Financiële apps hebben wat fraudeurs het liefst willen: geld dat beweegt. Hun logins worden bestookt met gelekte wachtwoorden, hun onboarding krijgt synthetische identiteiten te verwerken, en hun kaartflows worden gebruikt om gestolen nummers te testen. Elke aanval begint met automatisering voordat het fraude wordt.
Wat bots met financiële diensten doen
- Account takeover. Credential stuffing op web- en app-logins, gevolgd door een snelle overboeking of een wijziging van contactgegevens.
- Nep-accountopening. Gescripte aanvragen met gestolen of synthetische identiteiten, voor welkomstbonussen, money mule-rekeningen of krediet.
- Kaarttesten. Gestolen kaarten gecontroleerd via het koppelen van een kaart of kleine opwaarderingen.
- Enumeratie. Registratie- en wachtwoordresetformulieren gebruikt om te achterhalen welke e-mailadressen of telefoonnummers klant zijn.
Waar een botcheck past
Een botcheck vervangt geen KYC, transactiemonitoring of sterke authenticatie. Hij staat ervoor, goedkoop, zodat geautomatiseerde sessies nooit bij de dure controles komen en echte klanten minder frictie ervaren:
- Login: beantwoord
bot_highals een verkeerd wachtwoord; vraag bijbotextra om een passkey of een eenmalige code. Meer in credential stuffing bij de login. - Accountopening: weiger
bot_highvoordat je betaalt voor identiteitsverificatie; controleerbothandmatig. - Wachtwoordreset en wijziging van contactgegevens: een tweede factor voor
bot, en hetzelfde antwoord of het account nu bestaat of niet. - Een kaart toevoegen: weiger
bot_high; 3-D Secure voorbot.
De vlag step_up in elk antwoord markeert het zeldzame geval van sterk bewijs aan beide kanten: dan vraag je om het sterkste bewijs, nooit om een CAPTCHA.