Visas regler om svindel og chargebacks: ny grænse gældende for alle forretninger

Den nye magiske grænse er 0,9% og den gælder for næsten alle forretninger.

Tilbage i 2016 omstrukturerede Visa deres compliance-programmer, Visa Fraud Monitoring Programme (VFMP) og Visa Chargeback Monitoring Programme (VCMP). Formålet med dem er, at beskytte kortholdere mod svindel, opretholde integriteten af Visas betalingssystem samt at introducere et standardiseret framework i hele verden. I februar 2019 udsendte Visa en meddelelse om, at en opdatering af disse programmer vil træde i kraft d. 1. oktober 2019.

Helt kort: hvad er VFMP og VCMP

De to programmer minder meget om hinanden, men mens det ene fokuserer på svindel, koncentrerer det andet sig om chargebacks. For begge programmer gælder det, at det kun er internationale transaktioner, som tages i betragtning. Det er altså kun inter- og intraregionale transaktioner, som Visa indregner i programmerne.

I VFMP kigger Visa på svigagtige transaktioner, som er rapporteret inden for den seneste måned. Disse holdes op imod den seneste måneds salg, og man finder dermed webshoppens svindel-til-salg-ratio. Både svindel og salg udregnes i USD. I VCMP ses der nærmere på antallet af chargebacks i den seneste måned, som igen sammenlignes med den seneste måneds salg. Herved får man chargeback-ratioen (CTR).

Hvis en webshop oplever meget svindel/mange chargebacks fra et bestemt kort, vil Visa kun medregne de første 10 svigagtige transaktioner eller 10 chargebacks fra dette kort.

Visa har tre grænser; en, der udløser en advarsel, en “standard” og en “excessive”. Når en webshop overskrider en af grænserne, giver Visa indløseren besked herom. Indløseren er forpligtet til at give webshoppen besked. Derefter samarbejder webshop og indløser om at reducere niveauet af svindel/chargebacks.

Hvis en webshop kvalificeres som høj-risiko (MCC 5962, 5966, 5967, 7995, 5912, 5122), vil de automatisk blive underlagt Non-Compliance Assessments (straf/bøder) for “excessive” overtrædelse, selvom de kun overtræder “standard”-grænsen.

Hvad er lavet om - de nye grænser

Hvad sker der, hvis man overskrider grænserne?

I Visas terminologi kaldes en straf/bøde for en Non-Compliance Assessment.

Grænsen for “Early Warning” udløser en advarsel. Det er en notifikation, som har til formål at informere både webshop og indløser om, at de skal undersøge, hvad årsagen til den stigende mængde svindel er, og forsøge at løse de problemer, som de støder på.

Hvis en webshop overskrider “standard”-grænsen, får indløseren og webshoppen en fire måneder lang workout-periode, hvor de skal forsøge at reducere mængden af svindel/chargebacks. Hvis det ikke lykkes for dem, når de til en “enforcement periode” (håndhævelse).

I VFMPs “standard” enforcement period, er der ingen Non-Compliance Assessments i den forstand, at der ikke skal betales bøder eller lignende. Dog vil webshoppen i denne periode ikke kunne modgå en chargeback med årsagskode 93 (svindel) - heller ikke selvom de har beviser. Alle svindel-relaterede chargebacks skal automatisk accepteres af webshoppen.

VCMP har en “standard” enforcement period på 8 måneder, som opdeles i tre mindre perioder (måned 5-7, 8-9 og 10-12). I den første periode skal webshoppen betale $50 per chargeback, i anden og tredje periode er dette gebyr $100. Derudover skal webshoppen betale et evalueringsgebyr (review fee) på $25.000 i tredje periode.

Hvad med “excessive”-grænsen?

Hvis en webshop overskrider VFMPs “excessive”-grænse, skal de betale en Non-Compliance Assessment-bøde for hver måned, de overskrider grænsen.

Derudover kan de ikke modgå chargebacks med årsagskode 93 (svindel) og skal altså betale alle svindel-relaterede chargebacks.

Webshops, som er klassificeret som høj-risiko, eller som har overskredet “excessive”-grænsen for VCMP, skal betale $100 per chargeback i alle 12 måneder. Efter 6 måneder indtræder endnu en Non-Compliance Assessment, da de også skal betale $25.000 i evalueringsgebyr.

Alle Non-Compliance Assessments/bøder opkræves gennem indløseren, som derefter opkræver bøderne hos webshoppen.

Hvordan kommer man ud af programmet?

En webshop er ikke længere en del af programmet, hvis den har holdt sig under “standard”-grænsen i tre sammenhængende måneder. Hvis webshoppen på et senere tidspunkt igen overtræder grænsen, betragtes det som en ny sag.

Hvis webshoppen holder sig under grænsen i mindre end tre måneder, før de igen overtræder grænsen, vil programmet blive genoptaget fra den måned, hvor webshoppen senest havde en overtrædelse. Her er et eksempel:

Hvad sker der, hvis en webshop er i både VFMP og VCMP?

Hvis en webshop overskrider grænserne for begge programmer, vil de blive overvåget i begge programmer og modtage rapporter fra begge, men de er kun underlagt Non-Compliance Assessments for VCMP.

Hvis webshoppen falder under grænsen for VCMP, men stadig er over VFMP-grænsen, vil de skulle fortsætte på VFMPs tidslinje. Tabellen nedenfor viser et eksempel på det.

Hvad sker der, hvis en webshop ikke kommer under grænsen inden for 12 måneder?

Hvis en webshop ikke kommer under grænsen inden for 12 måneder, kan Visa udelukke dem fra deres betalingssystem, og de vil derfor ikke længere kunne tage imod Visa-betalinger. Oftest når de dog ikke så langt. Hvis indløseren fornemmer, at webshoppen ikke kan eller vil arbejde på at reducere mængden af svindel/chargebacks, kan de vælge at ophæve indløsningsaftalen. De kan også skrive dem ind i Visa Merchant Alert Service (VMAS) pga. meget svindel/mange chargebacks.

Hvordan kan man undgå svindel i sin webshop?

De nye grænser opfordrer webshopejere til at gøre en større indsats for at beskytte deres shop mod svindlere. Det kan gøres på flere forskellige måder:

• Tjek at hjemmesiden har et SSL-certifikat, som er udstedt i webshoppens navn.
• Lav manuelle tjeks på transaktioner. Hvis der er nogen form for uregelmæssigheder (f.eks. mange transaktioner, høje transaktionsbeløb, høj-risiko-lande osv.), er det en god indikator på, at din webshop er offer for svindel.
• Brug og analyser den TC40 og SAFE-data, som hver dag bliver gjort tilgængelig i Clearhaus’ API. Dataen gør det lettere at opdage usædvanlige kort eller BINs.
• Implementer 3-D Secure. Denne funktion kræver 2-faktor-autentificering af kunder, hvilket gør det svært for svindlere at bruge stjålne kort i din shop. Fra september 2019 træder et PSD2-mandat i kraft, hvilket gør 3-D Secure obligatorisk for transaktioner over 30 Euros.
• Vælg en indløser, som tilbyder svindelforebyggende værktøjer. Hos Clearhaus har vi vores eget svindelsporingsværktøj. Det afviser automatisk “risikable” transaktioner, hvilket i dette tilfælde er transaktioner med kort, som tidligere har været involveret i svigagtige transaktioner. Værktøjer har sparet vores kunder omkring 2,3 millioner euro.

Hvis du har spørgsmål omkring Visas nye grænser for svindel og chargebacks eller om PSD2, er du velkommen til at skrive en mail til os på support@clearhaus.com.