Kort samengevat: payment-fraudedetectiesoftware
- Het hiaat: Er is een checkout-bewijskloof. Server-side risicoscores missen de client-side device-continuïteit die Visa CE 3.0 vereist.
- De cijfers: 60-80% van e-commerce-chargebacks is friendly fraud, geen crimineel. Standaardbewijs wint 15-20%. CE 3.0-bewijs wint 40-60%.
- De oplossing: Device-fingerprinting bij checkout legt de CE 3.0-signalenset vast. Zelfde device op eerdere onbetwiste orders creëert een vermoeden van legitimiteit.
Weinig tijd? Bekijk cside's chargeback-bewijstooling. Dit dekt alles hieronder in één deployment.
Het bewijsgat bij betaalfraude
Een frauduleuze transactie en een legitieme zien er in de database identiek uit. Het kaartnummer kwam door de validatie, het factuuradres kwam overeen, de CVV klopte en de bestelling werd verzonden. Het verschil komt pas naar boven wanneer de echte kaarthouder een dispuut indient, meestal 30 tot 90 dagen later.
Tegen die tijd is de browsersessie verdwenen. De device fingerprint, de VPN- of proxy-status en de manier waarop het checkoutformulier is ingevuld, bestonden allemaal alleen in de browser tijdens die paar minuten. Als niets het op dat moment heeft vastgelegd, kan het niet worden gereconstrueerd. Handelaren verliezen disputen die ze zouden moeten winnen, niet omdat de transactie echt was, maar omdat ze het sessiebewijs dat het zou beslechten niet kunnen overleggen.
Wat je op het moment van de transactie moet vastleggen
Vijf signalen leven in de browser tijdens een checkoutsessie, en geen van alle overleven in de transactieregistratie. Ze zijn allemaal van belang voor zowel de realtime beslissing als het latere dispuut.
- Device fingerprint. Een stabiele identificator voor het apparaat die standhoudt bij incognitomodus, VPN-gebruik en het wissen van cookies. Hiermee kun je de transactie koppelen aan eerdere activiteit van hetzelfde apparaat. Een apparaat zonder geschiedenis voor deze kaarthouder, of een apparaat dat al aan eerdere disputen is gekoppeld, is de moeite waard om op te acteren.
- AI-agent-markering. Een groeiend deel van card testing en betaalfraude verloopt via autonome agents in plaats van een persoon die met de hand kaartnummers intikt. Of een checkout is aangestuurd door een geautomatiseerde tool, is een wezenlijk feit in een dispuut, en het is alleen zichtbaar in de browser.
- VPN- en proxy-status. Fraudeurs verhullen hun locatie via VPN's en residentiële proxy's. TLS-fingerprinting legt tijdens de sessie een geanonimiseerde verbinding bloot; het IP-adres in de transactieregistratie doet dat niet.
- Sessiegedrag. Een mens pauzeert om een kaartnummer opnieuw te lezen, aarzelt voordat hij bevestigt en beweegt de cursor met organische onnauwkeurigheid. Een gescripte checkout doet dat niet. Dat verschil is meetbaar in de browser en onzichtbaar in de betaalregistratie.
- Session replay. Een van tijdstempels voorziene registratie van wat er op het scherm gebeurde, is de meest direct door mensen leesbare vorm van bewijs op transactiemoment.
Hoe dit bewijs wordt gebruikt in disputen
Het Compelling Evidence 3.0-raamwerk van Visa aanvaardt device-fingerprint-data en sessiebewijs in chargebackdisputen. Dat geeft bewijs op browserniveau dat op het moment van de transactie is vastgelegd, een vast pad naar het formele disputeproces.
Een device fingerprint die aantoont dat het bekende apparaat van de kaarthouder aanwezig was op het moment van de betwiste transactie, kan doorslaggevend zijn tegen een friendly-fraud-claim. Een session replay die natuurlijke menselijke interactie laat zien, ondersteunt dezelfde zaak. Een VPN-markering of een AI-agent-detectie versterkt de positie van een handelaar wanneer de transactie werkelijk frauduleus was. De eis is in elk geval dezelfde: het bewijs moet tijdens de sessie worden vastgelegd en exporteerbaar zijn in een formaat dat het disputeproces accepteert. Een CE 3.0-export die device-ID, session replay en tijdstempel bundelt, is de uitvoer die een dispuut daadwerkelijk in beweging brengt.
Hoe detectie op browserniveau in de praktijk werkt
Een tool voor betaalfraude op browserniveau draait als een PCI-conform script op de checkoutpagina. Het laadt mee met de pagina, verzamelt de vijf bovenstaande signalen tijdens de sessie en maakt ze in realtime en voor latere export beschikbaar. Een CE 3.0-bewijspakket met device-ID, session replay en tijdstempel kan in enkele seconden worden gegenereerd.
Dezelfde aanpak dekt card testing, waarbij aanvallers kleine geautomatiseerde transacties uitvoeren om gestolen kaartnummers te valideren vóór een grotere aankoop. Die runs zijn geautomatiseerde tools, herkenbaar aan hun sessiegedrag, zelfs wanneer elke afzonderlijke afschrijving te klein is om een velocity-regel te activeren.
cside werkt volgens dit model. Het combineert 250+ signalen per sessie tot een realtime risicoscore en geeft een oordeel terug dat AI-agent- en geautomatiseerde sessies markeert, waaronder benoemde tools zoals OpenAI Operator, Claude for Chrome, Playwright, Puppeteer en Selenium. cside integreert met Chargebacks911, en handelaren die beide gebruiken, kunnen per dispuut een CE 3.0-bewijspakket ophalen. Bekijk hoe cside dit aanpakt op de pagina over chargebackbewijs.
PCI DSS 4.0.1 en de compliance-overlap
Betaalpagina's vallen binnen de reikwijdte van PCI DSS 4.0.1. Requirement 6.4.3 verplicht een inventaris en integriteitscontroles voor elk script dat op een betaalpagina wordt geladen, en Requirement 11.6.1 vereist manipulatiedetectie voor de inhoud van betaalpagina's. Beide werden verplicht op 2025-03-31.
Een PCI-gevalideerd script op browserniveau vervult beide taken tegelijk. Het legt fraudesignalen en disputebewijs vast en voldoet tegelijk aan de controles voor scriptmonitoring en manipulatiedetectie die PCI DSS 4.0.1 aan checkoutpagina's stelt. Teams voeren fraudedetectie en PCI-compliance vaak uit als aparte werkstromen met aparte tooling, en een gevalideerd script op browserniveau brengt dat samen in één implementatie. cside draait als een PCI-gevalideerd script en helpt handelaren te voldoen aan Requirements 6.4.3 en 11.6.1 (zie de pagina over PCI-compliance).
Voor context over wat blootstelling van de checkoutpagina kost: IBM stelde de wereldwijde gemiddelde kosten van een datalek in 2024 op $4,88 miljoen, hoger dan in voorgaande jaren:
| Jaar | Wereldwijde gemiddelde kosten van een datalek |
|---|---|
| 2022 | $4.35M |
| 2023 | $4.45M |
| 2024 | $4.88M |
Bron: IBM Cost of a Data Breach Report 2024. Skimming van betaalpagina's en checkoutfraude vormen voor handelaren een aanzienlijk deel van die blootstelling.
Wat betaalfraudedetectie niet oplost
Detectie op browserniveau kan niet voorkomen dat een gestolen kaart überhaupt wordt gebruikt. Zodra een kaartnummer is gecompromitteerd, kan iemand het proberen. Wat de browserlaag wél doet, is het bewijs creëren dat bepaalt wat er daarna gebeurt.
Voor werkelijk frauduleuze transacties legt dat bewijs de feiten van de sessie vast en ondersteunt het ofwel realtime blokkeren ofwel een disputeverdediging na de transactie. Voor friendly-fraud-claims, waarbij een echte kaarthouder een aankoop betwist die hij daadwerkelijk heeft gedaan, laat hetzelfde bewijs zien dat het apparaat van de kaarthouder aanwezig was en dat de sessie menselijk was. Het vervangt geen frauderegels, velocity-checks of monitoring door kaartnetwerken. Het dicht het ene gat dat al die controles openlaten: de sessie zelf.
