Black Friday 2025: Svindel i betalingssektoren eskalerer i hastighed og omfang

Den Europæiske Centralbank (ECB) og Den Europæiske Banktilsynsmyndighed (EBA) rapporterer, at svindel med de vigtigste betalingsinstrumenter i EØS nåede op på 2,0 mia. euro alene i første halvdel af 2023. Risikoen for kortsvindel er nu mærkbart lavere for transaktioner inden for EØS, hvor SCA finder anvendelse. Det indikerer, at bedre sikkerhed virker, men også, at angribere målrettet søger andre svage punkter i værdikæden.

Signicats rapport om identitetssvindel, »The Battle in the Dark« (2025), udarbejdet i samarbejde med cybersikkerhedsfirmaet Red Goat Cyber Security, viser, hvordan dette udspiller sig i praksis. Fagansvarlige for svindelbekæmpelse i hele Europa rapporterer, at:

• anslået hver femte onboarding af en ny kunde er forbundet med svindel,
• 22 % af den årlige omsætning påvirkes af identitetssvindel og omkostningerne ved at forebygge det,
• 59 % har oplevet en stigning i antallet af vellykkede identitetssvindelforsøg det seneste år,
• og alligevel mener 74 %, at de er ved at vinde kampen mod svindel.

»Black Friday og julesæsonen er helt centrale perioder for betalingssvindel,« siger Pinar Alpay, Chief Product Officer hos Signicat. »Transaktionsmængderne eksploderer, kunderne forventer øjeblikkelige beslutninger, og svindlerne møder op med industrialiserede, AI-drevne metoder. De organisationer, der klarer sig bedst, er dem, der betragter digital identitet som rygraden i deres svindelstrategi, og ikke som en eftertanke.«

Hurtige transaktioner, hurtig svindel

Øjeblikkelige betalinger, mobile wallets og »Buy Now, Pay Later«-modeller (BNPL) har fundamentalt ændret betalingsoplevelsen. Beslutninger, der tidligere tog minutter, træffes nu på få sekunder. Under Black Friday bliver disse beslutningsvinduer endnu kortere, fordi risikoteams skal håndtere ekstremt høje transaktionsvolumener.

Denne acceleration gavner også svindlerne. Med automatiserede scripts og AI-assisteret social engineering kan de lancere og tilpasse angreb i realtid. I Signicats undersøgelse »The Battle in the Dark« rapporterer de adspurgte betalings- og fintech-virksomheder, at:

• 67 % har oplevet flere svindelforsøg det seneste år,
• 54 % har registreret flere vellykkede svindeltilfælde,
• og omkring halvdelen af angrebene (40 %) nu koncentreres omkring selve transaktionsfasen og ikke kun onboarding.

Disse udviklinger skal ses i lyset af en global stigning i online svindel. Juniper Research forudsiger, at tab som følge af e-handelssvindel vil stige fra 44,3 mia. amerikanske dollar i 2024 til 107 mia. amerikanske dollar i 2029, en stigning på 141 procent.

Taktikker og eksponering i 2025

Signicats undersøgelse viser, at svindlere kombinerer klassiske metoder med nye, identitetsfokuserede angreb, når de går efter betalings- og fintech-sektoren. Nogle centrale tal:

• De mest almindelige angreb i dag
  • Kontoovertagelse (Account Takeover, ATO): 36 %
  • Forfalskning af identitetsdokumenter: 35 %
  • Social engineering: 32 %
• Forventes at stige hurtigst
  • Forfalskning af identitetsdokumenter: 33 %
  • Social engineering: 29 %
• Dyrest at afhjælpe
  • Forfalskning af identitetsdokumenter: 31 %
  • Social engineering: 31 %

Digitale identitetssystemer og elektroniske ID-løsninger (eID’er) fungerer både som forsvar og som attraktivt mål. Respondenterne rapporterer, at:

• 48 % ser kontoovertagelser, der involverer elektroniske identitetsoplysninger,
• 40 % ser identitetstyveri eller identitetskloning i forbindelse med elektronisk identitet,
• og omkring en tredjedel af alle svindelforsøg nu er direkte rettet mod elektronisk identitetsteknologi.

»Forfalskning af identitetsdokumenter og social engineering afspejler, hvordan branchen har opbygget onboarding og autentifikation,« siger Pinar Alpay, CPO hos Signicat. »Svindlere har industrialiseret falske identiteter og script-baseret manipulation. Strategier og processer er nødt til at ændre sig, hvis vi vil stoppe væksten i disse angreb. Enhver virksomhed, der ikke omlægger sine systemer til denne virkelighed, vælger i praksis at finansiere svindel med sine egne margener.«

AI på begge sider

• AI er nu en integreret del af daglig svindelaktivitet. Syntetiske identiteter, deepfake-lyd og -video samt stærkt personaliserede phishing-kampagner er ikke længere eksotiske teknikker, men standardværktøjer. Ifølge Signicats rapport: anvender 73 % af organisationerne allerede AI i deres forsvar,
• mens 71 % mener, at angriberne bruger AI mod dem.

Det skaber et våbenkapløb. Så snart et adfærdsmønster bliver identificeret og blokeret, tilpasser svindlerne sig. 80 % af de adspurgte virksomheder siger, at angribere ændrer taktik, når de stoppes, ofte ved at skifte til nye kanaler eller udnytte svagere partnere i værdikæden.

Indvirkning på virksomhederne og beredskab

De økonomiske omkostninger ved identitetssvindel rækker langt ud over direkte afskrivninger. Virksomheder skal finansiere undersøgelser, tilbageførsler, afhjælpning og juridisk arbejde, samtidig med at de investerer i nye kontrolforanstaltninger og håndterer omdømmeskader, når sagerne rammer forsiderne.

Ifølge Signicats rapport »The Battle in the Dark« tynger de økonomiske konsekvenser af identitetssvindel virksomhederne længe før Black Friday-presset overhovedet begynder. Respondenterne anslår, at identitetssvindel og de nødvendige tiltag til at bekæmpe den i gennemsnit sluger mere end 16 % af den årlige omsætning i betalings- og fintech-sektoren, og at andelen stiger til 22 %, når man ser på alle brancher og markeder.

Samtidig peger næsten en tredjedel af organisationerne (32 %) på svagheder hos partnere eller leverandører som en væsentlig svindelrisiko. Det understreger, hvor sårbart det nuværende, stærkt sammenkoblede betalingsøkosystem er blevet. Når transaktionsmængderne topper omkring Black Friday, risikerer disse strukturelle svagheder, og de i forvejen høje svindelomkostninger, at blive yderligere forstærket, medmindre forhandlere og betalingsudbydere investerer i robuste, EU-klare løsninger til identitets- og svindelforebyggelse.

Alligevel viser den samme undersøgelse også en markant tillidskløft. Mens 84 % siger, at de stopper de fleste svindelforsøg, og 89 % oplyser, at de jævnligt opdaterer deres teknologi, er det kun 45 %, der reelt måler den fulde effekt af identitetssvindel.

»Alt for mange organisationer flyver halvt i blinde,« kommenterer Alpay. »De investerer i værktøjer og antager, at tingene er under kontrol, men har kun begrænset indsigt i den svindel, der slipper igennem, eller i den friktion, de skaber for legitime kunder. De mest avancerede svindelteams ser identitetsdata som et strategisk analyseaktiv. De ved, hvor deres svage punkter er, og kan forklare de kompromiser, de vælger at indgå.«

Forberedelse til EUDI-wallets  og håndtering af nutidens svindeludfordringer

eIDAS 2.0-forordningen er nu trådt i kraft og skaber den juridiske ramme for europæiske digitale identitetstegnebøger (EUDI-wallets ). Inden 2027 skal hver EU-medlemsstat tilbyde mindst én wallet , som borgere og virksomheder kan bruge til at bevise deres identitet og dele verificerede attributter på tværs af grænser.

»EUDI-wallets har et enormt potentiale for betalingsområdet,« siger Esther Makaay, VP for Digital Identity hos Signicat. »De kan give betalingstjenesteudbydere og forhandlere adgang til identitets- og attributdata med høj sikkerhed fra dag ét i kundeforholdet, hvilket er ekstremt effektivt i forhold til at forebygge svindel. Men det vil tage flere år, før wallets  er bredt implementeret og taget i brug. Virksomheder kan ikke vente på, at wallets  løser nutidens svindeludfordringer for dem.«

Med blikket rettet mod Black Friday 2025 og den kommende højsæson for julehandlen opfordrer Signicat derfor betalings- og fintech-udbydere til at handle nu i stedet for at vente, til svindeltabene eksploderer. Første skridt er at kortlægge, hvor identitetssvindel allerede udhuler indtægterne, og at identificere de kunderejser, segmenter og partnere, der er mest udsatte.

Herefter bør udbydere modernisere både dokument- og identitetsverificeringsprocesser med særligt fokus på højrisiko-kunderejser og sikre, at rige identitetssignaler integreres i realtid i betalingsrisikomodellerne, så mistænkelig adfærd kan udfordres, før en transaktion godkendes.

Samtidig bør de forberede systemer og processer til at fungere som betroede parter i EUDI-wallet-økosystemet, efterhånden som wallets  rulles ud i hele Europa. På den måde kan de fra dag ét acceptere digitale identiteter med høj sikkerhed og omsætte skærpede compliance-krav til en reel konkurrencemæssig fordel.