Creditcard fraude: hoe kant dit? En wie draait ervoor op?

[t_captain]

Casus:

Visa kaart. Binnen 1 nacht vier frauduleuze transacties. 3x klein bedrag <1 euro. 4e transactie 800 euro aan een of ander bedrijf dat handelt in cosmetica o.i.d., ergens in Azie.

De volgende ochtend belt de bank. Ze hebben de vreemde transacties opgemerkt en stellen voor om de kaart te blokkeren en vervangen.


Achtergrond:

* Kaart is betrekkelik nieuw, <1 jaar.
* Kaart is eigenlijk alleen gebruikt bij grote bedrijven waarvan je mag verwachten dat ze hun beveiliging op orde hebben. Netflix en Spotify en iTunes / App Store accounts gekoppeld.


Vraag 1:
De bankmedewerker heeft nauwelijks details over het fraude-onderzoek dat inmiddels door de creditcardmaatschappij is gestart. Zo kan hij niet zien hoe (fysiek, telefonisch, online) en met welke authenticatie (kaartnummer, CVC, magneetstrip, chip, 2FA) de kaart is gebruikt.

De eerste vraag is wat er gebeurd kan zijn. Welke authenticatie-kenmerken laten zich tegenwoordig nog misbruiken, in een tijd dat je meestal met 2FA zoals Visa Secure Code moet authenticeren? Mag een winkelier bijvoorbeeld nog een bestelling aannemen met alleen kaartnummer+CVC?


Vraag 2:
Wanneer draai je als klant op hiervoor? Het lastige is: bedrag is al afgeboekt waardoor de bal dus bij de klant ligt om terug te eisen.

[Flapperbol]

Er zijn bedrijven, waaronder Amazon, die genoeg hebben aan alleen een kaartnummer. Een CVC hebben zij niet nodig. (Heeft blijkbaar ermee te maken dat zij een hogere fee afstaan aan het CC bedrijf)

Volgens mij ben je bij de meeste CC bedrijven zelf niet zo snel de Sjaak. Zulke bedrijven keren uit eigen zak het bedrag uit. (Paypal doet dit ook in enkele gevallen)
Wellicht dat zij ook een verzekering oid hebben waar zij aanspraak op maken, maar dat is mij niet bekend.

[Brahiewahiewa]

t_captain schreef op vrijdag 29 oktober 2021 @ 13:03:
... Mag een winkelier bijvoorbeeld nog een bestelling aannemen met alleen kaartnummer+CVC? ...

Ja hoor, dat mag nog steeds. En de kans dat die CVC code goed geraden wordt is 1 op 1000. Op de miljarden creditcards in deze wereld, zal dat best vaker voorkomen

[Yinchie]

t_captain schreef op vrijdag 29 oktober 2021 @ 13:03:
Casus:

De eerste vraag is wat er gebeurd kan zijn. Welke authenticatie-kenmerken laten zich tegenwoordig nog misbruiken, in een tijd dat je meestal met 2FA zoals Visa Secure Code moet authenticeren? Mag een winkelier bijvoorbeeld nog een bestelling aannemen met alleen kaartnummer+CVC?

Bij BUNQ staat de CVC code niet eens op de kaart.
Deze is te vinden in de BUNQ app, de CVC veranderd daar elke 5 minuten.
Tevens betalingen moet je handmatig goedkeuren, je krijgt namelijk een melding met accept of deny (tenzij je het uit zet en alles automatisch wordt).

[Vorkie]

Yinchie schreef op zaterdag 30 oktober 2021 @ 13:58:
[...]


Bij BUNQ staat de CVC code niet eens op de kaart.
Deze is te vinden in de BUNQ app, de CVC veranderd daar elke 5 minuten.
Tevens betalingen moet je handmatig goedkeuren, je krijgt namelijk een melding met accept of deny (tenzij je het uit zet en alles automatisch wordt).

Dat is logisch voor zo’n “kleine” speler (waar mijn inziens ook een hoop fraude mee gepleegd wordt)

Net zoals N26 lijkt het vooral ter voorkoming van juist van dit soort oplichting, de iNG’s van deze wereld hebben net ff wat meer in cash om dit op te vangen.

[Yinchie]

Vorkie schreef op zaterdag 30 oktober 2021 @ 14:04:
[...]

Dat is logisch voor zo’n “kleine” speler (waar mijn inziens ook een hoop fraude mee gepleegd wordt)

Net zoals N26 lijkt het vooral ter voorkoming van juist van dit soort oplichting, de iNG’s van deze wereld hebben net ff wat meer in cash om dit op te vangen.

Niks met meer cash te maken.
Geen enkel bedrijf wilt zomaar geld "weggeven".
Het is beter voorkomen dan genezen.
Hiermee doet BUNQ het dus goed.

[t_captain]

Stel, de frauduleuze aankoop is gedaan met kaartnummer en CVC. Is dat dan aansprakelijkheid klant?

[Rukapul]

t_captain schreef op zondag 31 oktober 2021 @ 08:25:
Stel, de frauduleuze aankoop is gedaan met kaartnummer en CVC. Is dat dan aansprakelijkheid klant?

Nee. Ik heb de regelgeving/standaarden/voorwaarden niet bij de hand maar om aansprakelijk te zijn moet een code met hoog beveiligingsniveau worden gebruikt (PIN bij fysieke betaling, VISA secure bij online).

De rekening gaat overigens typisch naar de winkelier die de frauduleuze betaling accepteert. De uitgevende bank en creditcard organisatie draaien typisch maar beperkt voor de kosten op.

De betalingen die de bank niet tegen heeft gehouden krijg je typisch na een korte tijd terug na het invullen van een formuliertje waar je deze betwist. Dat de bank zelf al fraude heeft geconstateerd maakt dit bijna een automatisme.