Black Friday 2025: betalingssvindel øker raskt i omfang

Den europeiske sentralbanken (ECB) og den europeiske banktilsynsmyndigheten (EBA) rapporterer at svindel med de viktigste betalingsinstrumentene i EØS utgjorde 2,0 milliarder euro bare i første halvår 2023. Risikoen for kortsvindel er nå merkbart lavere for transaksjoner innenfor EØS der SCA benyttes. Det viser at bedre sikkerhetstiltak fungerer, men også at angripere aktivt leter etter andre svakheter i betalingskjeden.

Signicats rapport om identitetssvindel, «The Battle in the Dark» (2025), utviklet i samarbeid med cybersikkerhetsselskapet Red Goat Cyber Security, viser hvordan dette spiller seg ut i praksis. Eksperter på svindelbekjempelse over hele Europa rapporterer at:

• anslagsvis én av fem onboarding-prosesser for nye kunder er svindelrelatert
• 22 prosent av den årlige omsetningen påvirkes av identitetssvindel og kostnadene ved å forebygge den.
• 59 prosent har sett en økning i vellykkede forsøk på identitetssvindel det siste året.
• likevel mener 74 prosent at de er i ferd med å vinne kampen mot svindel.

«Black Friday og julehandelen er kritiske perioder for betalingssvindel», sier Pinar Alpay, Chief Product Officer i Signicat. «Transaksjonsvolumene skyter i været, kundene forventer umiddelbare beslutninger, og svindlere tar i bruk industrialiserte, KI-drevne metoder. De organisasjonene som lykkes best, er de som ser digital identitet som ryggraden i svindelstrategien sin, ikke som en ettertanke.»

Raske transaksjoner, rask svindel

Sanntidsbetalinger, mobile lommebøker og «Buy Now, Pay Later»-modeller (BNPL) har endret hele betalingsopplevelsen. Beslutninger som tidligere tok flere minutter, tas nå på få sekunder. Under Black Friday blir disse beslutningsvinduene enda kortere når risikoteam må håndtere ekstremt høye transaksjonsvolumer.

Denne utviklingen kommer også svindlere til gode. Med automatiserte skript og KI-assistert social engineering (sosial manipulering) kan de sette i gang og tilpasse angrep i sanntid. I Signicats studie «The Battle in the Dark» rapporterer de undersøkte betalings- og fintech-selskapene at:

• 67 prosent har opplevd flere forsøk på svindel det siste året.
• 54 prosent rapporterer flere vellykkede svindeltilfeller.
• rundt 40 prosent av angrepene skjer nå i selve transaksjonsfasen, ikke bare ved onboarding.

Dette skjer samtidig som vi ser at nettsvindel øker globalt. Juniper Research anslår at tapene som følge av e-handelsvindel vil øke fra 44,3 milliarder amerikanske dollar i 2024 til 107 milliarder amerikanske dollar i 2029, en økning på 141 prosent.

Taktikker og eksponering i 2025

Signicats forskning viser at svindlere kombinerer klassiske metoder med nye, identitetsfokuserte angrep når de retter seg mot betalings- og fintech-sektoren. Noen nøkkeltall:

• De vanligste angrepstypene i dag
  • Kontoovertakelse (Account Takeover, ATO): 36 prosent
  • Forfalskning av identitetsdokumenter: 35 prosent
  • Social engineering / sosial manipulering: 32 prosent
• Forventes å øke raskest
  • Forfalskning av identitetsdokumenter: 33 prosent
  • Social engineering / sosial manipulering: 29 prosent
• Dyrest å rette opp
  • Forfalskning av identitetsdokumenter: 31 prosent
  • Social engineering / sosial manipulering: 31 prosent

Digitale identitetssystemer og elektroniske identiteter (eID-er) fungerer både som forsvarsverk og som mål. Respondentene oppgir at:

• 48 prosent ser kontoovertakelser der elektroniske identitetsopplysninger misbrukes.
• 40 prosent ser identitetstyveri eller identitetskloning knyttet til elektronisk identitet.
• Omtrent en tredjedel av svindelforsøkene nå er direkte rettet mot teknologi for elektronisk identitet.

«Forfalskning av identitetsdokumenter og sosial manipulering viser hvordan bransjen har bygget opp onboarding og autentisering», sier Pinar Alpay, CPO i Signicat. «Svindlere har industrialisert falske identiteter og skriptstyrt manipulering. Strategier og prosesser må endres hvis vi vil stoppe veksten i disse angrepene. Alle selskaper som ikke omdesigner systemene sine for å møte denne virkeligheten, velger i praksis å finansiere svindel med egne marginer.»

KI på begge sider

• Kunstig intelligens er nå en integrert del av den daglige svindelvirksomheten. Syntetiske identiteter, deepfake-lyd og -video og målrettede phishingkampanjer er ikke lenger eksotiske teknikker, men etablerte verktøy. Ifølge Signicats rapport:bruker 73 prosent av virksomhetene allerede KI i sine forsvarsmekanismer
• mens 71 prosent mener at angripere bruker KI mot dem

Dette skaper en form for kappløp. Så snart et bestemt atferdsmønster blir identifisert og blokkert, tilpasser svindlerne seg. 80 prosent av de spurte virksomhetene oppgir at angripere endrer taktikk når de stoppes, ofte ved å gå over til nye kanaler eller utnytte svakere deler i verdikjeden.

Forretningskonsekvenser og beredskap

De økonomiske kostnadene ved identitetssvindel går langt utover direkte avskrivninger. Virksomheter må finansiere etterforskning, tilbakeføringer, utbedringstiltak og juridiske prosesser, i tillegg til investeringer i nye kontrollmekanismer og håndtering av omdømmeskader når hendelser blir offentlige.

Ifølge Signicats rapport «The Battle in the Dark» tynger de økonomiske konsekvensene av identitetssvindel virksomhetene lenge før Black Friday-rushet i det hele tatt starter. Respondentene anslår at identitetssvindel og tiltakene som kreves for å bekjempe den, i gjennomsnitt legger beslag på over 16 prosent av den årlige omsetningen i betalings- og fintech-sektoren. Ser man på alle bransjer og markeder samlet, stiger andelen til 22 prosent.

Samtidig peker nesten en tredjedel av organisasjonene (32 prosent) på svakheter hos partnere eller leverandører som en betydelig svindelrisiko. Det understreker hvor sårbart dagens tett sammenvevde betalingsøkosystem har blitt. Når transaksjonsvolumene øker kraftig rundt Black Friday, risikerer disse strukturelle svakhetene og de allerede høye svindelkostnadene å bli ytterligere forsterket, dersom ikke forhandlere og betalingstilbydere investerer i robuste, EU-kompatible løsninger for identitets- og svindelforebygging.

Den samme studien avdekker også et tydelig tillitsgap. 84 prosent sier at de stopper de fleste forsøk, og 89 prosent oppgir at de oppdaterer teknologien sin jevnlig, men bare 45 prosent måler faktisk den fulle effekten av identitetssvindel.

«Altfor mange organisasjoner flyr i halvblinde», kommenterer Alpay. «De investerer i verktøy og antar at situasjonen er under kontroll, men har begrenset innsikt i svindelen som faktisk slipper gjennom, eller i hvor mye friksjon de skaper for legitime kunder. De mest avanserte svindelteamene behandler identitetsdata som en strategisk analyseressurs. De vet hvor de svakeste punktene ligger og kan forklare hvilke avveininger de gjør.»

Forberedelser til EUDI-lommebøker og håndtering av dagens svindeltrussel

eIDAS 2.0-forordningen er nå trådt i kraft og etablerer det juridiske rammeverket for europeiske digitale identitetslommebøker (EUDI-lommebøker). Innen 2027 skal hvert EU-medlemsland tilby minst én lommebok som borgere og virksomheter kan bruke til å dokumentere identitet og dele verifiserte attributter på tvers av landegrenser.

«EUDI-lommebøker har et enormt potensial for betalingsområdet», sier Esther Makaay, VP Digital Identity i Signicat. «De kan gi betalingstjenesteleverandører og forhandlere tilgang til identitets- og attributtdata med høy grad av sikkerhet fra første dag i kundeforholdet. Det er et svært kraftig virkemiddel i arbeidet mot svindel. Samtidig vil det ta flere år før slike lommebøker er bredt innført og tatt i bruk. Virksomheter kan ikke vente på at lommebøkene skal løse dagens svindelutfordringer.»

Med tanke på Black Friday 2025 og den mest intensive delen av julehandelen oppfordrer Signicat derfor betalings- og fintech-aktører til å handle nå, i stedet for å vente til svindeltapene topper seg. Første steg er å kartlegge hvor identitetssvindel allerede undergraver inntektene, og å identifisere hvilke kundereiser, segmenter og partnere som er mest utsatt.

Deretter bør aktørene modernisere både dokument- og identitetsverifiseringsprosesser, med særlig fokus på kundereiser med høyere risiko, og sikre at rike identitetssignaler bygges inn i betalingsrisikomodellene i sanntid slik at mistenkelig atferd kan fanges opp og utfordres før en transaksjon godkjennes.

Samtidig bør de forberede systemer og prosesser slik at de kan fungere som betrodde parter i EUDI-lommebokøkosystemet etter hvert som løsningene rulles ut i Europa. Da kan de fra dag én akseptere digitale identiteter med høy sikkerhet og omgjøre strengere compliance- krav til et konkret konkurransefortrinn.