Den här artikeln går igenom de bedrägerityper som drabbar webbutiker, hur du känner igen och förebygger var och en, och hur du agerar när ett bedrägeri har skett.
Frågan är inte om en webbutik utsätts för betalningsbedrägerier, utan när. De flesta webbutiker råkar ut för bedrägeriförsök redan under sitt första år. Den goda nyheten är att du kan minska risken kraftigt med verifiering, bevakning och kloka regler.
De tre vanligaste typerna av betalningsbedrägerier mot webbutiker
Chargebacks
En chargeback uppstår när en kund hävdar att hen inte godkänt en transaktion och ber kortutfärdaren eller banken att reversera betalningen. Kunden får tillbaka pengarna, du förlorar både varan och betalningen, och du betalar dessutom en chargebackavgift (vanligen 15-100 USD). Några enstaka chargebacks är normalt i e-handel, men för många (oftast 1 % av transaktionsvolymen eller mer) kan leda till att betalleverantören stänger ditt konto.
Chargebacks delas in i två grupper: berättigade (kundens konto hackades på riktigt eller varan kom aldrig fram) och bedrägliga (kunden fick varan men hävdar felaktigt att hen inte gjorde det). Du kan inte förhindra alla chargebacks, men du kan försvara dig mot falska genom att spara tydliga uppgifter om leverans, leveransbekräftelse och kundkontakt.
Transaktioner med stulna kort
En bedragare använder ett stulet kortnummer för att handla i din butik. Hen kan köpa stora kvantiteter eller lägga flera små beställningar för att undgå upptäckt. Kortinnehavaren ser till slut obehöriga debiteringar på kontoutdraget, begär en chargeback och du får stå för förlusten. Din andel chargebacks rusar i höjden, och om de överstiger 1 % av din månadsvolym kan betalleverantören återkalla ditt konto.
Kontokapning och "vänligt bedrägeri"
En bedragare tar sig in på en riktig kunds konto (genom nätfiske, återanvända lösenord eller dataintrång) och använder de sparade betaluppgifterna för obehöriga köp. Kunden upptäcker debiteringen, hävdar att hen inte godkänt den och begär en chargeback. Då förlorar du pengar två gånger: till bedragaren och genom chargebackavgiften. Det kallas ibland "vänligt bedrägeri" eftersom transaktionen först ser legitim ut.
Så upptäcker du bedrägerier innan de kostar dig pengar
Se upp för riskfyllda beställningsmönster
Vissa mönster tyder på hög risk för bedrägeri. Beställningar som kombinerar flera av dessa varningssignaler bör du undersöka innan du skickar:
- Stora eller dyra beställningar från en ny kund utan tidigare köp
- Faktureringsadress och leveransadress i olika länder
- Flera beställningar med samma kort men olika kundnamn
- Beställningar som läggs vid ovanliga tider (utanför din vanliga trafiktid)
- Önskemål om expressleverans eller leverans över natten
- Helt olika leverans- och faktureringsadresser (adressmismatch)
- Flera beställningar till samma leveransadress under kort tid
- Ogiltiga eller motsägelsefulla kunduppgifter (namnformat, avvikande e-postadress)
Ingen enskild signal betyder att en beställning säkert är ett bedrägeri, men en kombination motiverar att du pausar. Kontakta kunden och verifiera beställningen innan du behandlar den. Äkta kunder bekräftar. Bedragare ger ofta upp när de ombeds verifiera.
Bevaka plötsliga ökningar av chargebacks
Din betalleverantör skickar ett meddelande varje gång du får en chargeback. Följ dem regelbundet. En plötslig ökning (redan 3-5 på en vecka) kan tyda på att din butik har utsatts för ett angrepp eller att dina kontouppgifter har läckt. Undersök beställningarna bakom chargebacksen och leta efter mönster: gäller det alltid samma produkt? Samma region? Samma betalsätt? När du förstår mönstret kan du stoppa liknande bedrägerier innan de upprepas.
Verktyg och verifieringsmetoder mot bedrägerier
Adressverifiering (AVS)
AVS kontrollerar om den faktureringsadress som kunden angett stämmer med adressen som kortutfärdaren har registrerad. De flesta betalleverantörer kör AVS automatiskt på varje transaktion. En avvikande adress betyder inte alltid bedrägeri (folk flyttar, använder postbox eller skriver adressen på olika sätt), men det är en signal att undersöka. Får du många beställningar där AVS inte stämmer kan du neka transaktioner som misslyckas med kontrollen, men då nekas även en del äkta kunder.
CVV-verifiering
CVV (Card Verification Value) är den tre- eller fyrsiffriga säkerhetskoden på kortet. När kunden måste ange CVV i kassan visar det att hen har själva kortet (eller ett foto av det), vilket minskar risken för bedrägerier med enbart stulna kortnummer. Alla större betalleverantörer kräver CVV-verifiering som standard.
Autentisering med 3D Secure (3DS)
3D Secure lägger till ett extra steg i kassan: efter att kunden angett betaluppgifterna skickas hen till sin bank för att styrka sin identitet (oftast med lösenord eller engångskod). Det minskar butikens bedrägeriansvar och antalet chargebacks eftersom ansvaret flyttas till kortinnehavarens bank. Många betalleverantörer använder numera 3DS som standard för vissa transaktioner eller regioner. Även om det tar några sekunder extra i kassan är skyddet värt den lilla friktionen.
Tjänster för bedrägeridetektering
Många tjänster för bedrägeridetektering använder maskininlärning för att analysera transaktionsmönster och flagga misstänkta beställningar i realtid. De kostar pengar (vanligen 500-2 000 USD eller mer per månad för en växande butik), men om du får hundratals beställningar i månaden överstiger kostnaden för chargebacks ofta kostnaden för tjänsten. WEMASY-butiker har tillgång till grundläggande bedrägeribevakning via sin betalleverantör och kan koppla på ytterligare tjänster för extra skydd om butiken behöver det.
Förebyggande strategier som fungerar
Kräv telefonverifiering för riskfyllda beställningar
Innan du skickar en beställning med flera varningssignaler (stort belopp, ny kund, avvikande adress) bör du ringa kunden och bekräfta beställningen. Äkta kunder väntar sig det och bekräftar gärna. Bedragare svarar sällan, och gör de det erkänner de ofta att de inte känner igen beställningen när de konfronteras direkt.
Använd leveransbekräftelse och spårning
Skicka alltid med en transportör som erbjuder spårning och leveransbekräftelse. När en kund begär en chargeback och hävdar att varan aldrig kom kan du bevisa leveransen genom att lämna spårningsnumret och leveranskvittot till din betalleverantör. Det är ditt starkaste försvar mot chargebacks. Skicka aldrig utan spårning, inte ens om kunden ber dig om det.
Spara tydliga uppgifter om kundkontakten
Om en kund hör av sig med frågor före eller efter en beställning ska du spara meddelandena. Om kunden senare hävdar att hen inte godkänt köpet visar de meddelandena (där hen bekräftade beställningen, frågade om storlek eller följde leveransen) att transaktionen var godkänd. Dokumentera allt i ditt kundsupportsystem.
Sätt gränser och begränsningar för frakt
Du kan minska exponeringen genom att begränsa hur mycket en ny kund får handla för i sin första beställning. Låt till exempel nya kunder handla för upp till 200 USD, men kräv manuell granskning för beställningar över den gränsen. Du kan också begränsa frakten till högriskregioner (länder med känd bedrägeriverksamhet) eller till adresser som skiljer sig kraftigt från faktureringsadressen. Gränserna bromsar äkta kunder något, men de minskar också bedrägeriförlusterna rejält.
Så gör du när du får en chargeback
Agera direkt
Betalleverantörer ger dig oftast 10-30 dagar på dig att svara på en chargeback. Börja samla bevis direkt. Första steget är att hämta hela transaktionsunderlaget: orderuppgifter, betaluppgifter, fakturerings- och leveransadress, kundens e-postadress och all kommunikation med kunden. Om ordern skickades hämtar du spårningsnummer och leveransbekräftelse från transportören.
Avgör om chargebacken är berättigad eller falsk
Läs orsakskoden som din leverantör anger. Vanliga koder är "kunden bestrider transaktionen" (vagt), "varan inte mottagen" (fysisk vara), "kortet inte närvarande" (kunden hävdar att hen aldrig godkänt köpet) eller "dubbel transaktion" (kunden hävdar att hen debiterats två gånger). Orsakskoden visar vad kortinnehavaren påstod och styr hur du ska svara.
Samla bevis
Din betalleverantör ber dig visa att transaktionen var godkänd och att varan levererades. Samla:
- Bevis på godkännande: den ursprungliga auktoriseringskoden från betalleverantören, bekräftelse på att CVV-verifieringen lyckades, bevis på 3DS-autentisering eller kopior av kundkommunikation som bekräftar beställningen
- Bevis på leverans: frakt- och spårningsuppgifter som visar att varan levererades till den adress kunden angav, med kvittering om sådan finns
- Bevis på kundkommunikation: e-postmeddelanden, meddelanden eller supportärenden där kunden bekräftade beställningen eller inte bestred den förrän chargebacken kom
Skicka in ditt svar på chargebacken
Logga in på ditt konto hos betalleverantören och skicka in bevisen som svar på chargebacken. Var tydlig och konkret. Lämna inte bara en hög filer, utan skriv en förklaring av vad varje bevis visar. Till exempel: "Spårningen visar leveransbekräftelse till den adress som angavs i kassan den [datum]." Din leverantör skickar underlaget vidare till kortutfärdaren för granskning.
Vet när du ska acceptera förlusten
Om chargebacken är berättigad (kunden fick verkligen inte varan eller kontot blev komprometterat utan att det var ditt fel) vinner du kanske inte tvisten. Acceptera chargebackavgiften som en kostnad för att driva butik, återbetala kunden om relationen är värdefull och gå vidare. Att kämpa mot en chargeback du ändå förlorar kostar tid och skadar kundrelationen. Spara krafterna till de falska chargebacks där du har starka bevis.
Så skyddar WEMASY din butik
WEMASY:s e-handelssystem fungerar tillsammans med de stora betalleverantörerna och har inbyggda skydd: säkra betalsidor som uppfyller PCI-kraven, CVV-verifiering vid varje transaktion och bevakningsverktyg som flaggar riskfyllda beställningar. Din WEMASY-butik sparar också detaljerade uppgifter om alla transaktioner, kundadresser och leveranser. Det är allt du behöver för att försvara dig mot chargebacks.
Vid komplicerade bedrägerifall, eller om din andel chargebacks ökar, kan WEMASY:s support hjälpa dig granska mönstren och föreslå fler säkerhetsåtgärder. Se vad som ingår i din plan.
Vanliga frågor
Vad ska jag göra om en kund hävdar att hen inte fått en beställd vara?
Kontrollera först dina fraktuppgifter. Om paketet enligt spårningen är levererat är det ditt främsta försvar mot en chargeback. Skicka kunden ett meddelande med spårningslänken och be hen kontrollera med transportören eller grannarna. Om kunden verkligen inte fått paketet och du har bevis på leverans har du underlag för att vinna en chargebacktvist. Om paketet aldrig levererades bör du återbetala kunden direkt och göra en reklamation hos transportören. Transportören ansvarar för försvunna försändelser och ska ersätta din fraktkostnad.
Hur vet jag om min butik har blivit utsatt för ett intrång?
Se upp för dessa tecken: ett plötsligt hopp i antalet chargebacks (fler än 2-3 på en vecka), flera beställningar från samma IP-adress eller e-postdomän, beställningar med ovanliga mönster (alla till en region, alla med samma produkt, alla med leverans över natten) eller en ökning av misslyckade betalförsök. Om du ser något av detta ska du byta administratörslösenord direkt, granska loggarna över användaråtkomst och kontakta din betalleverantör för att anmäla misstänkt bedrägeri. Leverantören kan flagga misstänkt aktivitet på ditt konto och hjälpa dig hitta källan.
Vad kostar en chargeback?
En chargeback kostar dig vanligen tre saker: varan eller tjänsten du levererade (borta), betalningsbeloppet (reverseras och går tillbaka till kunden) och en chargebackavgift (oftast 15-100 USD beroende på betalleverantör). På en order på 100 USD med en avgift på 25 USD förlorar du alltså 125 USD totalt. Flera chargebacks skadar också din kontostatus hos betalleverantören, och för många kan leda till att kontot stängs. Därför är förebyggande arbete avgörande.
Är det okej att vägra skicka till vissa länder för att minska risken för bedrägerier?
Ja, inom gränser. Du kan begränsa frakten till vissa regioner om du har en berättigad oro för bedrägerier. Att blockera hela länder utifrån antaganden kan dock utestänga äkta kunder och skada din försäljning. Ett bättre sätt är att kräva extra verifiering (som 3D Secure eller manuell granskning) för beställningar till högriskregioner i stället för att blockera dem helt. Då kan du betjäna fler kunder och ändå hålla koll på riskerna.
Vad är skillnaden mellan en chargeback och en återbetalning?
En återbetalning är när du (butiksägaren) lämnar tillbaka kundens pengar. Du behåller din marginal eller begränsar förlusten, och kunden blir nöjd. En chargeback är när kunden går förbi dig och ber sin bank reversera betalningen. Du förlorar varan, hela betalningen och en avgift, och din andel chargebacks ökar. Erbjud alltid en återbetalning innan kunden hunnit begära en chargeback. En återbetalning kostar dig mindre än en chargeback.
Hur ställer jag in en säker kassa i min webbutik?
Börja med krypterade kassasidor, CVV-verifiering och leveransbekräftelse för varje försändelse. WEMASY:s webbplatsbyggare har en säker e-handelskassa med inbyggda betalskydd, så att du kan fokusera på bedrägeribevakning i stället för teknisk konfiguration.