Moderne fraude heeft het oude beslissingsmodel overtroffen

Onderzoek van de UK Cryptoasset Business Council schat dat Britse banken ongeveer 40% van betalingen gericht op cryptobeurzen. Eén beurs alleen registreerde bijna £1 billion aan geweigerde transacties in het afgelopen jaar.

Deze beperkingen golden zelfs voor FCA-geregistreerde bedrijven, en in veel gevallen probeerden klanten simpelweg hun eigen geld te verplaatsen. 

En er is weinig reden om te denken dat legitieme hoog-risico betalingen alleen in het VK zo agressief worden geblokkeerd. Het VK is waar de omvang van het probleem is gekwantificeerd.

De verdedigingsmechanismen die de meeste bedrijven gebruiken gaan ervan uit dat de tegenstander zich beweegt met ongeveer de snelheid van de laatste regelwijziging. Dat is niet langer waar zodra AI‑tools goedkoop werden: tegen de tijd dat een fraude‑team een regel heeft geschreven voor het patroon dat ze vorige week zagen, heeft de aanvaller het al duizenden keren uitgevoerd en is overgestapt op een versie die de regel mist.

Toch is de standaardreactie grotendeels hetzelfde gebleven: een extra controle toevoegen, een andere regel aanscherpen, of alles blokkeren wat onzeker lijkt. Die aanpak vangt enige fraude. Maar hij wijst ook klanten af die klaar zijn om te betalen, en hun omzet verdwijnt daarmee.

Aanvallers kunnen sneller veranderen dan regels kunnen worden herschreven

Regels werken het best wanneer verdacht gedrag zich op een herkenbare manier herhaalt. Zodra een patroon duidelijk wordt in fraude‑ of chargeback‑gegevens, kan er een regel omheen worden gebouwd om soortgelijke transacties in de toekomst te markeren.

AI maakt die responscyclus veel moeilijker bij te houden. De European Banking Authority waarschuwde in december 2025 dat criminelen al AI gebruiken om delen van financieel misdrijf te automatiseren en detectie te ontwijken. Aanvallers kunnen meer variaties testen met minder handmatig werk en van tactiek veranderen zodra één aanpak niet meer werkt.

Voor een bedrijf dat zich bezighoudt met hoog-risico betalingen, wordt dit een probleem op het moment van aankoop. Hetzelfde signaal kan zowel in frauduleuze als legitieme transacties voorkomen, en een regel op zichzelf kan niet bepalen welke het betreft.Ik kom steeds terug op één analogie: als de tegenpartij is overgestapt op robots met laserwapens, dan versterkt het vragen om snellere paarden en dikker pantser alleen een verdediging die is gebouwd voor een verouderde strijd.

Fraude wordt gemeten, afgewezen omzet niet

Wanneer een regel niet kan onderscheiden tussen frauduleuze en legitieme transacties, is afwijzen meestal de veiligere optie voor het bedrijf.

Als je de verkeerde transactie goedkeurt, kan het verlies zich voordoen als een chargeback. Als je een goede klant afwijst, is het verlies veel moeilijker te zien omdat de transactie nooit plaatsvindt.

De druk om af te wijzen is alleen maar toegenomen onder de nieuwste regels voor Visa’s Acquirer Monitoring Program (VAMP). Sinds 1 april 2026 is de drempel voor excessieve handelaren gevallen van 2,2% naar 1,5% voor gemelde fraude en geschillen tegen verrekende transacties.

Het probleem is dat VAMP alleen ziet wat wordt verrekend. Een frauduleuze transactie die wordt goedgekeurd, kan later de ratio van de handelaar schaden, terwijl een legitieme klant die bij het afrekenen wordt afgewezen volledig uit de metric verdwijnt. 

Dit geeft fraude‑teams uiteindelijk een sterke reden om conservatiever te zijn. Hoe strenger ze worden, hoe makkelijker het is om twijfelachtige transacties buiten het verrekende volume dat VAMP meet te houden.

De paradox van VAMP is dat handelaren de kosten aan beide kanten van de beslissing nog steeds voelen. Gemiste fraude kan een chargeback‑risico creëren, terwijl valse afwijzingen legitieme omzet afsnijden voordat die ooit het bedrijf bereikt.

Regelgevers stappen af van algemene risicobeheersingsmaatregelen

Jarenlang werd meer frictie beschouwd als de veiligste reactie op financieel misdrijf. Toch vertelt de Financial Action Task Force (FATF), de wereldwijde normzetter, bedrijven en toezichthouders nu om nauwkeuriger te zijn over het risico dat ze daadwerkelijk beheren.

In februari 2025 heeft FATF vervangen “commensurate” door “proportionate” in haar risicogebaseerde standaarden. Een proportionele maatregel, volgens de eigen definitie van FATF, moet overeenkomen met het geïdentificeerde risiconiveau en dit effectief mitigeren. Lagere‑risicogevallen zouden ook in aanmerking moeten komen voor vereenvoudigde maatregelen.

De bijgewerkte richtlijnen duwen hetzelfde idee verder door te waarschuwen tegen de‑risking die klanten afsluit in plaats van het risico dat voor hen ligt te beoordelen.

Het maken van dat onderscheid voordat een extra controle wordt toegevoegd, is waar de meeste systemen moeite mee hebben. Een goede manier om dat te doen is passieve intentiescoring, omdat het bedrijven meer context geeft voordat ze beslissen of een extra controle werkelijk nodig is.

Gedrags‑ en contextuele signalen worden op de achtergrond beoordeeld, zodat laag‑risicogebeurtenissen met minder frictie kunnen doorgaan en echt verdachte betalingen nader worden bekeken.

Fraude‑beslissingen hebben context nodig, niet meer verificatie

Als brede beperkingen de fallback zijn wanneer risico onduidelijk is, dan is het echte probleem hoe een bedrijf voldoende vertrouwen krijgt om een nauwkeurigere beslissing te nemen.

KYC blijft bestaan voor naleving, en het bevestigen van de identiteit van de klant lost een deel van de fraudevraag op. De rest hangt af van context die de identiteitscontrole nooit ziet. Een geverifieerde klant die een ongebruikelijke betaling doet, is alleen een probleem als het ongebruikelijk is voor die klant, en de identiteitscontrole heeft geen manier om te weten hoe normaal eruitziet voor hen.

De bruikbare informatie komt voort uit hoe die signalen in realtime op elkaar aansluiten.

Een betaling die alleen op basis van het bedrag ongebruikelijk lijkt, kan volkomen logisch zijn zodra je de geschiedenis van de klant, het apparaat, het tijdstip en de volgorde van acties in overweging neemt. Een andere betaling kan op elk afzonderlijk criterium normaal lijken en pas verdacht worden wanneer die onderdelen samen worden bekeken.

Gedrags‑machine‑learning maakt die beoordeling al terwijl de transactie plaatsvindt, waardoor de handelaar een veel duidelijkere basis krijgt voor de beslissing.

Dit is ook het punt waarop AI dat op een regelsysteem is aangebracht tekortschiet. Als vaste drempels nog steeds de uiteindelijke beslissing nemen, geeft AI alleen meer informatie aan hetzelfde oude besluitvormingsproces. Aanvallers kunnen hun gedrag blijven veranderen, terwijl de onderliggende regels nog steeds afhankelijk zijn van patronen die het bedrijf al kent en kan signaleren.

Meer afwijzen lost het onderliggende probleem niet op

Systemen die agressief afwijzen lijken op papier veiliger omdat valse afwijzingen geen sporen achterlaten in fraude‑rapporten. Dat blinde punt heeft de betaal­economie te lang gevormd.

Handelaren moeten risico‑engines beoordelen op basis van de totale economische opbrengst, waarbij ze de goedgekeurde marge afwegen tegen fraude‑verliezen en de verwachte levenslange waarde van afgewezen klanten.

Belangrijker nog, betaalplatforms moeten de status‑quo van leveranciers uitdagen. Providers mogen geen invloed uitoefenen op goedkeuringsbeslissingen terwijl ze handelaren laten opdraaien voor 100 % van de chargeback‑risico’s. Echte strategische partners ondersteunen hun besluitvorming met echt eigen kapitaal, gaan uit van volledige financiële aansprakelijkheidsoverdracht en garanderen goedkeuringspercentages.