Dit artikel behandelt de soorten fraude die webshops treffen, hoe je ze herkent en voorkomt, en wat je doet als fraude toch gebeurt.
Betalingsfraude is geen kwestie van of, maar van wanneer. De meeste webshops krijgen in hun eerste jaar met een poging tot fraude te maken. Het goede nieuws: met verificatie, controle en slim beleid verklein je het risico enorm.
De drie meest voorkomende soorten betalingsfraude bij webshops
Chargebacks
Bij een chargeback zegt een klant dat hij een transactie niet heeft goedgekeurd en vraagt hij zijn creditcardmaatschappij of bank om het bedrag terug te boeken. De klant krijgt zijn geld terug, jij verliest het product en de betaling, en je betaalt kosten voor de chargeback (meestal $15-$100). Een handjevol chargebacks is normaal in e-commerce, maar te veel (meestal 1% van je transacties of meer) kan ertoe leiden dat betaalproviders je account beëindigen.
Chargebacks vallen in twee groepen: terechte chargebacks (het account van de klant is echt gehackt of het product is nooit aangekomen) en frauduleuze chargebacks (de klant heeft het product wel ontvangen, maar beweert van niet). Je kunt niet alle chargebacks voorkomen, maar je kunt je wel verweren tegen valse door duidelijke gegevens bij te houden over verzending, bezorgbevestiging en contact met de klant.
Betalingen met gestolen kaarten
Een crimineel gebruikt een gestolen creditcardnummer om bij jouw webshop iets te kopen. Vaak koopt hij in grote hoeveelheden of plaatst hij meerdere kleine bestellingen om niet op te vallen. De kaarthouder ziet uiteindelijk onbekende afschrijvingen op zijn afschrift, start een chargeback en jij blijft met het verlies zitten. Je chargebackpercentage schiet omhoog, en als de chargebacks meer dan 1% van je maandelijkse volume zijn, kan je betaalprovider je account intrekken.
Accountovername en vriendelijke fraude
Een crimineel krijgt toegang tot het account van een echte klant (via phishing, hergebruikte wachtwoorden of datalekken) en gebruikt de opgeslagen betaalgegevens voor aankopen zonder toestemming. De klant ziet de afschrijving, zegt dat hij die niet heeft goedgekeurd, start een chargeback en jij verliest dubbel: aan de fraudeur en nog eens via de chargebackkosten. Dit heet soms "vriendelijke fraude", omdat de transactie op het eerste gezicht gewoon lijkt te kloppen.
Zo herken je fraude voordat het je geld kost
Let op risicovolle bestelpatronen
Bepaalde patronen wijzen sterk op fraude. Bestellingen met meerdere van deze signalen zijn het waard om te controleren voordat je verzendt:
- Grote aantallen of bestellingen met een hoge waarde van een nieuwe klant zonder bestelgeschiedenis
- Factuuradres en verzendadres in verschillende landen
- Meerdere bestellingen met dezelfde creditcard maar op verschillende klantnamen
- Bestellingen op ongebruikelijke tijden (buiten je normale drukte)
- Verzoeken om spoedverzending met levering de volgende dag of express
- Totaal verschillende verzend- en factuuradressen (adres komt niet overeen)
- Meerdere bestellingen naar hetzelfde verzendadres in korte tijd
- Ongeldige of tegenstrijdige klantgegevens (vorm van de naam, e-mailadres dat niet klopt)
Eén signaal betekent nog niet dat een bestelling fraude is, maar een combinatie is reden om even te stoppen. Neem contact op met de klant om de bestelling te bevestigen voordat je hem verwerkt. Echte klanten bevestigen. Fraudeurs haken vaak af als je om verificatie vraagt.
Houd plotselinge pieken in chargebacks in de gaten
Je betaalprovider stuurt je een melding bij elke chargeback. Houd die goed bij. Een plotselinge piek in chargebacks (al 3-5 in één week) kan betekenen dat je webshop doelwit is of dat je inloggegevens zijn gelekt. Onderzoek de bijbehorende bestellingen op patronen: gaat het steeds om hetzelfde product? Dezelfde regio? Dezelfde betaalmethode? Als je het patroon kent, kun je vergelijkbare fraude blokkeren voordat het opnieuw gebeurt.
Hulpmiddelen en verificatiemethoden tegen fraude
Adresverificatie (AVS)
AVS controleert of het factuuradres dat de klant invult overeenkomt met het adres dat de creditcardmaatschappij kent. De meeste betaalproviders voeren AVS automatisch uit bij elke transactie. Een afwijkend adres betekent niet altijd fraude (mensen verhuizen, gebruiken postbussen of vullen adressen niet altijd hetzelfde in), maar het is wel een signaal om uit te zoeken. Krijg je veel bestellingen waarbij AVS niet klopt, dan kun je transacties weigeren die deze controle niet doorstaan, al weiger je dan ook een aantal echte klanten.
CVV-controle
De CVV (Card Verification Value) is de beveiligingscode van drie of vier cijfers op de achterkant van een creditcard. Als klanten de CVV bij het afrekenen invullen, laten ze zien dat ze de kaart zelf bij de hand hebben (of een foto ervan) en verklein je het risico op fraude met alleen een gestolen kaartnummer. Alle grote betaalproviders eisen CVV-controle als standaard.
3D Secure (3DS)
3D Secure voegt een extra stap toe aan het afrekenen: nadat de klant de betaalgegevens heeft ingevuld, gaat hij naar zijn bank om zijn identiteit te bevestigen (meestal met een wachtwoord of eenmalige code). Dit verkleint de kans op fraude en chargebacks voor je webshop, omdat de verantwoordelijkheid bij de bank van de kaarthouder komt te liggen. Veel betaalproviders gebruiken 3DS inmiddels standaard bij bepaalde transacties of regio's. Ook al kost het een paar seconden extra bij het afrekenen, de bescherming tegen fraude is die kleine drempel waard.
Diensten voor fraudedetectie
Veel diensten voor fraudedetectie gebruiken machine learning om transactiepatronen te analyseren en verdachte bestellingen direct te markeren. Ze kosten geld (meestal $500-$2.000+ per maand voor een groeiende webshop), maar als je honderden bestellingen per maand krijgt, zijn de kosten van chargebacks vaak hoger dan de kosten van fraudedetectie. WEMASY-webshops hebben via hun betaalprovider toegang tot basiscontrole op fraude en kunnen extra diensten voor fraudedetectie koppelen voor extra bescherming als je webshop dat nodig heeft.
Aanpak die werkt
Vraag telefonische bevestiging bij risicovolle bestellingen
Voordat je een bestelling verzendt met meerdere fraudesignalen (hoog bedrag, nieuwe klant, adres dat niet klopt), bel je de klant om de bestelling te bevestigen. Echte klanten verwachten dit en bevestigen graag. Fraudeurs nemen zelden op, en als ze dat wel doen, geven ze vaak toe dat ze de bestelling niet herkennen als je het direct vraagt.
Gebruik bezorgbevestiging en track-and-trace
Verzend altijd met een vervoerder die tracking en bezorgbevestiging biedt. Start een klant een chargeback omdat hij het product nooit heeft ontvangen, dan bewijs je de bezorging met het trackingnummer en de handtekening bij aflevering via je betaalprovider. Dat is je sterkste verweer tegen chargebacks. Verzend nooit zonder tracking, ook niet als de klant erom vraagt.
Bewaar duidelijke gegevens van het contact met klanten
Stelt een klant vóór of na een bestelling vragen, bewaar die berichten dan. Beweert hij later dat hij de transactie niet heeft goedgekeurd, dan bewijzen die berichten (waarin hij de bestelling bevestigde, naar de maat vroeg of de levering volgde) dat de transactie klopte. Leg alles vast in je klantenservicesysteem.
Stel beperkingen en limieten in voor verzending
Je beperkt je risico op fraude door te bepalen hoeveel een nieuwe klant bij de eerste bestelling mag uitgeven. Laat nieuwe klanten bijvoorbeeld tot $200 bestellen, maar controleer bestellingen daarboven handmatig. Beperk verzending ook naar adressen in risicogebieden (landen waar veel fraude vandaan komt) of naar adressen die sterk afwijken van het factuuradres. Deze limieten vertragen echte klanten een heel klein beetje, maar ze verlagen het verlies door fraude flink.
Wat je doet als je een chargeback krijgt
Handel meteen
Betaalproviders geven je meestal 10-30 dagen om op een chargeback te reageren. Begin direct met bewijs verzamelen. De eerste stap is het volledige transactiedossier ophalen: de bestelgegevens, betaalgegevens, factuur- en verzendadres, het e-mailadres van de klant en al het contact met de klant. Is de bestelling verzonden, vraag dan het trackingnummer en de bezorgbevestiging bij je vervoerder op.
Bepaal of de chargeback terecht of onterecht is
Lees de redencode die je betaalprovider meegeeft. Veelvoorkomende codes zijn "klant betwist transactie" (vaag), "product niet ontvangen" (fysiek product), "transactie zonder aanwezige kaart" (klant zegt dat hij die nooit heeft goedgekeurd) of "dubbele transactie" (klant zegt dat hij twee keer is belast). De redencode laat zien wat de kaarthouder beweert en bepaalt hoe je reageert.
Verzamel bewijs
Je betaalprovider vraagt je om bewijs dat de transactie is goedgekeurd en het product is bezorgd. Verzamel:
- Bewijs van goedkeuring: de oorspronkelijke autorisatiecode van de betaalprovider, bevestiging dat de CVV-controle is geslaagd, bewijs van 3DS-verificatie of kopieën van contact met de klant waarin de bestelling wordt bevestigd
- Bewijs van bezorging: verzend- en trackinggegevens die laten zien dat het product is bezorgd op het adres dat de klant heeft opgegeven, met een handtekening als die er is
- Bewijs van contact met de klant: e-mails, berichten of supporttickets waarin de klant zijn bestelling bevestigde of er niets over zei tot de chargeback
Dien je reactie op de chargeback in
Log in op je account bij de betaalprovider en stuur je bewijs mee als reactie op de chargeback. Wees duidelijk en concreet. Stuur niet alleen bestanden, maar leg er in een tekst bij uit wat elk stuk bewijs aantoont. Bijvoorbeeld: "De trackinggegevens tonen bezorgbevestiging op het adres dat bij het afrekenen is opgegeven op [datum]." Je betaalprovider stuurt dit door naar de bank die de kaart heeft uitgegeven.
Weet wanneer je het verlies moet nemen
Is de chargeback terecht (de klant heeft het product echt niet ontvangen of zijn account is gehackt buiten jouw schuld), dan win je het geschil mogelijk niet. Neem de chargebackkosten dan als bedrijfskosten, betaal de klant terug als je de relatie wilt behouden en ga verder. Vechten tegen een chargeback die je toch verliest kost tijd en schaadt de relatie met je klant. Bewaar je energie voor valse chargebacks waarbij je sterk bewijs hebt.
Zo beschermt WEMASY je webshop
Het e-commercesysteem van WEMASY werkt samen met grote betaalproviders en heeft ingebouwde beveiliging: veilige betaalpagina's die voldoen aan de PCI-eisen, CVV-controle bij elke transactie en hulpmiddelen om risicovolle bestellingen te markeren. Je WEMASY-webshop bewaart ook gedetailleerde gegevens van alle transacties, klantadressen en bezorging. Met die gegevens kun je je goed verweren tegen chargebacks.
Bij ingewikkelde fraude of als je chargebackpercentage stijgt, helpt het supportteam van WEMASY je om patronen te bekijken en extra beveiliging aan te raden. Bekijk wat er in jouw abonnement zit.
Veelgestelde vragen
Wat doe ik als een klant zegt dat hij een bestelling niet heeft ontvangen?
Controleer eerst je verzendgegevens. Staat het pakket volgens de tracking als bezorgd, dan is dat je belangrijkste verweer tegen een chargeback. Stuur de klant een bericht met de trackinglink en vraag hem het te navragen bij de vervoerder of de buren. Heeft hij het echt niet ontvangen en heb jij bewijs van bezorging, dan heb je het bewijs om een chargeback te winnen. Blijkt het pakket nooit te zijn bezorgd, betaal de klant dan meteen terug en dien een claim in bij je vervoerder. De vervoerder is verantwoordelijk voor verloren zendingen en hoort je verzendkosten te vergoeden.
Hoe weet ik of mijn webshop is gehackt?
Let op deze signalen: een plotselinge toename van chargebacks (meer dan 2-3 in een week), meerdere bestellingen vanaf hetzelfde IP-adres of hetzelfde e-maildomein, bestellingen met een ongewoon patroon (allemaal naar één regio, allemaal hetzelfde product, allemaal met nachtlevering) of een piek in mislukte betaalpogingen. Zie je een van deze signalen, verander dan meteen je beheerderswachtwoord, bekijk je toegangslogboeken en meld vermoedelijke fraude bij je betaalprovider. Je provider kan verdachte activiteit op je account markeren en helpt je de bron te vinden.
Wat kost een chargeback?
Een chargeback kost je meestal drie dingen: het product of de dienst die je hebt geleverd (kwijt), het betaalde bedrag (teruggeboekt naar de klant) en chargebackkosten (meestal $15-$100, afhankelijk van je betaalprovider). Bij een bestelling van $100 en $25 chargebackkosten verlies je in totaal $125. Meerdere chargebacks schaden ook de status van je account bij je betaalprovider, en bij te veel kan je account worden beëindigd. Daarom is voorkomen zo belangrijk.
Mag ik weigeren naar bepaalde landen te verzenden om fraude te beperken?
Ja, binnen grenzen. Je mag verzending naar bepaalde regio's beperken als je een gegronde reden hebt om fraude te vrezen. Maar hele landen blokkeren op basis van aannames kan ook echte klanten buitensluiten en je omzet schaden. Beter is om extra verificatie te vragen (zoals 3D Secure of handmatige controle) bij bestellingen naar risicovollere regio's in plaats van ze helemaal te blokkeren. Zo bedien je meer klanten en beheers je toch het risico op fraude.
Wat is het verschil tussen een chargeback en een terugbetaling?
Bij een terugbetaling geef jij (de eigenaar van de webshop) het geld van de klant terug. Je houdt je marge of beperkt je verlies, en de klant is tevreden. Bij een chargeback gaat de klant langs je heen en vraagt hij zijn bank de betaling terug te boeken. Je verliest het product, de volledige betaling en betaalt kosten, en je chargebackpercentage stijgt. Bied altijd eerst een terugbetaling aan voordat een klant een chargeback start. Een terugbetaling kost je minder dan een chargeback.
Hoe zet ik een veilige kassa op in mijn webshop?
Begin met versleutelde betaalpagina's, CVV-controle en bezorgbevestiging bij elke zending. De websitebouwer van WEMASY heeft een veilige kassa met ingebouwde betaalbescherming, zodat je je kunt richten op het in de gaten houden van fraude in plaats van op technische instellingen.