Snabba betalflöden och kostsamma risker i digitala verksamheter

Kontokapning och social manipulation

Många intrång bygger på social manipulation. Angriparen försöker få användaren att lämna ut engångskoder eller godkänna en inloggning, ofta via falska sms, mejl eller samtal som liknar företagets egna utskick. I andra fall vänder angriparen sig direkt till kundtjänst och spelar på stress, till exempel genom att påstå att kontot är spärrat eller att en betalning snabbt måste stoppas. Just kundtjänst är en vanlig måltavla eftersom den hanterar undantag och specialfall.

Om en kontroll bygger på personuppgifter som födelsedatum eller adress kan informationen redan vara känd från tidigare läckor eller öppna källor. En angripare kan också testa olika kanaler och välja den väg där svarstiden är kortast, eller där kontrollfrågorna är enklast att kringgå. Det räcker med en trovärdig berättelse för att få en åtgärd genomförd, till exempel byte av kontaktuppgifter eller en återställning som sedan kan kapas.

Kontroller som skyddar utan att göra flödet tungt

Många företag jobbar med kontroller som slår till när något avviker, i stället för att lägga samma krav på alla i varje steg. Systemen kan väga in sådant som vilken enhet som används, hur inloggningen ser ut och tidigare beteende på kontot för att avgöra när det behövs extra verifiering.

En vanlig lösning är att lägga in spärrar vid ändringar som är svåra att ångra. Det kan till exempel innebära att ett nytt mottagarkonto inte börjar gälla direkt, eller att ett konto som varit stängt inte kan aktiveras igen utan extra kontroll. I företagstjänster är behörigheter en särskild riskpunkt, därför delar man ofta upp roller så att samma person inte kan både ändra kontoinställningar och godkänna utbetalningar.

För vissa åtgärder används också dubbelkontroll internt. Det kan vara krav på två godkännanden, eller att åtgärden alltid loggas så att det i efterhand går att se vem som gjort vad och varför.

Färre steg kan leda till fler risker

Om kontroller tas bort försvinner ofta sådant som annars avslöjar att något är fel. Det kan till exempel handla om extra bekräftelser eller moment som gör det svårare att agera snabbt när ett konto har kapats. Särskilt utsatta är funktioner som ändrar viktiga uppgifter. Om någon kan byta e-postadress, telefonnummer, mottagarkonto eller behörighet i ett företagskonto utan hinder blir det lättare att ta över och styra pengar eller åtkomst.

Även “glömt lösenord” kan bli en säkerhetsmässigt svag punkt om återställningen bygger på uppgifter som går att få tag på via läckor eller andra källor. Ofta är det inte en enda lucka i säkerheten som avgör, utan flera små.

Nätcasino som specialfall

Licensierade nätcasinon är digitala tjänster där operatören behöver hålla ihop kundkonto och saldo med spelutbud och betalflöden. Spelen levereras ofta av externa spelstudior, medan operatören ansvarar för plattformen, kundgränssnittet och den del som styr insättningar och uttag.

Bakom det som ser enkelt ut för kunden finns det flera olika system. Identifiering och betalningar hanteras ofta av separata leverantörer, och varje del har sina egna regler och begränsningar. Det gör att ett enda uttag kan behöva passera fler tekniska steg och fler system än vad kunden märker.

Erbjudanden och kampanjer är också en del av riskbilden. Bonusvillkor och segmentering bygger på regler om vem som får ta del av vad, hur ofta och på vilka villkor. Det kan driva beteenden där samma person försöker använda uppläggen flera gånger, eller där många små aktiviteter tillsammans pekar mot missbruk. Därför ingår också skydd som självavstängning i kraven för licensierade aktörer.

När riskerna påverkar villkor och kostnader

Kostnaderna brukar komma från tre håll. Rena förluster när pengar hamnar fel, merarbete för utredningar och manuella kontroller samt uteblivna intäkter när legitima kunder fastnar i spärrar eller avbryter innan deras transaktion går igenom.

Felaktiga stopp är en särskild kostnadsdrivare. När en transaktion blockeras trots att den är legitim leder det till fler kontakter med kundtjänst och mer intern handläggning. Det höjer både kostnaden per ärende och gör att fler transaktioner tar lång tid att få igenom.

I relationen till betalningsleverantörerna kan risknivån påverka villkoren direkt. Det kan handla om krav på reserver, lägre beloppsgränser, mer dokumentation eller en prissättning som tar höjd för tvister och återkrav. För företaget kan det innebära att betalningar och utbetalningar får fler begränsningar, även om systemet i sig fungerar som tänkt.