De stille overval die exploitanten niet zagen aankomen - De opkomst van APP-fraude in iGaming en de race om dit te stoppen

Het begint niet met een inbreuk. Het begint met een bericht. Een gekloonde agent, een vals betalingsverzoek, een speler die denkt dat hij zijn account aan het aanvullen is - totdat het geld verdwenen is. Geen malware. Geen gestolen inloggegevens. Alleen misbruikt vertrouwen.

Dit is de nieuwe vorm van fraude. Geautoriseerde pushbetalingsfraude (APP-fraude) is niet alleen slim, maar ook verontrustend effectief. Moeilijk te detecteren, nog moeilijker ongedaan te maken en vaak onzichtbaar totdat de helpdesk overspoeld wordt met klachten.

En hier komt het belangrijkste: toezichthouders letten op. Banken ook. En als u dat niet doet, loopt u al achter.

Wat volgt is niet zomaar een uitleg over fraude. Het is een overzicht van wat er werkelijk gebeurt, wat er gaat gebeuren en wat de meest vooruitstrevende exploitanten hieraan doen.

Hoe iGaming-fraude zich heeft ontwikkeld

Fraude bij online weddenschappen kent vele vormen, elk met verschillende tactieken, doelwitten en gevolgen. De onderstaande tabel biedt een vergelijkend overzicht van de belangrijkste bedreigingen waarmee exploitanten momenteel worden geconfronteerd, van langdurige risico's tot meer recente tactieken:

Bedreigingsmatrix voor fraude in iGaming

Vijf jaar geleden was fraude in iGaming nog niet erg geavanceerd en bestond het voornamelijk uit gekloonde kaarten, terugboekingen, door bots gedreven bonusmisbruik, enzovoort. Kortom, exploitanten wisten waar ze op moesten letten en wat ze moesten blokkeren. Maar het spel is veranderd. Wat we nu zien, is niet alleen een evolutie in techniek. Het is een verschuiving in de psychologie.

APP-fraude, een afkorting voor Authorised Push Payment-fraude, gaat niet om het doorbreken van beveiligingen. Het gaat erom de speler te overtuigen de deur open te zetten. Er is geen malware of gekaapte logins. Alleen omgeleid vertrouwen. Of het nu gaat om een nep-app of een Telegram-‘agent’ die om een storting vraagt, de zwendel werkt omdat het legitiem aanvoelt. En dat is precies wat het zo gevaarlijk maakt.

Alleen al in 2023 kostte APP-fraude Britse klanten 459,7 miljoen pond, grotendeels in verband met oplichting via berichtenapps en sociale mediaplatforms. The Times meldt dat APP-gerelateerde oplichting met meer dan 20% per jaar toeneemt en daarmee bijna alle andere fraudesectoren overtreft.

Maar dit is meer dan één tactiek. De fraude waarmee exploitanten nu te maken hebben, is een combinatie van social engineering, mobiele misleiding en betalingsmanipulatie. Spelers worden al aangepakt voordat ze het platform bereiken via gekloonde apps, vervalste identiteiten en support-imitators. En omdat gebruikers de transactie goedkeuren, merken traditionele fraudetools er niets van.

Dat is de verschuiving. Fraudeurs breken niet in. Ze worden binnengelaten. Voor exploitanten verandert dat alles. Het is niet langer voldoende om de boeven tegen te houden. De uitdaging is nu om ze te herkennen voordat de speler het verschil merkt.

PSP's vechten terug om het vertrouwen te behouden

APP-fraude heeft een aantal ongemakkelijke waarheden aan het licht gebracht over de betalingsinfrastructuur waarop veel exploitanten vertrouwen. In werkelijkheid is deze infrastructuur niet gebouwd voor APP-fraude. Ze is gebouwd voor snelheid, gemak, soepele onboarding, snelle stortingen en directe opnames. Jarenlang heeft dat gewerkt, totdat het niet meer werkte.

Nu glippen fraudeurs onopgemerkt door, niet omdat ze het systeem hacken, maar omdat ze zich voordoen als legitieme gebruikers, en de spelregels veranderen. Betalingsproviders, die zich vroeger richtten op doorvoersnelheid en uptime, verschuiven hun prioriteiten. De nieuwe opdracht is niet alleen om geld te verwerken, maar ook om intenties te beoordelen.

Die verschuiving is direct voelbaar op het moment van betaling en onboarding, en in de onzichtbare lagen daartussen.

Slimmere betalingscontroles in realtime

In deze voortdurende strijd versterken betalingsproviders hun verdediging met slimme, realtime verificatietools. Een van die maatregelen is de implementatie van Confirmation of Payee (CoP), een systeem dat de naam van de ontvanger controleert aan de hand van de rekeninggegevens voordat een betaling wordt verwerkt. Deze extra controle helpt om verkeerd geadresseerde betalingen te voorkomen en vermindert het risico op fraude.

De Britse Payment Systems Regulator heeft de invoering van CoP bij alle grote banken verplicht gesteld en het effect hiervan is duidelijk. Volgens de Payment Systems Regulator is CoP een essentieel instrument voor fraudebestrijding geworden, met meer dan 2,5 miljard controles sinds de invoering in 2020.

Naast het controleren van rekeninggegevens analyseren betalingsproviders steeds vaker gedragspatronen om afwijkingen op te sporen. Systemen kunnen een basisnorm voor normaal gedrag vaststellen door gebruikersinteracties te monitoren, zoals invoersnelheid, muisbewegingen en transactiegewoonten. Afwijkingen van deze basisnorm, zoals een ongebruikelijke inlogtijd of een plotselinge grote overschrijving, kunnen waarschuwingen voor mogelijke fraude activeren. Deze aanpak maakt continue, onopvallende monitoring mogelijk, waardoor de veiligheid wordt verbeterd zonder de gebruikerservaring te verstoren. Door tools zoals CoP te combineren met gedragsanalyse creëren betalingsproviders een sterkere verdediging tegen APP-fraude.

Betere identiteitscontroles bij toegang

In veel opzichten is de obsessie met een soepel onboardingproces heel logisch, tenminste, totdat fraudeurs gewoon door de voordeur binnenlopen. Jarenlang hebben exploitanten gestreden om de drempels voor aanmelding te verlagen in naam van conversies. Maar in het licht van APP-fraude is die strategie ernstig verouderd.

Nu is preventieve controle de slimste zet. Real-time ID-verificatie wordt snel de norm, maar de echte verschuiving zit in de manier waarop identiteit wordt bevestigd. Gezichtsherkenning gaat niet alleen om het controleren van een pasfoto. Het gaat erom de discrepantie tussen het gezicht van een speler en de fraudeur achter het scherm op te sporen. Voeg daar open banking aan toe en plotseling kunnen exploitanten de naam, het rekeningnummer en het eigendom controleren nog voordat er geld is gestort. De focus ligt niet op het vertragen van spelers, maar op het filteren van degenen die u nooit hebt gewild.

Dat is waar de mentaliteit verandert. Zoals Equals Money onlangs opmerkte, verstoort een beetje ‘gezonde wrijving’ tijdens het onboardingproces de ervaring niet, maar versterkt deze juist. Fraudeurs houden er niet van om gecontroleerd te worden, vooral niet in realtime. Waardevolle spelers verwachten daarentegen bescherming en zullen over het algemeen niet terugdeinzen als de controles evenredig aanvoelen.

Exploitanten die de juiste balans vinden, zullen veiliger, betrouwbaarder en beter verdedigbaar zijn en beter voorbereid op de toenemende controle op identiteit, AML en transactiemisbruik.

Reacties van de sector op de bestrijding van APP-fraude

Achter elke verscherpte betalingscontrole en elk onboarding-scherm gaat echter een ingrijpende verandering schuil, die de hele sector uiteindelijk kan dwingen om opnieuw na te denken over waar de verantwoordelijkheid werkelijk ligt.

In het Verenigd Koninkrijk zijn betalingsproviders nu wettelijk verplicht om slachtoffers van oplichting tot £85.000 per incident te vergoeden, een hervorming die APP-fraude heeft geherdefinieerd van een consumentenprobleem naar een commerciële aansprakelijkheid. Deze verandering heeft een duidelijke boodschap afgegeven aan banken en PSP's: preventie is niet langer optioneel, maar wordt verwacht.

Als reactie hierop zien we een stille maar belangrijke herpositionering. Verdachte transacties kunnen nu tot 72 uur worden uitgesteld, waardoor aanbieders tijd hebben om de intentie te controleren voordat het geld wordt overgemaakt. Voor iGaming-platforms ligt de uitdaging in het integreren van deze vertragingen zonder legitieme gebruikers te frustreren.

Maar fraude begint zelden met betalingen. Het begint vaak met een bericht. Aangezien meer dan 50% van de APP-oplichting terug te leiden is naar sociale platforms zoals Facebook en Instagram, roepen regelgevers nu telecombedrijven, technologiebedrijven en exploitanten op om informatie over opkomende bedreigingen te delen. Het lijkt erop dat de toekomst van fraudepreventie niet in isolatie zal worden gewonnen. Het zal een teaminspanning zijn.

Waar exploitanten vandaag over na moeten denken

De volgende fase van de verdediging tegen APP-fraude is strategisch van aard en exploitanten moeten zich afvragen wie ze vertrouwen en waar de volgende blinde vlek zich waarschijnlijk zal voordoen.

De juiste betalingspartner kiezen

De realiteit is dat te veel betalingsdienstaanbieders fraude nog steeds beschouwen als een backoffice-kwestie die achteraf wordt opgelost in plaats van bij voorbaat te worden voorkomen. APP-fraude heeft de beperkingen van die denkwijze blootgelegd, met name bij PSP's die nog steeds vertrouwen op statische controles of verouderde verificatieprocessen.

Voor iGaming-exploitanten is het landschap aan het veranderen. Regelgeving, consumentenverwachtingen en financiële risico's hebben opnieuw bepaald wat een betalingspartner moet bieden. Met andere woorden, fraudepreventie is niet langer een secundaire functie, maar een primaire taak. Dit betekent dat exploitanten scherpere vragen moeten stellen bij het kiezen van betalingsproviders. Voeren zij bijvoorbeeld realtime gedragsanalyses uit? Wordt de identiteit geverifieerd via open banking of biometrische gegevens? Hoe screenen zij betalingsmanipulatie voordat geld wordt overgemaakt?

Aanbieders die het overwegen waard zijn, kunnen aantonen hoe zij Confirmation of Payee, adaptieve risicoscores en continue monitoring toepassen gedurende het hele transactieproces. Zoals SEON in zijn Fraud Trends Report 2024 aangeeft, is fraudepreventie het meest effectief voordat een transactie begint, door niet alleen de resultaten, maar ook de intentie te analyseren.

Aanpassing aan regionale risico's

Frauderisico’s zijn ook niet overal even groot. Sommige rechtsgebieden hebben geïnvesteerd in geavanceerde betalingsregelgeving en kaders voor het delen van gegevens. Andere blijven risicovolle omgevingen waar APP-zwendel en social engineering-campagnes gedijen met minimale controle. Voor iGaming-exploitanten die over de grenzen heen uitbreiden, is het een strategische fout om fraude als een wereldwijde constante te beschouwen.

Lokalisatie is niet alleen nodig voor inhoud of valuta, maar ook voor fraudepreventie-logica. Dat betekent dat er regels en transactiescreening moeten worden ingevoerd die aansluiten bij regionale patronen. In volwassen markten zoals het Verenigd Koninkrijk, bepalen de bevestiging van de begunstigde en de terugbetalingsverplichting hoe het betalingsrisico wordt beoordeeld. In minder gereguleerde markten moeten exploitanten wellicht meer vertrouwen op gedragsanalyse en realtime monitoring om betalingsproblemen op te sporen.

Geografisch specifieke fraudebestrijdingsplatforms (zoals SEON of Kount) kunnen helpen om deze controles op maat te maken. Maar technologie alleen is niet voldoende. Er is ook contextueel bewustzijn nodig, d.w.z. hoe spelers betalen, hoe fraudeurs te werk gaan en hoe vroege waarschuwingssignalen er in elke markt uitzien.

Evenwicht tussen snelheid en veiligheid

Het staat buiten kijf dat snelheid verkoopt in de huidige iGaming-omgeving. Directe opnames, snelle onboarding en stortingen met één klik zijn tegenwoordig standaardverwachtingen van spelers en geen premiumfuncties. Maar elke milliseconde die van de gebruikerservaring wordt afgeschaafd, is een potentiële blinde vlek voor fraude. De uitdaging ligt nu niet in het kiezen tussen snelheid en veiligheid, maar meer in het ontwerpen van een systeem waarin beiden elkaar versterken.

Het antwoord ligt in contextbewuste controles. Slimme exploitanten wegen de uitbetalingssnelheid af op basis van risicoprofielen in plaats van een algemene vertraging of wrijving toe te passen op alle transacties. Bekende gebruikers met vaste gedragspatronen kunnen vrijwel onmiddellijk worden verwerkt. Nieuwe accounts met opnames van hoge waarde? Die worden gemarkeerd voor een grondiger onderzoek zonder dat dit de rest van de spelersbasis verstoort.

Dit is waar gedragsbiometrie, geolocatie en sessie-informatie van pas komen. Ze maken stille authenticatie op de achtergrond mogelijk, waardoor de ervaring vloeiend blijft terwijl het risico stilletjes wordt geëvalueerd.

Als deze systemen goed worden geïmplementeerd, frustreren ze spelers niet, maar bouwen ze vertrouwen op. Dit geldt met name in een omgeving die bekend is met APP-fraude, waar gebruikers niet alleen op snelheid letten, maar ook op veiligheid om een stap voor te blijven.

De verborgen voordelen van een goede APP-fraudestrategie

Hoewel de meeste gesprekken over APP-fraude zich richten op het voorkomen van de volgende zwendel, moeten exploitanten met ambities op de lange termijn zich diepere vragen stellen, aangezien het echte concurrentievoordeel niet ligt in het volgen van de massa, maar in het vooruitdenken.

Neem bijvoorbeeld de levenslange waarde van een speler. Elk fraudegeval, of het nu gaat om een gestolen storting of een gekaapte uitbetaling, tast het vertrouwen aan.

Spelers keren zelden terug nadat ze zijn opgelicht, zelfs als het platform geen fout heeft gemaakt. Het beschermen van de LTV begint daarom met het beschermen van deze perceptie.

Dan is er nog de opkomst van gelaagde transactiestromen. Sommige betalingsproviders testen al systemen waarbij risicovolle stortingen worden onderworpen aan uitgebreide controles, terwijl stortingen met een laag risico direct worden verwerkt. Deze toekomst met een gesplitst model is niet ver meer en exploitanten zullen zich snel moeten aanpassen.

Deposito's zijn echter niet het enige dat onder de loep wordt genomen, ook opnames maken nu deel uit van dezelfde risicovergelijking. Directe opnames, ooit een verkoopargument, zijn nu de droomuitweg voor fraudeurs. Het pauzeren van verdachte uitbetalingen zonder legitieme gebruikers te vervreemden, wordt een belangrijke evenwichtsoefening in de toekomst.

Op sociale media duikt ook identiteitsfraude op, waarbij valse agenten, gekloonde sites en frauduleuze KYC-verzoeken worden ingezet die niet van echt te onderscheiden zijn. Dit is niet alleen een fraudeprobleem, maar ook een UX-probleem.

Om dit specifieke probleem aan te pakken, moeten exploitanten verder gaan dan fraudefilters en hun platforms ontwerpen met een defensieve UX in gedachten, waarbij ze gebruikmaken van merkgerichte signalen, realtime waarschuwingen en consistente berichten om gebruikers te helpen vervalsingen te herkennen voordat ze ermee in aanraking komen.

Tegelijkertijd is monitoring buiten het platform van sociale kanalen zoals Telegram en Instagram essentieel, aangezien de meeste oplichting buiten de wedomgeving begint. Het voorlichten van gebruikers door middel van goed getimede, contextuele prompts maakt de strategie compleet door vertrouwen om te zetten in een ingebouwde beveiligingslaag.

Er is ook een onbenutte mogelijkheid voor voorafgaande verificatie van hoogwaardige deposanten, waarbij gebruikers worden gescreend vóór de transactie, niet erna. Zie het als KYC voor intenties.

Kortom, vooruitdenkende exploitanten moeten zich ervan bewust zijn dat de zwakke punten van hun PSP hun aansprakelijkheid kunnen worden. Regelgevers houden een oogje in het zeil. Exploitanten moeten daarom strengere vragen gaan stellen over het fraudebeleid van hun betalingspartners. Misschien is het nú het moment om fraudepreventie niet als overhead te beschouwen, maar als een concurrentievoordeel.

Het einde van reactief denken?

APP-fraude is niet zomaar een nieuwe bedreiging, maar een keerpunt. Het legt verouderde systemen bloot, maar wat nog belangrijker is, het stelt lang gekoesterde aannames over snelheid, gemak en vertrouwen ter discussie.

Exploitanten die fraude behandelen als een operationele laag, iets dat onder de verantwoordelijkheid van het betalingsteam valt of verborgen zit in de algemene voorwaarden, lopen al achter. Wat nu nodig is, is een intelligente aanpak.

Een ingrijpende heroverweging van hoe risico's worden beoordeeld, hoe identiteit wordt geverifieerd en hoe vertrouwen wordt gecommuniceerd bij elke interactie.

Maar er is goed nieuws! Dit moment biedt meer dan alleen risico's. Als u het goed aanpakt, kan het een strategisch voordeel opleveren. Exploitanten die fraudepreventie goed aanpakken, zullen verliezen beperken, hun LTV beschermen en de conversie verhogen zonder afbreuk te doen aan de integriteit. Ze zullen ook veel beter in staat zijn om hun merk te verdedigen in een markt waar naleving van regelgeving en gebruikersverwachtingen maar in één richting gaan.

Ouderwetse betaaltools zijn niet ontworpen voor de bedreigingen van vandaag, maar de intelligente fraudecontroles van Altenar wel. Plan nu een persoonlijke demonstratie van ons platform om te zien hoe wij exploitanten helpen risico's te beheren, vertrouwen te behouden en compliant te blijven.