Kort samengevat: ATO-detectie op sessielaag tegenover residentiële proxy
- Kern-fraudemotoren van banken scoren de zojuist plaatsgevonden transactie uitstekend en zijn blind voor het apparaat dat hem uitvoerde, waardoor een geldige credential op een residentiële proxy er dwars doorheen loopt.
- cside geeft device-fingerprint, TLS-handshake-fingerprint VPN-status, AI-agent-detectie en nieuw-apparaat-op-bekende-rekening terug over de drie fintech-vectoren, gekoppeld aan $13,5 miljard aan US ATO-verliezen in 2025 (18% stijging t.o.v. 2024, 6 miljoen consumenten geraakt, volgens Javelin), en volledig SOC 2 Type II gecertificeerd.
- Behandelt je risicomodel een schoon residentieel IP nog steeds als schoon, voeg de sessielaag toe. Staan synthetische identiteitsringen niet op je P&L, houd de rules engine die je hebt.
Bankfraudepreventiesoftware moet drie aanvalsvectoren tegelijk afdekken: accountovername met gestolen inloggegevens, nieuwe-accountfraude bij de onboarding en synthetische-identiteitsfraude die standaard KYC doorstaat. Elk van deze laat een signaal achter in de browser dat server-side fraudeplatforms nooit verzamelen, en daarom is detectie in de browserlaag een noodzakelijke aanvulling geworden op de kerninfrastructuur voor bankfraude.
De drie belangrijkste fraudevectoren in de financiële sector
Accountovername is de fraudevector met het grootste volume in het bankwezen. Een aanvaller bemachtigt een geldig paar inloggegevens, meestal uit een datalek of een phishingcampagne, en gebruikt dat om in te loggen. De inloggegevens kloppen. Het apparaat niet. Een echte rekeninghouder bouwt na verloop van tijd een geschiedenis van device fingerprints op, terwijl de aanvaller opduikt vanaf een apparaat dat de rekening nog nooit heeft gezien.
Nieuwe-accountfraude richt zich op het proces van het openen van een account. Fraudeurs vragen accounts, kredietproducten of leningen aan met gestolen of synthetische identiteiten die zijn opgebouwd uit een mix van echte en verzonnen gegevens. Het doel is toegang krijgen tot krediet, geld witwassen of accounts opzetten voor later frauduleus gebruik.
Synthetische-identiteitsfraude is van de drie het lastigst te vangen op het moment van aanvraag. Een synthetische identiteit doorstaat doorgaans standaard KYC omdat ze genoeg echte gegevens bevat om de verificatie te bevredigen. Het signaal komt naar voren in het apparaatpatroon. Eén apparaat dat meerdere accounts opent met verschillende identiteitsgegevens is het kenmerk van een netwerk voor synthetische identiteiten.
Waar server-side tools een detectiegat hebben
Kernplatforms voor bankfraude scoren transacties en accountgebeurtenissen met rules-engines en machine learning die getraind zijn op historische data. Ze werken goed voor het opsporen van afwijkende transactiepatronen zodra een account is aangemaakt en actief is.
Wat ze niet verzamelen, zijn browsersignalen. Wanneer een aanvaller een geldig paar inloggegevens gebruikt vanaf een nieuw apparaat op een residentiële proxy, ziet de server-side controle geldige inloggegevens, een schoon IP-adres en geen transactieafwijking. Elke controle wordt doorstaan. Het apparaat achter de proxy, de browser-fingerprint die het presenteert en het feit dat er mogelijk een script aan de knoppen zit, blijven onzichtbaar voor de server-side laag.
De accountovernameverliezen in de VS bereikten $13,5 miljard in 2025, een stijging van 18% ten opzichte van 2024, waarmee 6 miljoen consumenten werden getroffen, met accounts in de financiële sector als primair doelwit (Javelin Strategy & Research 2026).
| Jaar | Accountovernameverliezen in de VS |
|---|---|
| 2024 | $11,4 mld |
| 2025 | $13,5 mld |
De browser is de enige laag waar de apparaatmismatch zichtbaar is. Een signaaltool voor de browserlaag verzamelt de device fingerprint, TLS-kenmerken en sessiegedrag bij het laden van de pagina, voordat er een authenticatieverzoek plaatsvindt. Dat is het gat dat tools voor de browserlaag zijn gebouwd om te dichten.
Waarom residentiële proxy's IP-gebaseerde controles verslaan
Rate limiting per IP en controles op IP-reputatie zijn standaardonderdelen van een bankfraudestack. Op zichzelf zijn ze niet genoeg, omdat residentiële-proxydiensten aanvallers IP-adressen aanreiken zonder enige fraudegeschiedenis.
Residentiële proxy's leiden aanvalsverkeer door echte consumenteninternetverbindingen, zodat elk verzoek binnenkomt op een schoon residentieel IP-adres. Reputatiesystemen hebben niets om te markeren. De aanvaller wisselt tussen pogingen van IP-adres, zodat rate limits per IP nooit worden overschreden.
TLS handshake fingerprint-TLS-fingerprinting identificeert VPN- en proxyverbindingen aan de hand van de TLS-handshake zelf, onafhankelijk van het IP-adres. Een residentiële proxy heeft een consistente TLS handshake fingerprint-signatuur die verschilt van een standaardbrowser die rechtstreeks verbinding maakt. Gecombineerd met een nieuwe device fingerprint op een bekende rekening is dat een ATO-signaal met hoge zekerheid dat IP-gebaseerde controles niet kunnen produceren.
cside-signalen uit de browserlaag voor elke fintechvector
cside-fraudedetectie in de browserlaag sluit aan op elk van de drie bankfraudevectoren met specifieke signaaloutputs.
Bij accountovername laat de device fingerprint zien of de sessie afkomstig is van een apparaat dat de rekening eerder heeft gebruikt. Het TLS handshake fingerprint-TLS-signaal laat zien of de verbinding via een VPN of proxy loopt. Een nieuwe fingerprint plus een proxyverbinding op een rekening met hoge waarde is een risicosignaal met hoge prioriteit. cside markeert ook AI-agents die de browsersessie aansturen, waaronder Playwright, Puppeteer, OpenAI Operator en Claude for Chrome, die opduiken in geautomatiseerde credential-stuffing-campagnes.
Bij nieuwe-accountfraude koppelt de device fingerprint meerdere aanvragen aan hetzelfde apparaat, zelfs wanneer de aanvrager cookies wist of van browser wisselt. Eén apparaat dat in een kort tijdsbestek meerdere accountaanvragen indient met verschillende persoonsgegevens is een sterk signaal voor nieuwe-accountfraude dat identiteitsverificatie alleen niet kan produceren.
Bij synthetische-identiteitsfraude is het apparaatpatroon het belangrijkste signaal. Een netwerk voor synthetische identiteiten maakt meerdere identiteiten aan en opent met elk daarvan een account. Elke identiteit doorstaat KYC afzonderlijk. Over accounts heen bekeken koppelt de device fingerprint ze terug aan hetzelfde apparaat of een kleine cluster apparaten, wat het netwerk blootlegt.
Integratie met je bestaande fraudestack
cside geeft zijn signalen terug als een JSON-API-respons. Je bestaande fraud-rules-engine leest die signalen naast transactiedata en voegt zo een set features uit de browserlaag toe aan de scoringlogica die je al draait.
De integratie bestaat uit een scripttag op je login- en accountopeningspagina's. Het script verzamelt browsersignalen en geeft een sessietoken terug. Je backend zoekt de set signalen voor dat token op wanneer het de authenticatie- of aanvraaggebeurtenis verwerkt.
cside is SOC 2 Type II-gecertificeerd. Cookieloze device fingerprinting betekent dat er geen persoonlijk identificeerbare informatie wordt opgeslagen of verzonden, wat aansluit bij een grondslag van gerechtvaardigd belang onder de AVG en de administratieve last van consentbeheer vermijdt die PII-gebaseerde apparaattracking met zich meebrengt. De certificering past bij standaard leveranciersbeveiligingsbeoordelingen in het bankwezen.
Compliancepositie
De SOC 2 Type II-certificering dekt de controls op het gebied van beveiliging, beschikbaarheid en vertrouwelijkheid rond het verzamelen en verwerken van signalen door cside. Dit is de certificering die beveiligingsteams in de financiële sector doorgaans vereisen bij het onboarden van een nieuwe leverancier.
Cookieloze fingerprinting leidt de apparaatidentificatie volledig af uit browser- en hardwarekenmerken, zonder afhankelijkheid van cookies of local storage. De fingerprint blijft consistent over sessies heen zonder PII op te slaan op het apparaat van de gebruiker, waardoor de AVG-toestemmingsvereisten voor trackingcookies niet van toepassing zijn.
PCI DSS-vereisten 6.4.3 en 11.6.1 zijn sinds maart 2025 verplicht. cside produceert een PCI-compliancerapport in 2 seconden, gevalideerd door een QSA van VikingCloud. Voor banken die betaalkaartprogramma's draaien of card-not-present-acceptatie ondersteunen, is die PCI-dekking een extra voordeel naast de functie van fraudesignalen.
