Bedrägeriets identitetskris

Bedrägeriets identitetskris handlar lika mycket om dem som försöker upptäcka det som dem som begår det. Även om bedrägeri alltid har varit en del av handeln, är det som har förändrats var det gömmer sig och hur det framträder. 

Under större delen av det senaste decenniet var arbetsmodellen för riskteam ganska enkel: Flagga det som verkar obekant. Nya enheter, ovanliga platser, inloggningsuppgifter som inte matchar. Den logiken gäller fortfarande för det den var avsedd att hantera. Men det bedrägeri som växer snabbast idag utlöser ofta inte de signalerna. Det kommer från verifierade konton, igenkända enheter och beteenden som passerar varje kontrollpunkt. 

Hos Adyen hanterar vi betalningar för världens största handlare globalt. Vad vi ser i vår data är ett skifte i hur risk beter sig. Det har blivit automatiserat och i många fall omöjligt att skilja från legitim kundaktivitet tills man analyserar beteenden över tid och sammanhang snarare än på transaktionen framför er.

Riskteamet står nu inför en annan typ av problem, ett där felaktiga beslut får omedelbara kommersiella konsekvenser. Det är ett problem som inte kan lösas enbart genom att skärpa kontrollerna, särskilt eftersom det ofta är kontrollerna själva som utnyttjas.

Vi behöver ett annat sätt att fatta beslut: ett som visar hur identitet och risk faktiskt fungerar i verkligheten. Istället för att behandla identitet som något som verifieras en gång och sedan antas förbli statiskt, borde vi se det som en kontinuerlig signal som utvecklas över tid och kräver kontinuerlig tolkning. Vi behöver även förstå att felaktigt nekade transaktioner inte bara är ett operativt problem utan också en stor kostnad för företaget, med konsekvenser som bör tas på lika stort allvar som bedrägeriförluster.

Denna rapport undersöker hur detta skifte utspelar sig — var bedrägeri blir svårare att upptäcka, varför konventionella försvar kämpar för att hänga med, och vad de organisationer som hanterar det väl gör annorlunda. Den andra delen utforskar hur det tillvägagångssättet ser ut i modern infrastruktur och strategi.

Bedrägeri är inget nytt. Men det syns inte längre vid ett enskilt tillfälle.

Idag ser de beteenden som driver bedrägeri ofta legitima ut vid transaktionstillfället, som en bekant kund på en tidigare känd enhet. Mönstret kan bli tydligt först med tiden, över konton och interaktioner.

Bedrägerier anpassar sig nu och fungerar i en ständig cykel, där taktiker förbättras i realtid. Det som fungerar upprepas, och det som inte fungerar slopas snabbt.

Istället för att testa en enda strategi kan bedragare köra tusentals variationer samtidigt – justera identitetsuppgifter, betalningsmetoder, hastigheten vid checkout eller transaktionsvärden för att utforska vad som fungerar.

Automatisering håller igång dessa attacker kontinuerligt, tillämpar det som fungerar och optimerar det i realtid. Varje utfall ger insikter, där godkännanden, nekade transaktioner och andra signaler formar nästa försök tills det kan uppfylla ett företags bedrägerikontroller.

Automatisering och AI skapar inte dessa mönster. De gör dem snabbare, mer konsekventa och lättare att skala.

Samtidigt förändrar automatisering och AI hur bedrägeri beter sig. AI har gjort det möjligt för bedragare att stärka syntetiska identiteter genom deepfakes, förfalskade dokument och andra taktiker som är utformade för att kringgå standardkontroller.

Eftersom dessa attacker är så lätta att automatisera och skala, riktar bedragare sig inte längre bara mot de största plattformarna. Företag av alla storlekar, inom varje bransch, i alla regioner kan utsättas för samma strategier, utförda med samma snabbhet och precision. Bedragare agerar inte inom ramen för varumärken eller sektorer; när de väl upptäcker ett kryphål i ett företag, testas och utnyttjas samma sårbarhet snabbt i andra företag.

I praktiken innebär detta att samma mönster kan förekomma i flera miljöer samtidigt. Skriptet som testar kortnummer på en plattform återanvänds för en annan. Samma kampanjväxlingsmetod används på ett dussin varumärken. Identitetsdata som en gång har verifierats återanvänds tills det inte längre kan användas. Det kan kännas bekant, men skillnaden är snabbhet och anpassningsförmåga – hur snabbt taktiker kan återanvändas.

Eftersom dessa mönster sträcker sig över handlare, kanaler och branscher, är företag med tillgång till större, högkvalitativa datamängder bättre positionerade att proaktivt upptäcka och förhindra bedrägeri.

Istället för att bara vara koncentrerat till ett fåtal transaktioner med högt belopp har bedrägeri utökats till att omfatta aktiviteter med lägre värde eftersom det har blivit enklare att skala.

Detta förändrar kraven på bedrägerisystem. System som är utformade för isolerade högriskhändelser upplever nu en kontinuerlig ström av bedrägeriförsök, vilket ökar både mängden beslut och osäkerheten mellan legitimt och bedrägligt beteende.

Skadan sträcker sig bortom bedrägeriförluster. Det märks i ökande kostnader för manuell granskning, fler felaktigt nekade transaktioner och förlorade intäkter.

Bedrägeri är inte längre bara kopplat till okända identiteter. Det fungerar numera genom identiteter och interaktioner som framstår som legitima.

I åratal fokuserade bedrägeriupptäckt på en snäv uppsättning frågor, däribland: Är detta en verklig person, och är de den de påstår sig vara? Dessa frågor spelar fortfarande roll. Men de räcker inte längre.

Utmaningen är inte längre bara statisk identitetsverifiering vid en enda tidpunkt, utan att förstå hur beteendet utvecklas genom kundens livscykel.

Samma konto eller enhet kan representera en äkta kund ena stunden och ett bedrägligt beteende i nästa — som ett nytt konto kopplat till en riktig kund men skapat endast för att få tillgång till en ny kampanj eller ett legitimt köp som senare returnerats under falska premisser.

Detta skifte återspeglas i de typer av bedrägerier som företag nu möter.

Förstapartsbedrägeri, där kunder gör legitima köp men sedan felaktigt bestrider debiteringarna via sin bank — genom att hävda utebliven leverans, defekter eller obehörig användning när inget sådant har inträffat — är nu en av de vanligaste formerna av missbruk, rapporterat av 44,3 % av företagen i vår undersökning.

Falska konton och identitetsmissbruk, som att sprida ut sin aktivitet över flera konton eller skaffa felaktig tillgång till erbjudanden för specifika grupper, följer tätt efter på 42,2 %.

Policy- och kampanjöverträdelse, där kunder utnyttjar handlarens policy direkt genom upprepade returer, upprepat utnyttjande av gratis provperioder, insamling av lojalitetspoäng eller stapling av rabatter utöver deras avsedda syfte, ligger inte långt efter på 39,8 %.

Förstapartsbedrägeri har blivit vanligt förekommande, och varje typ av bedrägeri härstammar från legitima identiteter, inte genom intrång hos legitima identiteter. Ur systemets perspektiv ser dessa beteenden ofta giltiga ut. De klarar av kontroller som är utformade för att identifiera obehörig åtkomst eller bedrägliga betalningsuppgifter.

Utmaningen är inte bara att identifiera de här användarna. Man behöver även förhindra att övergrepp upprepas.

Historiskt sett har bedrägerier angripit där försvaret är som svagast – till exempel från att utnyttja fysiska kort under magnetremssteknikens dagar till e-handel. Nu går det alltmer tillbaka till butiken. I takt med att skydden online har blivit bättre anpassar sig angripare genom att utnyttja luckor i fysisk detaljhandel, där färre signaler och mindre utvecklade kontroller gör det svårare att upptäcka felaktigheter.

Detta mönster förklarar varför problem som missbruk av återbetalningar vid fysisk handel (Point-of-Sale, POS) uppstår som en del av en bredare omfördelning av risk.

Allt dåligt beteende börjar inte med ont uppsåt. I många fall börjar det med incitament.

En rabatt för nya kunder uppmuntrar fler att registrera sig. En generös returpolicy minskar kostnaden för felanvändning. Gratis provperioder blir något att använda om och om igen snarare än en engångsförmån. Med tiden blir en aktivitet som tidigare var ett undantag normaliserad.

Olika digitala forum delar öppet med sig av sätt att lura system, från hur man maximerar kampanjer till hur man får återbetalningar godkända. Vad som en gång kunde ha betraktats som bedrägeri ses istället som ett kryphål eller ett sätt att få bättre värde. Kunder som inte ser sig själva som bedrägliga kan ändå göra saker som leder till förluster för handlaren. 

För företag gör detta problemet svårare att definiera och ännu svårare att lösa. Välkommen till gråzonen.

Utmaningen är inte brist på signaler. Ofta syns ingenting märkligt på transaktionsnivå, och mönstret framträder endast genom upprepning:

• Åtkomst till kampanjer skalad över flera konton

• Gratis provperioder som upprepade gånger utnyttjas med olika identiteter

• Returer strax under policygränserna

• Aktivitet avsiktligt spridd för att undvika upptäckt

• Presentkortsbedrägeri

När bedrägeri blir svårare att skilja från legitima kunder kan kostnaden för ett felaktigt beslut överstiga själva bedrägeriförlusten.

En liten andel av identiteter driver nu en oproportionerlig andel av risken. Men kontrollerna som används för att stoppa dem tillämpas alldeles för brett. I ett försök att förhindra bedrägerier från en minoritet av användare, inför företag begränsningar som påverkar alla.

Den verkliga kostnaden för bedrägeri visar sig inte bara i det som går igenom utan i det som blockeras. I vissa fall blockerar statiska kontroller upp till 10 % av legitima kunder, enligt Adyens plattformsdata.

Felaktigt nekade transaktioner, onödig friktion och ökande kostnader för manuell granskning är inte längre bieffekter; de är kärnan i hur bedrägerier påverkar intäkterna. 

De flesta bedrägeristrategier byggdes för att minimera förluster. Den modellen är nu föråldrad.

Bedrägerihantering förstås alltmer som en serie kommersiella beslut som i slutändan avgör hur mycket legitim omsättning ett företag kan säkra. 

Frågan är inte längre hur mycket bedrägeri ett företag är villigt att tolerera. Frågan är hur mycket legitima intäkter ni är villiga att förlora genom att försöka stoppa det.

När bedrägerier ökar kan ökad kontroll kännas som det självklara svaret. Fler regler, fler verifieringssteg, fler manuella granskningar, strängare policyer — allt detta medför kostnader och friktion. 

Effekten är redan tydlig. Att minimera driftskostnaderna för bedrägeri blev högsta prioritet för 29 % av handlarna under 2025, upp från bara 10 % under 2024, enligt MRC-data.

Vår undersökning visar att 58 % av företagen upplever ökade kostnader för manuell granskning, samtidigt som 50 % rapporterar en ökning av felaktigt nekade transaktioner. Med ytterligare kontroller som ofta förlitar sig på statiska signaler blockeras upp till 10% av legitima kunder.

Det finns ett glapp mellan upplevd risk och verklighet. För att skydda sig mot en liten grupp av bedrägliga identiteter, lägger företag till kostnader och hinder. Varje felaktigt nekad betalning hämmar den omedelbara konverteringen och skadar förtroende, lojalitet och framtida investeringar. Det blir en börda på era mest värdefulla kunder.

För de flesta företag är bedrägerihantering en serie kompromisser. Enligt vår undersökning gjorde 97 % av företagen minst en bedrägerirelaterad avvägning under det senaste året.

Bedrägeribekämpning fungerar inte längre som ett trubbigt verktyg.

Brett tillämpade kontroller ökar kostnaderna, minskar konverteringsgraden och urholkar förtroendet för ert varumärke. När de tillämpas korrekt blir de en tillväxtmotor — förbättrar andelen godkända betalningar, minskar onödig friktion och säkerställer det långsiktiga värdet av varje kund. Att inte reagera på isolerade transaktioner utan att förstå mönster. Att inte skapa friktion över hela brädet, utan att fördela den där den har störst effekt.

Nästa fråga är vad som faktiskt krävs för att se skillnaden.

Om traditionella identitetskontroller inte kan skilja legitima kunder från bedrägliga beteenden, vad kan då göra det?

Tidigare kapitel beskrev en bedrägerimiljö där en snabbt växande riskfaktor kommer från befintliga användare: verifierade konton, bekanta enheter och aktivitet som passerar varje kontrollpunkt.

Detta skifte innebär att det är svårare än någonsin att skilja legitima kunder från bedrägeri.

Svaret är inte mer omfattande verifiering. Identitet är inte längre något som bara bekräftas en gång. Det är dynamiskt – ett kontinuerligt lager av sammanhang byggt på aktivitet genom hela kundlivscykeln, snarare än att valideras vid en enskild tidpunkt.

Verifiering besvarar en binär fråga vid ett enda tillfälle – är du den person du utger dig för att vara? Identifiering bygger upp en bild över tid — passar den här aktiviteten mönstret för en betrodd kund?

Skillnaden är viktig eftersom bedrägerier har lärt sig att klara verifieringen. Bedrägerier kan däremot inte replikera en beteendehistorik lika enkelt. En återkommande kund som handlar inom sitt vanliga intervall på en igenkänd enhet stöter på minimala problem. Men när samma mönster skiftar – till ovanligt frekventa returer eller aktivitet fördelad över flera konton – blir förändringen i avsikt synlig, även när identiteten i sig inte har ändrats.

Förtroende förtjänas och dokumenteras, det ges inte på en gång och tas för givet.

Värdet av sammankopplad identitet ackumuleras över ett bredare nätverk. En enskild kund kan bygga upp ett beteendemässigt sammanhang inom sitt eget ekosystem. Men igenkänning på nätverksnivå – som bygger på signaler från en mängd olika kunder och enheter – skapar en bättre bild redan från den allra första interaktionen.

I Adyens globala nätverk finns det 84 % sannolikhet att en identitet redan har förekommit i transaktioner, företag, utbetalningar eller kortutgivning. Det innebär att även nya kundrelationer kan börja med kontext, vilket möjliggör säkrare beslut tidigare och mindre friktion för kunder som redan har visat ett pålitligt beteende på andra håll.

Det är ett system där igenkänning blir får ett tydligt värde.

Historiskt sett har bedrägeriförebyggande fokuserat på två grundläggande utmaningar: att identifiera goda aktörer kontra dåliga aktörer – vanligtvis genom beteendesignaler – och att autentisera behörighet för att säkerställa att personen som initierar en transaktion har rätt att göra det.

Agentbaserad handel introducerar en tredje aktör, agenten, vilket både försvårar dessa problem och skapar helt nya utmaningar. Handlare måste nu också:

• Identifiera legitima agenter kontra illvilliga eller exploaterande

• Säkerställa att en agent har rätt att agera för en kund

• Säkerställa att agenten verkar inom ramarna för vad kunden faktiskt avsåg

Den sista dimensionen, avsikt, är ny. Även en legitim, autentiserad agent kan bete sig på sätt som avviker från era förväntningar på grund av optimeringsstrategier, fientlig manipulation eller felaktigt anpassade incitament.

Denna förändring gör handel med AI-agenter till en unik utmaning när det gäller bedrägerier — inte bara en snabbare version av det som kom före. Risken är inte bara att illvilliga aktörer använder agenter. Det handlar om att betrodda agenter och illvilliga aktörer blir allt svårare att skilja åt vid transaktionen, och att befintliga system inte är utformade för att identifiera skillnaderna. 

Agentdriven handel förväntas påverka en betydande del av betalningsvolymen under de kommande fem åren. Men dess påverkan ser olika ut för olika branscher. Det gäller även riskerna.

I en tid där AI-botar kan handla åt konsumenter räcker det inte längre att tillämpa bedrägerikontroller i er checkout. När en agent väl når den punkten har många beslut redan fattats, ofta inom system som kunden inte kan observera eller kontrollera. Resultatet är större exponering för återkrav, missbruk av återbetalningar, utnyttjande av kampanjer och transaktioner som är tekniskt giltiga men inte överensstämmer med användarens avsikt.

Kort sagt måste förtroende etableras tidigare mellan system, protokoll och deltagare – inte bara vid betalningstillfället.

Dessa dimensioner utvecklas fortfarande, men några tydliga tillvägagångssätt håller på att formas:

Beteendeanalys

Bedrägerisystem måste anpassa sig för att känna igen agentspecifika beteendemönster, inte bara mänskliga sådana. Det handlar exempelvis om att träna modeller baserade på agentstyrda interaktionsmönster, att fånga upp signaler tidigare i transaktionens flöde och att dela mer data mellan ekosystemdeltagare, inklusive kund, kortnätverk, utfärdare och AI-plattformar.

Identifiering av agenter

Det kommer att vara avgörande att kunna skilja mellan pålitliga och opålitliga aktörer. Detta kommer sannolikt att bero på samarbete med betalningsnätverk och finansinstitut, gemensamma identitetsramverk eller register för agenter, och standardiserade signaler som indikerar agenters härkomst och rykte.

Autentisering och delegering

Befintliga autentiseringssystem var inte designade för delegerad handel med agenter och dylikt. Arbetet pågår för att utöka de nuvarande protokollen för att stödja agentbaserad auktorisering, definiera hur samtycke och delegering registreras och verifieras, samt anpassa nya transaktionsmönster till branschstandarder och regelverk.

Mekaniken bakom bedrägerier har i grunden förändrats. År 2026 ligger de mest betydande riskerna inte längre i periferin; de verkar inom de system och beteenden som är utformade för legitima kunder. Detta skifte gör traditionella riskregler mindre effektiva och bred kundfriktion dyrare.

Det handlar inte om fler kontroller utan om större precision – genom att använda dynamisk identitet, beteende och kontext för att skilja mellan tillit och risk tidigare i kundresan.

På så sätt blir bedrägerihantering mer än en defensiv funktion. Det blir ett sätt att skydda intäkter och driva tillväxt, samtidigt som ni fattar bättre beslut om var och hur förtroende tillämpas.