte bestillinger.

Analyser tidligere bestillingsdata for å se hvor mange enheter folk pleier å bestille når de handler på nettstedet ditt. På den måten blokkerer du ikke ekte kunder fra å gjøre verdifulle kjøp, samtidig som du avskrekker svindel.

5. Gjør butikkens vilkår tydeligere

Svindel skjer ofte når folk utnytter smutthull i en forhandlers vilkår, særlig for lojalitetsprogrammer og returer. Gå grundig gjennom de eksisterende vilkårene, og oppdater dem jevnlig hvis kunder begynner å utnytte dem. Vilkårene må samtidig respektere kundenes lovfestede rettigheter.

La oss si at du er en klesforhandler med rause returvilkår. Du kan tilby frivillig åpent kjøp eller bytterett på bestemte vilkår. Dette kommer i tillegg til angreretten ved nettkjøp og rettighetene kunden har når varen har en mangel.

Hvis kunder begynner å returnere varer uten produsentens prislapp, kan det gjøre det vanskeligere å kontrollere varen. For en frivillig returordning kan du angi vilkår om merkelapper og varens stand. Du kan likevel ikke automatisk avvise en lovfestet angrerett eller reklamasjon fordi prislappen mangler.

Hvis du taper mye penger på returer, kan du vurdere å tilby bytte eller tilgodelapp i den frivillige returordningen. Dette kan redusere misbruk av ordningen, men kan ikke erstatte refusjon kunden har krav på etter loven. Ved bruk som går utover nødvendig undersøkelse av varen, kan det etter angrerettloven være grunnlag for fradrag for dokumentert verdireduksjon.

6. Gjennomgå risikofylte bestillinger

Bestillinger med høy svindelrisiko kan ha kjennetegn som er verdt å undersøke nærmere. Det kan være avvik mellom leverings- og faktureringsadressen, flere mislykkede betalingsforsøk eller en bestilling med lav verdi som kan være korttesting. Slike tegn er ikke bevis på svindel. En kunde kan for eksempel ha en annen leveringsadresse fordi kjøpet er en gave.

Internasjonale bestillinger kan ha en høyere avvisningsrate. I Cybersources rapport fra 2023 var den gjennomsnittlige avvisningsraten 2,7 % for innenlandske bestillinger og 5,3 % for internasjonale bestillinger. Dette er historiske undersøkelsestall, ikke en regel for hvilke bestillinger du bør avvise.

Å gjennomgå risikofylte bestillinger manuelt kan være tidkrevende, særlig hvis du behandler mange bestillinger hver dag. Shopify Flow kan automatisere deler av arbeidet, slik at du kan prioritere hvilke bestillinger som trenger manuell gjennomgang før de klargjøres.

Du kan sette opp regler for svindeloppdagelse som automatisk kansellerer visse bestillinger, trekker betaling for lavrisikobestillinger, varsler teamet ditt når gjennomgang er nødvendig, og mer.

7. Lær opp ansatte i strategien for svindelforebygging

Som bedriftseier er det umulig å holde øye med hver eneste del av bedriften. Etter hvert som du vokser, vil du sannsynligvis ansette folk til å ta seg av oppgaver som markedsføring, lagerstyring eller klargjøring av bestillinger. Disse personene bør være fullt opplært i hvordan de oppdager svindelangrep og rapporterer mistenkte tilfeller av svindel.

Som en del av opplæringsprogrammet om svindelbevissthet bør du ta for deg ting som:

• Hvorfor svindelforebygging er viktig
• Hvordan man beskytter sensitive bedriftsopplysninger
• Vanlige svindelmetoder de kan støte på
• Verktøy og metoder de kan bruke til å oppdage svindel
• Hvem de skal rapportere mistenkt svindel til

8. Oppdater sikkerhetstiltakene jevnlig

Netthandel foregår utelukkende på nett, noe som gjør bransjen spesielt utsatt for svindel. Sikkerhetstiltak bidrar til å beskytte bedriften mot ting som skadevare, utpressingsangrep og uautorisert tilgang til viktige kontoer.

Gjennomfør en grundig revisjon og risikovurdering for å se hvor sikkerhetstiltakene dine kommer til kort. Som et utgangspunkt bør alle kontoer ha tofaktorautentisering og bruke sterke passord som aldri gjenbrukes andre steder. Ansatte bør også ha brannmurer eller antivirusprogramvare installert på enhetene sine.

Kriminelle videreutvikler stadig metodene sine for å omgå tiltak som skal forebygge svindel i netthandel. Vær derfor proaktiv: Gjenta sikkerhetsgjennomgangen jevnlig, og følg med på mistenkelig aktivitet slik at du kan tilpasse beskyttelsen.

9. Dokumenter bestillinger og betalinger

Hvis du blir offer for svindel, eller en kunde fremmer et uriktig tilbakeføringskrav, trenger du dokumentasjon for å bestride kravet. I Cybersources rapport fra 2023 oppga rundt ni av ti bedrifter at de sendte inn dokumentasjon etter kortnettverkenes regler om «compelling evidence» for å håndtere friendly fraud.

Shopify gjør det enkelt å samle denne informasjonen når du trenger den, særlig hvis du bruker Shopify Payments til å behandle nettbetalinger. Betalings- og bestillingsdata er samlet i administratoren. Ved kvalifiserte svindelrelaterte tilbakeføringskrav på bestillinger med Shopify Protect i USA håndteres prosessen for deg. For andre tvister må du følge den aktuelle prosessen, og du kan legge til relevant dokumentasjon i svaret på kravet.

De beste verktøyene for svindeloppdagelse og -forebygging

Shopify Protect

Tilbakeføringskrav kan utgjøre en stor risiko for forhandlere. Det er både tidkrevende og kostbart å håndtere slike tvister. Shopify Protect gir beskyttelse mot enkelte svindelrelaterte tilbakeføringskrav på kvalifiserte bestillinger.

Shopify Protect er bare tilgjengelig for butikker som er basert i USA og har en amerikansk Shopify Payments-konto. Tjenesten er ikke tilgjengelig for norske butikker. Kvalifiserte Shop Pay-bestillinger kan beskyttes når kravene til blant annet behandling, sporing og transportør er oppfylt. Ved et dekket tilbakeføringskrav refunderer Shopify det omtvistede beløpet og gebyret for tilbakeføringen.

Wyllo (tidligere NoFraud)

Wyllo, tidligere NoFraud, er en Shopify-app som integreres med nettbutikken din. Den bruker kunstig intelligens og maskinlæring til å vurdere bestillinger og oppdage svindel og misbruk. Avhengig av abonnementet kan du også få manuell ekspertvurdering av bestillinger som trenger nærmere kontroll.

Wyllo tilbyr også en valgfri garanti mot visse svindelrelaterte tilbakeføringskrav. Hvis en godkjent og dekket transaksjon senere fører til et slikt krav, kan du få erstatning etter vilkårene for garantien. Dekningen avhenger blant annet av abonnementet og den avtalte garantigrensen.