In Nederland neemt creditcardfraude online snel toe, met name via nepwebshops en valse betaalpagina’s. Banken en betaalbedrijven zien dat criminelen slimmer inspelen op digitale betaalstromen. Dit raakt consumenten én webwinkels, en speelt in heel Europa. Europese digitalisering heeft gevolgen voor het bedrijfsleven: strengere regels helpen, maar fraudeurs passen zich snel aan.
Kaartfraude verschuift online
De meeste slachtoffers zien ongeautoriseerde betalingen na een aankoop in een dubieuze webshop of na het invullen van kaartgegevens op een valse betaalpagina. Dit heet card‑not‑present-fraude: de kaart is niet fysiek aanwezig, maar de gegevens worden misbruikt. Criminelen zetten vaak kopieën van bekende winkels op, inclusief logo’s en schijnbaar echte betaaliconen. De schade ontstaat snel, omdat transacties direct via internationale netwerken van Visa en Mastercard lopen.
Ook phishing speelt een grote rol. Slachtoffers krijgen e-mails of appjes met een link naar een “betaling” of “bezorging”, die uitmondt in een neppagina. Die pagina vraagt om kaartgegevens, CVC-code en soms zelfs 3D Secure-codes. De combinatie van sociale druk en realistische vormgeving maakt dit effectief.
Daarnaast worden advertenties en resultaten op grote platforms benut om nepaanbiedingen hoger te laten scoren. De Digital Services Act (DSA) verplicht platforms om op te treden tegen misleidende content, maar opsporing en verwijdering kosten tijd. Intussen verplaatsen bendes hun domeinen en advertenties voortdurend om detectie te ontwijken.
Card‑not‑present (CNP)-fraude is fraude bij betalingen zonder fysieke kaart, bijvoorbeeld bij online aankopen of telefonische bestellingen.
Zo herken je nepwebshops
Nepwebshops hebben vaak herkenbare sporen. Een lage prijs, beperkte betaalopties en onvolledige bedrijfsgegevens zijn belangrijke rode vlaggen. Controle van het webadres en de eigenaar van het domein helpt om snel twijfel weg te nemen. Een slotje (https) is nuttig, maar geen bewijs van betrouwbaarheid: ook nepsites gebruiken versleuteling.
- Controleer bedrijfsgegevens: KvK-nummer, vestigingsadres, e‑mail en telefoon. Ontbreken ze of kloppen ze niet, dan is het verdacht.
- Zoek het btw-nummer op in VIES (ec.europa.eu/taxation_customs/vies) en check .nl-domeinregistratie bij SIDN (sidn.nl/whois).
- Bekijk retourbeleid en recht van ontbinding: in de EU geldt 14 dagen herroepingsrecht voor online aankopen.
- Check reviews op meerdere plekken en let op recente, inhoudelijke beoordelingen en consistente bedrijfsnamen.
- Let op betaalmethoden: alleen overschrijving naar een buitenlands IBAN of vage crypto-adressen is risicovol.
Controleer daarnaast of het retouradres realistisch is en overeenkomt met de bedrijfsregistratie. Bij bekende keurmerken zoals Thuiswinkel Waarborg, klik door naar de officiële pagina van het keurmerk om te zien of de winkel echt gecertificeerd is. Grote merknamen die afwijkende domeinen gebruiken (bijv. merk‑naam‑outlet‑sale.xyz) zijn vrijwel altijd fout.
Let op signalen rond afrekenen. Word je doorgestuurd via meerdere onbekende domeinen of wisselt de betaalpagina van taal of land, breek dan af. Komt 3D Secure niet in beeld bij een grote aankoop met je creditcard, dan is dat ongebruikelijk en reden om extra alert te zijn.
Sterke klantauthenticatie helpt
Met PSD2 verplicht Europa sterke klantauthenticatie (SCA): een extra stap bij betalen, zoals een app‑bevestiging of biometrie. Kaartbetalingen gebruiken hiervoor meestal EMV 3‑D Secure 2, een protocol dat risicovolle transacties extra controleert. Dat drukt veel standaardfraude, maar criminelen wijken uit naar social engineering om die extra stap te omzeilen. Bijvoorbeeld door slachtoffers live te begeleiden bij “bevestigen”.
Banken en betaalinstellingen passen risicogebaseerde analyses toe met honderden signalen, zoals apparaatkenmerken en locatie. Verdachte transacties worden geblokkeerd of krijgen extra controles. Toch kan misbruik door datadiefstal buiten het bankdomein plaatsvinden, bijvoorbeeld via gehackte webshops of gelekte kaartgegevens. Dan is snelheid bij signalering cruciaal.
Voor consumenten werkt tokenisatie via Apple Pay en Google Pay extra beschermend. De echte kaartnummers worden dan vervangen door een uniek token, wat hergebruik voor fraudeurs bemoeilijkt. Webwinkels kunnen het risico verlagen door netwerk‑tokenisatie via hun betaalserviceprovider (PSP) en door SCA altijd goed te implementeren.
Rechten en plichten consumenten
Wie met creditcard betaalt, heeft meestal recht op chargeback: het terugboeken van een ongeautoriseerde of niet‑geleverde aankoop via de kaartuitgever. Meld de transactie meteen bij de bank en volg de disputestappen met bewijsstukken, zoals screenshots, orderbevestigingen en e‑mails. Bij iDEAL bestaan geen algemene chargeback‑rechten, maar banken en Currence (iDEAL) ondersteunen wel onderzoek bij fraude of misleiding. Snel melden vergroot de kans op herstel.
Consumenten hebben in de EU recht op 14 dagen bedenktijd bij online aankopen, met uitzonderingen zoals maatwerk. Een webshop moet duidelijke informatie bieden over identiteit, retouren en klachtenafhandeling. Ontbreekt die informatie, dan is dat een signaal om niet te kopen. Het Europees Consumenten Centrum (ECC Nederland) helpt bij grensoverschrijdende geschillen binnen de EU.
Bij datamisbruik geldt de AVG: bedrijven moeten dataminimalisatie toepassen en kaartgegevens versleuteld verwerken. Als jouw gegevens zijn gelekt, moet het bedrijf dat – als er risico is – melden aan de Autoriteit Persoonsgegevens en soms ook aan jou. Dat biedt handvatten om maatregelen te nemen, zoals het vervangen van kaarten en het monitoren van transacties.
Bedrijven moeten beter beveiligen
Webwinkels dragen verantwoordelijkheid voor veilige betaalprocessen. PCI DSS‑normen schrijven voor hoe kaartgegevens worden opgeslagen en verwerkt. In de praktijk is uitbesteden aan een gecertificeerde PSP het veiligst, zodat de webshop zelf geen gevoelige data hoeft te bewaren. Dat verkleint het aanvalsoppervlak en versnelt compliance.
Verder hoort bij modern fraudemanagement: 3‑D Secure 2, adres- en naamcontrole waar beschikbaar, device‑fingerprinting, velocity‑checks en blokkades op high‑risk landen. Combineer dit met een helder retour‑ en klachtenproces om misbruik te beperken. Monitor merk- en domeinmisbruik actief en meld nepwebshops bij hostingproviders, zoekmachines en toezichthouders zoals de ACM.
De DSA verplicht platforms tot aanpak van misleidende advertenties en nepverkopen, en PSD2/SCA verhoogt de drempel bij betalen. Toch blijft menselijk gedrag de zwakste schakel. Training van klantenservice en heldere waarschuwingen op de site verminderen het risico op social engineering. Zo worden de Europese regels concreet toepasbaar en beperken bedrijven de impact van digitalisering op fraude.
Wat te doen bij fraude
Blokkeer direct je kaart via de bankapp of noodlijn en wijzig wachtwoorden die je rond de aankoop gebruikte. Noteer tijdstippen, bedragen en webadressen en maak screenshots van de site en communicatie. Dien een chargeback‑ of betwisting in bij je kaartuitgever en volg de gevraagde stappen volledig. Hoe eerder je handelt, hoe groter de kans op terugbetaling.
Doe aangifte bij de politie en meld het incident bij de Fraudehelpdesk. Die meldingen helpen bij opsporing en het neerhalen van malafide sites. Scan je apparaten op malware en controleer of je gegevens elders zijn misbruikt. Overweeg een tijdelijke transactie‑alert via je bank of creditcardapp om sneller onraad te zien.
Koop voorlopig niet bij de betrokken webshop en deel de bevindingen met het keurmerk of de hostingpartij van de site. Vraag bij twijfel advies aan je bank of het ECC Nederland over je rechten bij grensoverschrijdende situaties. Zo verklein je je eigen schade en help je anderen dezelfde val te vermijden.