Moderni petos on ylittänyt vanhan päätösmallin

Tutkimus UK Cryptoasset Business Councililta arvioi, että Yhdistyneen kuningaskunnan pankit ovat estäneet tai viivästyttäneet noin 40 % maksuista jotka on tarkoitettu kryptovaluutan pörsseihin. Yksi vaihtoalusta havaitsi yksinään lähes £1 billionin arvosta hylättyjä tapahtumia viimeisen vuoden aikana.

Nämä rajoitukset koskivat jopa FCA-rekisteröityjä yrityksiä, ja monissa tapauksissa asiakkaat yrittivät vain siirtää omia varojaan.

Ei ole juurikaan syytä ajatella, että lailliset korkean riskin maksut estettäisiin näin aggressiivisesti vain Yhdistyneessä kuningaskunnassa. Yhdistyneessä kuningaskunnassa on mitattu ongelman laajuus.

Useimmat yritykset käyttävät puolustuksia, jotka olettavat, että vastustaja liikkuu suunnilleen viimeisimmän sääntömuutoksen nopeudella. Tämä ei enää pidä paikkaansa, kun tekoälytyökalut ovat tulleet halvoiksi: siihen mennessä kun petosttiimi on kirjoittanut säännön viime viikolla havaitulle mallille, hyökkääjä on jo käyttänyt sitä tuhansia kertoja ja siirtynyt versioon, jonka sääntö ei havaitse.

Kuitenkin oletusreaktio on pysynyt pitkälti samana: lisätä toinen tarkistus, tiukentaa toinen sääntö tai estää kaikki epävarmoilta vaikuttavat tapahtumat. Tämä lähestymistapa pysäyttää osan petoksista, mutta se myös karkottaa maksuhalukkaat asiakkaat, ja niiden tuotto katoaa.

Hyökkääjät voivat muuttua nopeammin kuin säännöt voidaan kirjoittaa uudelleen

Säännöt toimivat parhaiten, kun epäilyttävä käyttäytyminen toistuu tunnistettavalla tavalla. Kun malli selkeytyy petos- tai chargeback‑tiedoissa, sen ympärille voidaan luoda sääntö, joka merkitsee vastaavat tapahtumat tulevaisuudessa.

Tekoäly tekee siitä reagointisilmukasta paljon vaikeampaa pitää tahdissa. Euroopan pankkivalvonta varoitti joulukuussa 2025, että rikolliset käyttävät jo tekoälyä automatisoidakseen osia rahoitusrikoksista ja välttääkseen havaitsemisen. Hyökkääjät voivat testata enemmän variaatioita vähemmällä manuaalisella työllä ja vaihtaa taktiikkaa heti, kun yksi lähestymistapa lakkaa toimimasta.

Korkean riskin maksuliiketoiminnassa tämä muuttuu ongelmaksi ostotapahtuman yhteydessä. Sama signaali voi esiintyä sekä petollisissa että laillisissa tapahtumissa, eikä pelkkä sääntö pysty erottamaan kumpaa se tarkastelee.Jatkan yhtä vertauskuvaa: jos vastapuoli on siirtynyt robotteihin, joilla on laseraseet, pyytää nopeampia hevosia ja paksumpaa panssaria vahvistaa vain puolustusta, joka on rakennettu vanhentunutta taistelua varten.

Petosta mitataan, hylättyä tuloa ei

Kun sääntö ei pysty erottamaan petollisia ja laillisia tapahtumia, hylkääminen on yleensä turvallisempi vaihtoehto yritykselle.

Jos hyväksyt väärän tapahtuman, tappio voi ilmetä chargeback‑muodossa. Jos hylkäät hyvän asiakkaan, tappio on paljon vaikeampi havaita, koska tapahtumaa ei koskaan tapahdu.

Paine hylätä on vain kasvanut Visa:n Acquirer Monitoring Program (VAMP) -ohjelman uusien sääntöjen myötä. 1. huhtikuuta 2026 alkaen liiallinen kauppiaan raja-arvo on laskenut 2,2 %:sta 1,5 %:iin raportoituja petoksia ja riitoja vastaan sovittuja tapahtumia vastaan.

Ongelma on, että VAMP näkee vain sovitut tapahtumat. Hyväksytty petollinen tapahtuma voi myöhemmin heikentää kauppiaan suhdetta, kun taas laillisesti hylätty asiakas kassalla katoaa mittarista kokonaan.

Tämä lopulta antaa petostyöryhmille vahvan syyn olla konservatiivisempia. Mitä tiukempia he ovat, sitä helpompi on pitää epäilyttävät tapahtumat pois VAMP:n mittaamasta sovitusta volyymista.

VAMP:n paradoksi on, että kauppiaat kokevat kustannuksen päätöksen molemmilla puolilla. Jättämätön petos voi aiheuttaa chargeback‑riskin, kun taas virheelliset hylkäykset katkaisevat laillisen tulon ennen kuin se koskaan saavuttaa yrityksen.

Sääntelyviranomaiset siirtyvät pois yleisistä riskikontrolleista

Vuosien ajan suurempaa kitkaa on pidetty turvallisimpana vastauksena rahoitusrikoksiin. Kuitenkin Financial Action Task Force (FATF), maailmanlaajuinen standardin asettaja, kehottaa nyt yrityksiä ja valvojia olemaan tarkempia hallinnoimansa riskin suhteen.

Helmikuussa 2025 FATF korvasi termin “commensurate” termillä “proportionate” kaikissa riskiperusteisissa standardeissaan. FATF:n oman määritelmän mukaan proportionaalisen toimenpiteen tulisi vastata tunnistettua riskitasoa ja lieventää sitä tehokkaasti. Alempiriskiset tapaukset tulisi myös oikeuttaa yksinkertaistettuihin toimenpiteisiin.

Päivitetty ohjeistus työntää samaa ajatusta eteenpäin varoittamalla de-riskingistä, joka sulkee asiakkaat pois sen sijaan, että arvioitaisiin heidän edessään oleva riski.

Tämän erottelun tekeminen ennen kuin toinen tarkistus lisätään, on kohta, jossa useimmat järjestelmät kamppailevat. Hyvä tapa tehdä se on passiivinen aikeiden pisteytys, koska se antaa yrityksille enemmän kontekstia ennen kuin ne päättävät, onko toinen tarkistus todella tarpeen.

Käyttäytymis- ja kontekstisignaalit arvioidaan taustalla, jolloin matalariskinen toiminta voi kulkea vähemmän kitkaa, ja aidosti epäilyttävät maksut saavat tarkemman tarkastelun.

Petospäätökset tarvitsevat kontekstia, eivät lisää vahvistusta

Jos laajat rajoitukset ovat varajärjestelmä, kun riski on epäselvä, todellinen ongelma on se, miten yritys saa riittävän varmuuden tehdä tarkempi päätös.

KYC pysyy paikoillaan sääntelyn vuoksi, ja asiakkaan henkilöllisyyden varmistaminen ratkaisee osan petoskysymyksestä. Loput riippuvat kontekstista, jota henkilöllisyyden tarkistus ei koskaan näe. Vahvistettu asiakas, joka tekee epätavallisen maksun, on ongelma vain, jos se on epätavallista juuri kyseiselle asiakkaalle, eikä henkilöllisyyden tarkistus pysty tietämään, miltä normaali näyttää hänelle.

Hyödyllinen tieto tulee siitä, miten nämä signaalit sopivat yhteen reaaliajassa.

Maksu, joka näyttää epätavalliselta pelkän summan perusteella, voi olla täysin järkevä, kun otetaan huomioon asiakkaan historia, laite, ajoitus ja toimintojen järjestys. Toinen maksutapaus voi vaikuttaa tavalliselta jokaisessa mittarissa, mutta muuttua epäilyttäväksi vasta, kun nämä osat tarkastellaan yhdessä.

Käyttäytymiseen perustuva koneoppiminen tekee jo tämän arvioinnin tapahtuman aikana, mikä antaa kauppiaalle paljon selkeämmän perustan päätökselle.

Tässäkin AI:n liittäminen sääntömoottoriin osoittautuu puutteelliseksi. Jos kiinteät kynnysarvot tekevät edelleen lopullisen päätöksen, AI vain syöttää vanhalle päätösprosessille lisää tietoa. Hyökkääjät voivat jatkuvasti muuttaa käyttäytymistään, kun taas alla olevat säännöt perustuvat edelleen niihin malleihin, jotka yritys jo osaa tunnistaa.

Enemmän hylkäyksiä ei ratkaise perimmäistä ongelmaa

Aggressiivisesti hylkivät järjestelmät vaikuttavat paperilla turvallisemmilta, koska virheelliset hylkäykset eivät jätä jälkiä petosraportteihin. Tämä sokea piste on muokannut maksuekonomiaa liian pitkään.

Kauppiaiden on arvioitava riskimoottorit kokonaisvaltaisesta taloudellisesta tuotosta, tasapainottaen hyväksytyn marginaalin petostappioihin ja hylättyyn asiakaskestävään arvoon.

Entistä tärkeämpää on, että maksualustat haastavat toimittajien vallitsevan tilanteen. Palveluntarjoajien ei tulisi vaikuttaa hyväksymispäätöksiin jättäen kauppiaat kantamaan 100 % chargeback‑altistuksesta. Aidot strategiset kumppanit tukevat päätöksentekoaan todellisella taseen riskillä, olettaen täyden taloudellisen vastuunsiirron ja takaten hyväksymisprosentit.