By Frågen icke efter dem. De äro blinda ledare; och om en blind leder en blind, så falla de båda i gropen.
Matteus 15:14
Jag läser idag att anmälningsstatistiken för kortbedrägerier gått ner med 28% under årets sex första månader, jämfört med förra årets anmälningar. Och att det är ett trendbrott efter ca 10 års ständiga ökningar.
Det som avses med siffrorna är så kallade CNP-bedrägerier (CNP = Card Not Present) eller som BRÅ och Polisen benämner det i statistiken: ”Kortbedrägeri (bank, betal- och kreditkort) – Utan fysiskt kort”
Ref: https://sverigesradio.se/sida/artikel.aspx?programid=83&artikel=7513189
Det innebär alltså att kortuppgifter som 1. Innehavarens namn, 2. kortnummer, 3. utgångsdatum samt 4. CVV/CVC-kod kommit i obehörigas händer, som sedan kan utnyttjas för egen vinning eller säljas vidare uppgifterna till annan obehörig.
Det jag förvånas stort över är att Polisens talesperson ger SIN förklaring till anledningen, istället för att lägga sig platt och tillstå att man inom Polisen inte har en ringaste aning om orsakerna till att siffrorna stadigt gått ner under senaste halvåret.
För jag menar att det är det korrekta att göra för Polisen – då jag menar att anledningen till nedgången ligger HELT utanför svenska Polisens inblandning.
CNP – Sveriges mest anmälda brott!
Faktum är dessutom att statistiken för SVERIGES MEST ANMÄLDA BROTT (med över 105 000 anmälningar 2 år på rad), med ett par månaders undantag (som pikat upp) istället haft en längre nedåtgående trend, ända sedan ca februari 2019 faktiskt.
(Vem vet, kanske är det ”någon” som haft sommar- och juluppehåll kanske?)
I februaris rapport, menade Polisen att uppgången av anmälningar i januari 2020 berodde på att konsumenter handlade så mycket på nätet i december, men anmälde det först i januari.
Polisens talesperson uttalade sig även i TV4-Nyheterna 11/7, med att lägga fram det nya betalningsdirektivet PSD2, som gäller inom EU sedan 14 september 2019 som en tänkbar förklaring till att färre anmäler att deras kortuppgifter hamnat i orätta händer.
https://www.tv4play.se/program/nyheterna/13282446
Något man även gör i Polisens Juni-rapport, vilket ju får ses som ytterst märkligt då COVID-19-pandemins hemkarantän lett till en aldrig tidigare skådad e-handelsboom, inte bara i Sverige, utan globalt – för aldrig tidigare har så många köp skett över internet som under våren 2020, men istället för att skriva att anmälningarna nog kommer att anmälas efter sommaren, så anser man nu istället att det är PSD2 som anledning till nedgången av anmälningar.
trots att Polisen i november 2019 (alltså 2 månader efter att PSD2 införts i EU), publicerade en studie över just CNP-bedrägerier och att det kostade Svenskar 2 miljarder på år.
Källa: https://polisen.se/aktuellt/nyheter/2019/november/samlat-grepp-behovs-for-att-komma-at-kortbedragerierna/
Medan (JAG menar att) problemet är att PSD2 inte har någon som helst påverkan över hur många konsumenters kortuppgifter kommer i orätta händer.
(och varför svensk Polis inte förstått detta är för mig en stor gåta – handlar de inte själva på nätet? eller kan de inte tänka kritiskt?)
Vad är PSD2 (RTS/SCA)?
Det som kallas PSD2 handlar egentligen om RTS/SCA
RTS = ”Regulatory Technical Standards” RTS är en ny teknisk standard som är till för att kunna genomföra syftet med det andra Betaltjänstdirektivet från EU/EES (PSD2). Den tekniska standarden är obligatorisk och införs via lagstiftning i EU-länderna.
SCA = ”Strong Customer Authentication”, på svenska stark kundautentisering (kundidentifiering) i samband med att man genom för transaktioner.
Så PSD2 innebär att en e-handlare inom EU behöver säkra kunden genom exempelvis kod eller e-id (för svenskt vidkommande innebär detta vanligtvis genom BankID eller FrejaID el motsvarande), men det finns flera svagheter i detta förfarande, där jag ser det odefinierade ”butik” som den absolut största:
Jag vill poängtera att det alltså inte står ”FYSISK” butik, vilket då leder till att det även gäller för en ”webbutik” och helt plötsligt är andemeningen med PSD2 fullständigt värdelöst (förklarar längre ner).
Undantagen från PSD2 (RTS/SCA):
- Korttransaktioner som görs i butik utan att kortkunden är närvarande, till exempel Abonnemangsbetalningar (så kallad Recurring).
- Telefonorder (utan betallänk)
- Anonyma förbetalda kort (så kallat Prepaid-kort, presentkort)
- Korttransaktioner där kortutgivaren är utanför EU/EES
Ingen vet om en sida använder PSD2!
Ovan är alltså av EU-direktivet säger och om vi då låter oss invaggas i att detta efterföljs och ska handla på en valfri webbutik, så beställer vi varan, vi skriver in våra personuppgifter dit varan skall skickas, väljer transportsätt och sedan i våra kortuppgifter för betalning.
Och det är så här långt alltså ingen skillnad före som efter PSD2:s införande – Du knattrar in dina uppgifter precis som tidigare.
Och det är HÄR nästa problem i denna kråksång träder in, för det finns inte någon chans för en konsument att veta utifall webbutiken verkligen kräver en stark kundautentisering, eller inte.
Detta eftersom OM DEN FINNS, startar först EFTER vi skickat iväg våra kortuppgifter (klickat på ”SKICKA MIN BESTÄLLNING”). Det kan alltså lika gärna vara ”kapade bilder” och ett e-postformulär vi suttit och fyllt i.
Och vet du vad – då är allt redan för sent!
https:// (hänglås) är en falsk trygghet!
Jo, men sidan använder ju https (säker anslutning), så då är ju allt i sin ordning, eller!?
Nej inte alls! Det senaste halvåret så har ca 75% av alla phishingsidor (som samlar in person- och kortuppgifter) använt sig av https
(se bild och länkkälla nedan)
Konsumenternas kortuppgifter fortsätter att hamna i orätta händer – oavsett PSD2 – eller inte!
Om det nu i mitt tidigare exempel visar sig vara bedragare som via en phishingsida samlar in mina kortuppgifter – vad gäller då?
Jo, det är korrekt som Polisen meddelar att flera av bankerna tillåter såväl geoblockering som blockering mot köp via internet. Och om du har detta påslaget, så hålls du som konsument (vanligen) helt skadeslös.
MEN..
..det innebär inte att dina kortuppgifter är fredade, utan bedragare kan naturligtvis använda dessa i länder UTANFÖR EU, som inte lyder under PSD2.
Bedragaren handlar hos en butik och anger de kapade kortuppgifterna – vad händer, jo köpet går igenom, men det är istället butiken som kommer att stå med svarte petter i handen, utan att få pengar från banken.
Vad händer då tror du, jo butiken kanske anmäler brottet hos sin nationella Polis i Bolivia, Sydafrika eller Pakistan eller var det nu kan vara ..och sen då?
Jo, eftersom det är en svensk persons kortuppgifter som använts, så skickas i bästa av världar en rätthjälpsbegäran till Sverige, men här har vi ju ingen misstänkt eller något brottsoffer, då kortet varit spärrat och det klassas inte ens som bedrägeri, då den svenske innehavaren inte förlorat några pengar.
Kortuppgifterna har endast varit ett verktyg för att genomföra det misstänkta bedrägeriet.
Den konsument vars kortuppgifter använts för transaktioner i Långtbortistan får rådet av Polisen att inte anmäla brott, för det finns ju ingen drabbad..
Handlaren i Långtbortistan får ta smällen och CNP-bedrägerierna fortsätter precis som förut..
..men nu står svenska konsumenter skadeslösa.
Jag anser alltså att Polisen har fel om den nedåtgående trendens orsaker.
Jag menar ett CNP-bedrägerier bottnar i godtrogna konsumenters oförsiktiga köpvanor och bristande källgranskning av de sidor de frikostigt lämnar ifrån sig sina kortuppgifter på.
Det finns i huvudsak två olika varianter som lockar till detta:
- Abonnemangsfällor / Prenumerationsfällor
- Det jag kallar för ”Kina-shoppar” och internationellt för ”fake shops”
Abonnemangsfällor / Prenumerationsfällor
Abonnemangsfällor / Prenumerationsfällor kommer i många olika format som e-postmeddelanden, annonser i Google eller Social Media, som inlägg i kapade Social Media konton, SMS, eller felstavade domänadresser.
Det vanliga är att något dyrt, fint och värdefullt erbjuds för en mycket liten peng som skall betalas som fraktkostnad. Eller än vanligare är faktiskt att du påstås ha VUNNIT, för att sedan klicka vidare till en sida där det står GRATTIS (betala bara fraktsvgift), När du klickar dig vidare så flyttas du till en annan adress, där du uppger dina personuppgifter och sedan vidare till en annan adress, där du ska uppge dina kortuppgifter, men i det finstilta så får du ÄVEN ett gratis prov-abonnemang på en hitte-på-tjänst som sedan tickar på med 750-1500 per månad.
Hur går det till?
Jo, ALLT: SMS:et, sidorna som lovar dig fina presenter och allt annat är bara fejk och avsedda för att självmant lämna ifrån dig kortuppgifterna. Men vaddå säger du, det skulle ju bara kosta 19 kronor i fraktkostnad?
Men nej, du glömde att läsa det finstilta där det står att de drar 749 kronor och det var ju det allting gick ut på.
Här står det att någon skall ge dig 2 stycken flygbiljetter för 19 kronor..
Men observera att här har det gått från att du var en vinnare till att du kan vinna..
Ja, men 19 kronor är ju inte så farligt tänker många som blivit förblindade av de utlovade biljetterna. Det är ju inte hela världen om jag riskerar den tjugolappen..
Problemet är att man inte läst det viktiga som står i det finstilta.
Och utan att tänka på det så har du lämnat ut dina fullständiga person- och kortuppgifter till.. ja det vet du inte, men tror säkert bara att du riskerar att förlora de där 19 kronorna (när du i själva verket lämnat ifrån dig nyckeln till ditt bankkonto)
Som ni ser, så har vinsten på de två flygbiljetterna nu även förvandlats till att man är med i en utlottning som påstås ske 7 månader senare. När man lägger fram det på detta vis, så blir det ganska uppenbart även för den som lurats.
Utreder Polisen denna typ av bedrägerier? Svar: nej
(De 3 rekvisiten för bedrägeri: 1 = Gärningsman som gynnas ekonomiskt. 2 = Brottsoffer som drabbas ekonomiskt. 3 = Uppsåt, avsiktligt förledande)
Källa
Men det är väl ingen som låter sig luras av sånt här, tänker kanske någon.
Men när Konsument Europa och Sifo Kantar undersökte detta 2017, så hade över 200 000 svenskar drabbats de 3 senaste åren (vilket innebär 66 666 per år = 1 drabbad per 8:e minut)
Källa: https://www.konsumentverket.se/aktuella-konsumentproblem/nyheter-och-pressmeddelanden/nyheter/2017/manga-svenskar-i-abonnemangsfallor/
När jag ett par år senare föreläste för KV/KE, så fick jag information om att problemet närmast fördubblats sedan undersökningen. Så detta är ett jätteproblem och en stor rotorsak till att kortuppgifter hamnar på villovägar.
Vad gör Polisen åt Abonnemangsfällor?
Det vet jag faktiskt svaret på: ingenting!
Jag har tidigare haft flera kontakter med utredningsledare på NBC och i nedan bild, så serverade motsvarande motsvarande händelsekedja (och falska löften, dolda avgifter och en massa annat), som jag fick denne att gå till Polisjurist med, för att denne skulle ge sin syn på saken: svaret ser du nedan.
Värt att nämna i sammanhanget är att NBC ger utredningsdirektiv åt samtliga bedrägeriutredare i landet. Och för abonnemangsfällor så var beskedet ”Skall ej utredas av svensk polis”!
I det fallet var det ett av de väldigt många inkastarbluffar som lockar med presentkort hos IKEA.
Det mest besvärliga med dessa ”inkastare” är att de mycket sällan använder .se/.nu-adresser, vilket skulle göra det mer hanterbart för aktörer i Sverige att stävja och kartlägga.
Kina-shoppar / fake shops
Ni har alla sett dem, besökt dem och funderat över om inte priset är FÖR BRA FÖR ATT VARA SANT!?
Det finns idag tusentals, kanske tiotusentals ”kina-shoppar” som inriktar sig mot svenska konsumenter. Det är dock såklart helt omöjligt att avgöra om en fejkad sig kommer att skicka en 1. tegelsten till dig, 2. ett par piratkopierade skor eller 3. ingenting alls.
Men i Polisens ögon så är 1. och 2. något du INTE som du ska anmäla till Polisen, utan de hänvisar dig och din tegelsten till Konsumentverket istället.
Problemet är att det inte stämmer..
Konsumentverket är en svensk myndighet, som ansvarar för konsumentskydd i Sverige och utövar tillsyn mot svenska företag.
– Alltså helt tandlösa mot anonyma webbsidor från bortre asien..
Men Konsument Europa då?
En liten del av Konsumentverket heter Konsument Europa och som tillhandahåller råd och hjälp till konsumenter som handlat i annat land inom EU, Norge och Island.
– Alltså helt tandlösa mot anonyma webbsidor från bortre asien..
Kontentan av detta är alltså att du som beställt och betalat för de fina märkesskorna, hänvisas av Polisen till en myndighet som INTE kan eller har möjlighet att hjälpa dig, om du fått något skräp skickat till dig.
Fördelen med kina-shoppar/fake shops som riktas mot svenska konsumenter är att de i hög utsträckning använder sig av .se/.nu-adresser, vilket ger större möjligheter för olika aktörer i Sverige att försvåra för dessa verksamheter (vilket jag menar också har skett sedan februari 2019)
Möjligheten att bedra svenska konsumenter via falska kina-shoppar har alltså kraftigt decimerats med XX XXX adresser bara det senaste året.
Vilket vare sig är Polisens eller PSD2:s förtjänst.
Vi har ovan sannolikt de två mest vanliga anledningarna till CNP
..alltså att kortuppgifter kommer på villovägar och om sedan anmälan (egentligen) rör den där dolda hitte-på-tjänsten som konsumenten faktiskt (ovetandes förletts) att gå med på, eller om kortuppgifterna använts för helt andra köp varierar säkert.
Men vi har alltså de absolut vanligaste fällorna/bedrägerierna som svenska konsumenter drabbas av, direkt eller indirekt.
Och svensk Polis finns alltså inte med på samma planhalva, för endera hänvisar de till annan myndighet eller så om det skulle dimpa ner en anmälan om CNP-bedrägeri, så utreds de inte av svensk polis i 99-99,6% av fallen:
Källor:
99,6% https://sverigesradio.se/sida/artikel.aspx?programid=83&artikel=7052456
99% https://www.svt.se/nyheter/lokalt/stockholm/polisen-om-darknet
..Polisens svar på allt elände heter Darknet
I den ena intervjun och efter den andra presentationen så påstår Polisen CNP-bedrägerier härrör från att det är hackers som hackar databaser med kortuppgifter varje dag och tusentals kortuppgifter åt gången och medelst ”raffinerade dataintrång” och som de sedan säljer på Darknet, där det ligger miljontals kortuppgifter till salu och om du drabbas avgörs bara av slumpen.
Ovan artiklar blir bara stolliga och kan väl anses ha gått över gränsen till vad som betecknas som FUD, men jag vill klargöra att visst finns det svenska kortuppgifter till försäljning på Darknet, konstigt vore väl något annat med allt elände som finns där. Men frågan är ju i vilken utsträckning..
..för visst är det väl konstigt att..
Det finns ett israeliskt säkerhetsföretag som heter Sixgill, som kanske är det företag som kan Darknet bäst efter åratal av analyser.
Under 2019, så analyserade de samtliga kortuppgifter som var till salu, de hittade på Darknet, något som de presenterat i två halvårsrapporter.
Rapporterna berättar att de hittade knappt 100 miljoner och att vare sig Sverige eller svenska kortuppgifter finns omskrivet med ett enda ord i någon av rapporterna (se bilden nedan för min sammanfattning)
Du kan själv ta del av rapporterna här:
UNDERGROUND FINANCIAL FRAUD: H1- 2019
UNDERGROUND FINANCIAL FRAUD H2 2019
Så för att runda av detta inlägg, så menar jag alltså att Polisen omöjligen kan veta hur kortuppgifterna kommit på villovägar eftersom de i minst 99% av fallen (enligt dem själva) inte utreder CNP-anmälningarna (för Sveriges mest anmälda brott).
De två kanske mest sannolika källorna dvs förbrotten till CNP (kina-shoppar och abonnemangsfällor) utreds inte heller av svensk polis och då är det ganska svårt att se Polisen som expertmyndighet inom området – wouldnt you say?
Jag anser att det finns skäl att misstänka att den egentliga orsaken till att antalet CNP-anmälningar successivt gått ner sedan februari 2019 är att marknadens aktörer genom olika insatser decimerat antalet platser där konsumenter kan bedras med XX XXX stycken.
Och avslutningsvis så vill jag poängtera att jag inte klandrar Polisen för att de saknar resurser, kompetens och lagstöd att kunna utreda dessa brott, men det är inte heller vare sig snyggt eller smakfullt att ge intryck av att ha svar på något för dem helt främmande!
Jag som skriver på internetsweden.se, gör det ideellt och för att upplysa dig om verksamheter som JAG anser att det finns skäl att ifrågasätta och/eller varna för..
Innehållet kan även vara mer generellt om olika tillvägagångssätt, som bedragare använder och det händer även att jag tipsar om utbildning/kunskap som finns att få.
Det är möjligt att anlita mig för konsultuppdrag genom Fidi.se
Peter Forsman – Mottagare av ”Stora Kreditpriset 2018”
Läs mer om:
https://www.internetsweden.se/las-mer-om-internet-sweden/
