Leitfaden zur Betrugsprävention mit Treasury

Stripe Treasury ist eine Banking-as-a-Service-API, mit der Sie Finanzdienstleistungen in Ihre Plattformprodukte einbetten können. Mit Stripe Treasury (über unsere Partnerschaften mit inländischen US-Banken) können Sie Ihren verbundenen Konten ein einfaches Konto für gespeicherte Werte anbieten, das direkt in Ihre Anwendung integriert ist. So können diese finanzielle Aktionen durchführen und dadurch Gelder (über ACH-Überweisungen) senden und empfangen, Erträge erzielen und Kartenzahlungen tätigen.

• Geschäftlicher Betrug: Betrügerische Akteure/Akteurinnen erstellen ein verbundenes Konto mit einer falschen oder gestohlenen Identität in der Absicht, Betrug zu begehen.
• Transaktionsbetrug: Betrügerische Akteure/Akteurinnen nutzen kompromittierte Karten- oder Finanzkontodaten, um unbefugte Aktivitäten auf einem legitimen verbundenen Konto durchzuführen. Bei Stripe werden betrügerische Transaktionen als nicht autorisierte Abbuchungen von einer von Stripe ausgestellten Karte oder als nicht autorisierte Abbuchung von einem von Stripe ausgestellten Finanzkonto angezeigt.
• Betrug durch Kontoübernahme: Ein/e betrügerische/r Akteur/in verwendet gestohlene Anmeldedaten, um sich bei einem rechtmäßigen verbundenen Konto anzumelden und unbefugte Aktivitäten durchzuführen. Häufige Angriffe zur Übernahme von Treasury-Konten umfassen Überweisungen von Geldern auf ein externes Finanzkonto und die Durchführung nicht autorisierter Transaktionen mit einer von Stripe ausgestellten Karte.

Um sich vor Betrug zu schützen, müssen Sie sowohl verbundene Konten verifizieren, wenn diese sich für Treasury-Produkte anmelden, als auch die Transaktionen kontinuierlich auf Risiken überwachen.

Beispiele für geschäftlichen Betrug

Die häufigsten Arten von geschäftlichem Betrug sind Kundenbetrug (First-Party-Betrug), Third-Party-Betrug und Betrug durch erzwungene Erfassung oder Übererfassung. Ein geschäftliches Betrugsschema kann komplex sein und Transaktionsbetrug oder Betrug durch Kontoübernahme umfassen. Sehen Sie sich die Mechanismen an, die Ihnen bei der Entwicklung Ihrer Abwehrmaßnahmen helfen.

Beispiel für Kundenbetrug (ACH-Lastschrift)

In diesem Beispiel hat ein betrügerischer Akteur/eine betrügerische Akteurin Zugriff auf zwei Konten:

• Ein Finanzkonto bei dem Finanzinstitut A, das mit einer falschen Identität angelegt wurde
• Ein Finanzkonto bei Finanzinstitut B, das mit einer anderen Identität angelegt wird

1. Der/Die betrügerische Aktuer/in meldet sich bei seinem/ihrem Konto bei Institut A an und veranlasst eine ACH-Lastschrift, um Gelder von seinem/ihrem Finanzkonto bei Institut B abzuheben. In diesem Fall ist Institut A der/die Auftraggeber/in der Lastschrift (ODFI) und Institut B der/die Empfänger/in der Lastschrift (RDFI).
2. Wenn die abgebuchten Gelder auf dem Konto bei Institut A verfügbar werden, hebt der/die betrügerische Akteur/in sie sofort ab oder gibt sie aus.
3. Der/die betrügerische Akteur/in reicht eine Zahlungsanfechtung bei Institut B ein und behauptet, dass die von Institut A initiierte ACH-Lastschrift nicht autorisiert wurde.
4. Institut B veranlasst eine ACH-Rückgabe unter Hinweis auf die nicht autorisierte Abbuchung und zieht den Abbuchungsbetrag ein.
5. Das Konto bei Institution A weist einen negativen Saldo auf und der/die betrügerische Akteur/in gibt es auf.

Beispiele für Third-Party-Betrug

In diesen Beispielen hat ein/e betrügerische/r Akteur/Akteurin Zugriff auf zwei Konten:

• Treasury-Konto, das zu einem verbundenen Konto auf Ihrer Plattform gehört und von betrügerischen Akteuren/Akteurinnen mit scheinbar legitimen Informationen, häufig gestohlenen Identitätsdaten, erstellt wurde
• Externes Konto B bei Bank Y, das einem Dritten gehört, aber für die betrügerischen Akteurinnen/Akteure zugänglich ist, häufig unter Verwendung gestohlener Anmeldedaten

ACH-Kreditbetrug:

1. Der/Die betrügerische Akteur/in initiiert eine ACH- oder Banküberweisung von dem externen Konto B auf das Treasury-Konto A.
2. Wenn die gutgeschriebenen Gelder auf Konto A verfügbar werden, hebt der/die betrügerische Akteur/in sie sofort ab oder gibt sie aus.
3. Der/die tatsächliche Inhaber/in von Konto B teilt Bank Y mit, dass die Gutschrift nicht autorisiert war.
4. Bank Y gibt das Geld möglicherweise an den/die tatsächliche/n Besitzer/in zurück.

In diesem Szenario haftet Ihre Plattform möglicherweise nicht für die verlorenen Gelder, denn in den meisten Fällen kann das abgebende Finanzinstitut die eingehende Überweisung nicht zurückrufen. Ihr Treasury-Konto hat jedoch betrügerische Aktivitäten ermöglicht, was sich auf die Compliance und den Ruf von Stripe und unseren Finanzpartnern auswirkt.

ACH-Lastschriftbetrug:

1. Der/Die betrügerische Akteur/in veranlasst eine ACH-Lastschrift von Treasury-Konto A und ruft Gelder von externem Konto B ab.
2. Nachdem die Gelder auf Konto A freigegeben wurden, hebt der/die betrügerische Akteur/in sie sofort ab oder gibt sie aus.
3. Der/die tatsächliche Inhaber/in von Konto B teilt Bank Y mit, dass die Abbuchung nicht autorisiert war.
4. Bank Y gibt die Zahlung an den/die tatsächliche/n Eigentümer/in zurück.
5. Ihre Plattform muss die Gelder an Bank Y zurückzahlen.

Aufgrund der ACH-Bestimmungen haftet Ihr Unternehmen für die zurückgegebenen Gelder. Da der betrügerische Akteur/die betrügerische Akteurin sie bereits von Konto A abgehoben hat, muss Ihr Unternehmen einen Verlust hinnehmen, um die Rückzahlung an Bank Y vorzunehmen.

Beispiel für Betrug durch erzwungene Erfassung oder Übererfassung

In diesem Beispiel hat ein betrügerischer Akteur/eine betrügerische Akteurin Zugriff auf zwei Konten:

• Ein Finanzkonto mit beigefügter Karte bei Finanzinstitut A, das von dem/der betrügerischen Akteur/Akteurin mit falscher Identität erstellt wurde
• Ein Geschäftskonto bei Acquirer B, das entweder von dem/der betrügerischen Akteur/Akteurin mit einer anderen Identität erstellt wurde oder das rechtmäßige Konto einer anderen Partei, das von dem/der betrügerischen Akteur/Akteurin übernommen wurde

1. Der/die betrügerische Akteur/Akteurin verwendet die von Institution A ausgestellte Karte, um bei Acquirer B Autorisierungen zu erstellen, für die keine Rechte zur Anfechtung des Ausstellers bestehen. Beispiele hierfür sind Card-Present-Transaktionen mit einer Chipkarte oder Card-Not-Present-Transaktionen, die versuchen, 3D Secure (3DS) oder Visa Secure zu nutzen.
2. Der betrügerische Akteur/die betrügerische Akteurin verwendet dann das Konto bei Acquirer B, um die Erfassung oder Übererfassung der Autorisierungen zu erzwingen. Sie können eine einzelne Autorisierung mehrmals erfassen.
3. Acquirer B nimmt vom Geschäftskonto aus Auszahlungen an den betrügerischen Akteur/die betrügerische Akteurin vor.
4. Institution A kann die erfassten Beträge nicht bei Acquirer B anfechten und der Negativsaldo auf dem Kartenkonto bleibt bestehen.

Betrugsrisiko für neue Konten senken

Mit den folgenden Strategien können Sie Konten ermitteln, die erstellt werden, um Betrug zu begünstigen oder die anfällig für Missbrauch sind.

• Identität des Kontoinhabers/der Kontoinhaberin verifizieren: Führen Sie zusätzliche Schritte durch, um die Identität der Inhaber/innen verbundener Konten zu verifizieren, z. B. mit Stripe Identity. (Die Standard-KYC-Anforderungen für verbundene Konten verifizieren die Authentizität von Dokumenten, jedoch nicht die Identität der Person oder des Unternehmens, die sie bereitstellen.)
• Bankkontoinhaberschaft verifizieren: Verwenden Sie Financial Connections, um die externen Bankkonten Ihrer verbundenen Konten sicher einzurichten und Transaktionen mit ihnen durchzuführen.
• Unternehmensdomain verifizieren: Überprüfen Sie, ob der/die Kontoinhaber/in über eine E-Mail-Adresse in der Unternehmensdomain verfügt und ob er/sie E-Mails empfangen und beantworten kann.
• Onlinepräsenz des Unternehmens verifizieren: Erfassen und verifizieren Sie bei kleinen Unternehmen, Auftragnehmern/Auftragnehmerinnen oder kreativen Anbietern/Anbieterinnen deren Website und Social-Media-Konten.
• Unternehmenslizenzen verifizieren: Für Branchen, die eine Lizenzierung erfordern, erfassen und überprüfen Sie die Lizenzen Ihrer verbundenen Konten.
• Kontosicherheit implementieren: Setzen Sie Anforderungen wie die Zwei-Faktor-Authentifizierung und Passwortrichtlinien für Ihre verbundenen Konten durch. Stellen Sie Anleitungen zur Informationssicherheit bereit, z. B. zum Schutz von Kontoanmeldedaten und zur Erkennung von Phishing-Angriffen, und ermutigen Sie sie, ihre Treasury-Kontoaktivitäten mithilfe automatisierter Benachrichtigungen genau zu überwachen.
• Kontozugriff überwachen: Erfassen Sie Informationen wie Geräte-IDs und IP-Adressen, anhand derer Sie feststellen können, ob Aktionen mit hohem Risiko (wie Passwortänderungen) von einem sicheren Gerät an einem bekannten Ort stammen.
• Auf doppelte Informationen überwachen: Führen Sie eine Datenbank mit den Informationen, die zur Erstellung von Konten verwendet werden, die zuvor als betrügerisch identifiziert wurden, und überprüfen Sie neue Konten anhand dieser Datenbank.
• Überwachung des Anmeldevolumens: Ein plötzlicher Anstieg der Anzahl von Konten, die sich für Ihr Treasury-Produkt anmelden, kann darauf hindeuten, dass betrügerische Akteure/Akteurinnen eine Schwachstelle in Ihrer Plattform entdeckt haben.
• Zugriff auf schnellere Auszahlungen einschränken: Wenn Ihre verbundenen Konten auch Stripe für Zahlungen verwenden, beschränken Sie den Zugriff auf schnellere Treasury-Kontoauszahlungen auf vertrauenswürdige Konten. So können Sie beispielsweise schnellere Auszahlungen nur für Konten aktivieren, bei denen nach einer bestimmten Zeit oder einem bestimmten Verarbeitungsvolumen keine Probleme vorliegen. Wenn Sie Verluste aufgrund von Betrug erleiden, sollten Sie in Erwägung ziehen, schnellere Auszahlungen zu unterbinden.
• Zugriff auf Finanzierung per Pull-Methode einschränken: Beschränken Sie den Zugriff auf Transaktionen, die vom empfangenden Konto stammen, wie z. B. ACH-Lastschriften, auf vertrauenswürdige Konten. Wenn Ihre Konten ACH-Lastschriften erfordern, begrenzen Sie den Abbuchungsbetrag, den ein Konto verarbeiten kann, bis es sich als vertrauenswürdig erweist. Die meisten ACH-Lastschriftrückgaben erfolgen innerhalb von 4 Werktagen. Planen Sie also Auszahlungen auf neue Konten mindestens 4 Tage nach ACH-Lastschriften.
• Ganzheitliche Überprüfung auf Betrug: Überprüfen Sie jedes neu verbundene Konto zu einem bestimmten Zeitpunkt in seinem Lebenszyklus manuell auf Betrugsrisiken. Der geeignete Zeitpunkt für die Überprüfung hängt von der Anzahl Ihrer verbundenen Konten, Ihrem Geschäftsmodell und Ihrer Risikobereitschaft ab. Sie können sie an Bedingungen knüpfen, z. B. an eine bestimmte Anzahl von Transaktionen oder an einen bestimmten Betrag an Zu- oder Abflüssen, oder Sie können Konten sofort bei der Anmeldung überprüfen.

Betrugsrisiko bei Transaktionen und Kontoübernahmen senken

Die Risikominderung für einzelne Transaktionen umfasst sowohl allgemein gültige Strategien als auch Risikominderungen, die für bestimmte Transaktionstypen gelten.

Automatische Risikokontrollen

Stripe überwacht das Risikoniveau aller Geldbewegungen. Wenn unsere Modellierung eine Bewegung mit hohem Risiko feststellt, wie z. B. eine Reihe eingehender Überweisungen von Gegenparteien ohne ausreichende Deckung, blockieren wir diese und deaktivieren die inbound_transfers-Funktion des Kontos.

In seltenen Fällen von schwerwiegendem Betrug deaktiviert Stripe auch die Funktionen outbound_transfers, outbound_payments, card_issuing und intra_stripe_flows. Diese Aktion wird in der Regel durch neue Konten ausgelöst, die betrügerisch erscheinen.

Wenn wir eine Finanzkontofunktion deaktivieren, ist der Status dieser Funktion restricted_other mit dem Grund automated_fraud_prevention. Richten Sie einen Webhook ein, um Ihre Konten auf deaktivierte Funktionen zu überwachen und diese zu untersuchen, sobald sie auftreten.

Kennzahlen überwachen, die dabei helfen, Betrug zu erkennen

Die folgenden Metriken können auf potenziellen Betrug bei Treasury-Konten, die ebenfalls Stripe für Zahlungen verwenden, hinweisen. Wenn Ihre Konten einen anderen Zahlungsabwickler verwenden, können Sie ähnliche Metriken verwenden, die Ihren Zahlungssystemen entsprechen.

Spätindikatoren:

• Ablehnungsquote bei Konten mit Treasury im Vergleich zu anderen Konten
• Absolute Acquiring-Verluste bei Treasury-fähigen Konten
• Prozentsatz der Konten mit Verlusten, für die Treasury aktiviert ist
• Absoluter Verlust pro Konto auf Konten mit Treasury im Vergleich zu anderen Konten
• Zeit bis zur Erfassung von Verlusten bei Konten mit Treasury im Vergleich zu anderen Konten

Frühindikatoren:

• Anmeldequote für Konten mit Treasury im Vergleich zu anderen Konten
• Neue verbundene Konten mit einem hohen Volumen an empfangenen Gutschriften oder Lastschriften (ohne Acquiring-Auszahlungen) in den ersten 30 Tagen
• Geringes Acquiring-Bearbeitungsvolumen bei hohem Volumen an empfangenen Gutschriften oder Lastschriften (ohne Acquiring-Auszahlungen)
• Konten mit materiellen empfangenen Gutschriften oder Lastschriften, gefolgt von OutboundTransfers, wodurch der Kontostand des Treasury-Kontos auf null sinkt
• Konten, die bestimmte Gesamtbeträge bei internationalen Kartenausgaben oder OutboundTransfers überschreiten

Eindämmung von Betrug bei ausgestellten Karten

Die folgenden Strategien helfen Ihnen, betrügerische Aktivitäten bei Karten zu erkennen, die von Ihrer Plattform ausgestellt werden. Weitere Informationen zum Erkennen und Eindämmen betrügerischer Aktivitäten auf Ihren ausgestellten Karten finden Sie unter Umgang mit Betrug in der Issuing-Dokumentation.

• Ungewöhnliche Aktivitäten zur Überprüfung durch Karteninhaber/innen kennzeichnen: Überwachen Sie Ihre Transaktionen mit ausgestellten Karten auf verdächtige Aktivitäten und bitten Sie die Karteninhaber/innen, diese zu verifizieren. Einige Beispiele:
  • Transaktionen für große oder runde Beträge
  • Transaktionen, die den durchschnittlichen Transaktionsbetrag des Karteninhabers/der Karteninhaberin deutlich überschreiten
  • Transaktionen bei Einzelhändlern, die üblicherweise Geschenkkarten verkaufen, wie Lebensmittelgeschäfte und große Discounter
  • Erzwungene Erfassungen
  • Übermäßige Erfassung von Zahlungen
  • Transaktionen mit Unternehmen außerhalb des Landes des Karteninhabers/der Karteninhaberin
• Kartenausgaben begrenzen: Konfigurieren Sie Ausgabenkontrollen, um Ausgaben je nach Händlerkategorie oder Land zu blockieren oder zu begrenzen. Sie können Ausgabenkontrollen auf Karten oder Karteninhaber/innen anwenden, bei denen Transaktionen außerhalb ihres erwarteten Ausgabeverhaltens wahrscheinlich verdächtig sind.
• Karten in 3D Secure registrieren (3DS): 3DS ist eine zusätzliche Authentifizierungsebene für Karteninhaber/innen bei Online-Transaktionen, die nur funktioniert, wenn das Unternehmen und der Aussteller dies unterstützen. Wenn ein Unternehmen jedoch 3DS aktiviert, haftet der Aussteller für betrügerische Zahlungsanfechtungen, auch wenn er es nicht aktiviert. Wenn Sie Karten ausstellen, registrieren Sie diese für 3DS, um Ihr Unternehmen zu schützen.
• Visa Advanced Authorization Scores überprüfen: Stripe verwendet den Visa Advanced Authorization (VAA)-Score, um bestimmte verdächtige Autorisierungen zu ermitteln und zu blockieren. Wenn Sie möchten, dass wir Ihnen diese Bewertung über die API zugänglich machen, wenden Sie sich an treasury-support@stripe.com.

Eindämmung von ACH-Betrug bei eingehenden Überweisungen

Wir empfehlen die folgenden Strategien zur Bewertung des Risikos eingehender Überweisungen:

• Verwenden Sie Financial Connections, um die Inhaberschaft des externen Bankkontos zu überprüfen.
• Achten Sie auf ungewöhnliche Transaktionen, wie z. B. sehr häufige oder große Überweisungen.
• Wenn Sie eine eingehende Überweisungen erstellen, analysiert das Fehlervorhersagemodell von Stripe verschiedene Faktoren und gibt einen Wert in der Eigenschaft outcome.risk_score des Charge-Objekts zurück. Dieser Wert gibt die Wahrscheinlichkeit einer von der Bank initiierten Rückgabe an, beispielsweise aufgrund unzureichender Deckung oder ungültiger Kontoinformationen. Eine Bewertung von 65 oder höher zeigt ein erhöhtes Risiko an, und eine Bewertung von 75 oder höher zeigt ein hohes Risiko an.

Stripe bietet eine optionale Funktion an, mit der Sie eingehende Überweisungen vorübergehend aussetzen können, um Zeit für die Untersuchung potenzieller Betrugsfälle zu haben. Sie können das Konto beispielsweise kontaktieren, um die Übertragung zu bestätigen. Sie können Sperren so konfigurieren, dass sie erfolgen, bevor Stripe eine Überweisung an unsere Bankpartner vornimmt oder zwischen der Übermittlung der Überweisung und der Freigabe der Gelder auf das Treasury-Konto. Der Hauptunterschied besteht darin, dass Sie eine Überweisung nur stornieren können, bevor wir sie an die Bank übermitteln.

Weitere Informationen zur Verwendung von Sperren für eingehende Überweisungen finden Sie unter Eingehende Überweisungen manuell überprüfen

Automatic blocking of same-day inbound transfers

Same-day inbound transfers increase the risk of disbursing funds from a fraudulent debit before the fraud is detected. To mitigate this risk, the Stripe systems can prevent the creation of a same-day inbound transfer when they identify the transaction as having a high probability of fraud. When Stripe blocks an inbound transfer, the API returns an inbound_transfer_not_same_day_eligible error. This error indicates that we can’t guarantee same-day settlement for that transaction. Retry the transfer using standard ACH submission, which allows more time for the underlying ACH debit to clear, and reduces the platform’s exposure to fraud. For comprehensive details on handling this error and managing inbound transfers, see inbound transfers.

Eindämmung von ACH-Betrug bei ausgehenden Lastschriften

Wir empfehlen die folgenden Strategien, um das Risiko von ausgehenden Lastschriften zu mindern:

• Transaktionen mit hohem Risiko zur Überprüfung durch die Kontoinhaber/innen kennzeichnen: Überwachen Sie ausgehende Transaktionen auf verdächtige Aktivitäten und bitten Sie den/die Inhaber/in des Kontos, diese zu verifizieren. Einige Beispiele:
  • Abbuchungen für große Beträge oder für Beträge, die nahe an den erzwungenen Grenzwerten liegen
  • Lastschriften in Verbindung mit einem neuen Absender
  • Abbuchungsversuche für Beträge, die das Kontoguthaben übersteigen
• Verwenden Sie Push-Methoden für ausgehende Lastschriften: Ermutigen Sie Ihre verbundenen Konten, Push-Methoden wie Ausgehende Transfers anstelle von Pull-Methoden, die von externen Konten stammen, zu verwenden.
• Stornieren Sie verdächtige Transaktionen: Wenn Sie vermuten, dass eine ReceivedDebit betrügerisch ist, stornieren Sie sie, indem Sie eine DebitReversal verarbeiten. Sie müssen die Lastschrift innerhalb von 2 Werktagen nach der ursprünglichen Transaktion stornieren.

Auf erkannten Betrug reagieren

Wenn Sie potenziellen oder tatsächlichen Betrug erkennen, gehen Sie ihn sofort an. Ihre Antwort hängt von der Art des Betrugs ab.

Betrügerische oder kompromittierte Konten deaktivieren

Wenn Sie vermuten, dass ein Konto betrügerisch ist oder dass ein legitimes Konto von betrügerischen Akteurinnen/Akteuren übernommen wurde, deaktivieren Sie ausgehende Geldbewegungen, bis Sie den Betrug nachweisen können. Setzen Sie dazu die Funktion outbound_flows auf „Eingeschränkt“.

Wenn Sie sicher sind, dass ein Konto betrügerisch ist, deaktivieren Sie die beiden Funktionen outbound_flows und inbound_flows. Wenn das Konto einen Nullsaldo aufweist, können Sie es schließen.

Wenn ein legitimes Konto kompromittiert wird, lassen Sie alle bestehenden Anmeldesitzungen ablaufen und deaktivieren Sie die Anmeldungen. Wenden Sie sich an den/die Kontoinhaber/in, verifizieren Sie seine/ihre Identität und helfen Sie ihm/ihr, seine/ihre Anmeldedaten zurückzusetzen. Wenn das Konto sicher ist, reaktivieren Sie die Anmeldungen und Treasury-Funktionen.

Erwägen Sie bei Bedarf, ein Finanzkonto zu schließen und ein neues zu erstellen.

Betrügerische Transaktionen anfechten

Reagieren Sie schnell auf betrügerische Transaktionen, da es strenge Fristen gibt:

• Bei ACH-Lastschrifttransaktionen müssen Sie Stripe mindestens 24 Stunden vor dem Datum der Transaktionsabwicklung über jeden Rückgabeanforderung informieren. Sie können eine ACH-Lastschrift zurückgeben, indem Sie mit der API eine DebitReversal erstellen.
• Bei Kartentransaktionen können Sie eine Zahlungsanfechtung bis 110 Tage nach dem Einzug der Gelder einreichen. Sie können über das Dasboard oder die API eine Transaktion mit einer ausgestellten Karte anfechten.

Wenn Sie vermuten, dass eine ausgestellte Karte kompromittiert wurde, schließen Sie diese und stellen Sie eine Ersatzkarte aus.

Sicherheitslücke überprüfen

Untersuchen Sie den Betrug, um herauszufinden, wie die bestehenden Kontrollen umgangen werden konnten. Überprüfen Sie auch Ihre anderen Konten gründlich bezüglich der Ausnutzung derselben Sicherheitslücke. Überarbeiten Sie Ihre Systeme und Prozesse, um ähnliche Betrugsfälle in Zukunft zu vermeiden.