Kortsvindel i nettbutikken: slik oppdager og stopper du card testing.
Kortsvindel mot en nettbutikk tar flere former. Noen bruker kassen til å prøve tusenvis av stjålne kortnumre. Andre handler med et stjålet kort og venter på pakken. Noen ganger merker du det først når banken sender en tvist. Her er hvordan du skiller dem fra hverandre, hva du gjør i timene etterpå, og hva 3D Secure faktisk beskytter deg mot.
Først: send ingenting du er i tvil om, og slett ingenting
To ting gjelder uansett hvilken form svindelen har. Hold igjen pakker til ordrer du er usikker på, til du har sjekket dem mot punktene lenger ned. En godkjent kortbetaling betyr bare at banken ikke stoppet den, ikke at kortholderen har godkjent kjøpet. Og la de mislykkede ordrene og kundekontoene ligge til du vet hva som skjedde. De viser når det startet, hvilken vare som ble brukt og hvor forespørslene kom inn. Rydd først når angrepet er stoppet.
Hvilken type kortsvindel er det?
De ser like ut i ordrelista, men krever helt ulike grep. Finn det som ligner mest på det du ser.
Card testing: mange forsøk, små beløp
Et skript prøver stjålne kortnumre mot kassen din for å finne ut hvilke som virker. Du ser en bølge av ordrer med status «Mislykket», ofte med flere notater om avviste kort, og noen få små kjøp som gikk gjennom. Svindlerne er ikke ute etter varene. Kortene som virker, brukes eller selges videre et annet sted.
Kjøp med stjålet kort: få ordrer, høye beløp
Én eller noen få ordrer som ser normale ut, men er betalt med et kort kortholderen ikke vet er stjålet. Betalingen går gjennom. Sender du varene, kommer tvisten når kortholderen ser kontoutskriften, og da taper butikken både beløpet, varene og et tvistgebyr.
Overbetaling og «egen speditør»
Kunden betaler mer enn varen koster og ber deg betale mellomlegget til et fraktfirma de har valgt selv. Fraktfirmaet finnes ikke. Betalingen var gjort med et stjålet kort, så du mister både pengene du sendte videre og beløpet når kortholderen klager.
Refusjon til en annen konto
Noen betaler for mye «ved en feil», sier kortet er sperret og ber om å få mellomlegget overført til en annen konto. Når kortholderen bestrider betalingen, har du betalt to ganger. Refunder alltid til samme kort, også om kortet er sperret.
Tvist fra en ekte kunde
En ekte kunde handler og bestrider kjøpet etterpå, enten fordi de ikke kjenner igjen navnet på kontoutskriften, eller med vilje. Stripe kaller det «friendly fraud». Det er ikke card testing, og CAPTCHA hjelper ikke. Det som hjelper, er tydelig butikknavn, leveringsbevis og klare vilkår.
Det er ikke kortsvindel
Få ordrer, ekte navn og kunder som sender deg e-post fordi de ikke får betalt: det er en betalingsfeil, ikke et angrep. Vi har sett det selv, i en kasse der kundene fikk feilen «Payment nonce is missing» helt til slutt. Se guiden om betaling som feiler i WooCommerce.
Card testing pågår: dette gjør du de første timene.
Du trenger ikke løse alt med en gang. Bekreft hva som skjer, begrens skaden og steng døra mens du finner en varig løsning. Ta punktene i denne rekkefølgen.
Åpne ordrelista i WooCommerce og filtrer på «Mislykket». Mange ordrer på kort tid, gjerne på samme billige vare, med notater om avviste kort, er det klassiske mønsteret. WooCommerce skriver selv at disse ordrene ikke er tapte salg, og at de ikke skyldes feil i kassen. Sjekk så loggen hos betalingsleverandøren. Hos Stripe ser du en økning i avviste og blokkerte betalinger på oversiktssiden, betalinger merket «Blocked by Stripe», og under utviklerloggene en topp i 402-feil med «generic_decline».
Finn kjøpene som faktisk ble godkjent med kort fra angrepet, og refunder dem hele. En betaling som er fullt refundert, kan ikke bestrides. En delvis refundert betaling kan bestrides for hele beløpet. Stripe skriver at en refusjon bare hindrer at kortet rapporteres som svindel hvis den går som en reversering, og det skjer vanligvis innen to timer etter at betalingen ble trukket. Jo raskere, jo bedre. Transaksjonsgebyrene får du ikke nødvendigvis tilbake, men det kan være verdt å spørre leverandøren.
Angriperne velger gjerne den billigste varen, eller produkter der kunden setter prisen selv, som donasjoner. Gjør dem private en periode. Ser du få mislykkede ordrer, men mange nye kunder med lagrede kort, går angrepet trolig via lagring av kort under Min konto. Da anbefaler WooCommerce å slå av betaling med lagrede kort i betalingspluginen. Å kreve konto for å handle, under WooCommerce, Innstillinger, Kontoer og personvern, kan også være et midlertidig grep, men det koster salg, så skru gjestekjøp på igjen når det er trygt.
Cloudflare Turnstile er gratis, og pluginen Simple Cloudflare Turnstile fra wordpress.org legger den på kassen, «betal for ordre»-siden, innlogging, registrering og tilbakestilling av passord, også i kasse-blokken. Dekk alle stedene der et kort kan sendes inn. Den vanlige kassen er bare ett av dem. Stripe minner om at CAPTCHA-en må sjekkes på serveren, og på alle forespørsler som kan validere et kort eller lage en betaling. Test etterpå på mobil, som gjest og innlogget, at ekte kunder kommer gjennom.
WooCommerce har innebygd begrensning av forsøk mot kassen, men den er av som standard. I norsk WooCommerce heter valget «Frekvensbegrensning for kasse» (på engelsk «Rate limit Checkout», i WooCommerce-dokumentasjonen «Rate limiting Checkout block and Store API»), og du finner det under WooCommerce, Innstillinger, Avansert, Funksjoner. Det gjelder bare kasse-blokken, ikke den klassiske kassen, og tillater tre forsøk per 60 sekunder per IP-adresse, eller per bruker for innloggede kunder.
Står butikken bak Cloudflare eller en annen proxy, må proxy-støtten slås på i kode, med innstillingen proxy_support i filteret woocommerce_store_api_rate_limit_options. Ellers ser WooCommerce adressen til proxyen i stedet for kundens, og ekte kunder kan bli stengt ute.
Stripe advarer om at den hemmelige API-nøkkelen aldri må ligge åpent. Har den lekket, kan svindlere lage betalinger og lagre kort uten å gå via butikken. Er du i tvil, lag nye nøkler hos leverandøren og legg dem inn i pluginen. Be også leverandøren om å se på angrepet og om strengere innstillinger. Stripe skriver selv at en butikk som bruker en plugin, som regel trenger endringer i koden for å stoppe card testing for godt.
Ordre med stjålet kort? Sjekk dette før du sender pakken.
Ett tegn alene betyr sjelden svindel. Flere sammen gjør det. Punktene bygger på Stripes egen liste over tegn på svindel, og gjelder uansett hvilken kortleverandør du bruker.
Flere av den samme dyre varen, bare de dyreste produktene, eller et totalbeløp som er langt over det kundene dine pleier å handle for. Kunden bryr seg ikke om fraktprisen og velger raskeste levering. Den som bruker et stjålet kort, vil ha varene før kortet blir sperret.
E-postadresser som ser tilfeldige ut, telefonnumre som ikke virker, samme e-post med ulike navn på flere ordrer, eller en leveringsadresse som ikke passer med fakturaadressen. Ulik adresse kan være en gave, så det alene er ikke nok. Sjekk også hvilket land kortet er utstedt i, som du ser på betalingen hos leverandøren. Kort fra ett land og levering til et annet bør sjekkes nærmere.
Se på de avviste forsøkene rundt ordren. Mange kort til samme leveringsadresse, eller samme kunde som prøver kort etter kort til ett virker, er et sterkt tegn. Stripe skriver at når hvert mislykket forsøk har et nytt kort, er risikoen mye større for at kjøpet som til slutt gikk gjennom, også er svindel.
Kunden vil endre leveringsadressen etter at ordren er betalt, dele en stor ordre på flere kort, få betalingen trukket manuelt av deg, eller at du bruker og betaler deres «egen speditør». Stripe sier rett ut at du aldri skal betale et fraktfirma på vegne av kunden. Det er en kjent svindel.
Svindlere sender ofte samme tekst til mange butikker. Virker meldingen rar eller innøvd, søk etter en setning fra den med anførselstegn. Dukker den opp mange steder, vet du svaret.
Stripe foreslår å vente 24 til 48 timer med å sende dyre ordrer til nye kunder eller ubekreftede adresser. Ventetiden gir et eventuelt svindelvarsel tid til å komme før varene er sendt. Er du fortsatt i tvil, refunder ordren hel og send ingenting. Et tapt salg er billigere enn en tapt vare pluss en tvist.
3D Secure: hva det beskytter deg mot, og hva ikke.
3D Secure er steget der kortholderen bekrefter betalingen hos banken sin. Det er nyttig, men ikke en forsikring.
Kravet om sterk kundeautentisering kom med PSD2 og gjelder i EØS, også i Norge. Stripe oppgir 14. september 2019 som datoen det trådte i kraft. For kortbetalinger betyr det 3D Secure, og banker kan avvise kortbetalinger som ikke følger kravet. Noen betalinger med lav risiko kan få unntak, men banken kan alltid be kunden bekrefte. Bruker du en betalingsplugin, er det den som må håndtere 3D Secure, og Stripe ber butikker med tredjeparts plugin sjekke med leverandøren om noe må endres.
Er en betaling bekreftet med 3D Secure, og kortholderen senere sier at det var svindel, flyttes ansvaret som regel fra butikken til banken som utstedte kortet. Stripe er tydelig på at dette ikke er garantert for en enkelt betaling. Har kortet ikke støtte for 3D Secure, eller feiler steget, går betalingen ofte gjennom uten bekreftelse, og da flyttes ikke ansvaret.
Ansvarsskiftet gjelder tvister om svindel. Sier kunden at varen aldri kom, eller ikke var som beskrevet, gjelder vanlig tvistbehandling, og da er det leveringsbevis og vilkår som teller. Får du et spørsmål fra banken om en betaling som var bekreftet med 3D Secure, må du svare. Lar du være, kan banken gjøre om saken til en tvist der ansvarsskiftet ikke lenger hjelper deg.
Card testing handler om å finne kort som virker, ofte med kortoppsett eller små beløp. Stripe skriver at svindlere også samler inn svarene fra 3D Secure og banken for å se hvilke kort som er gyldige. Selv om hvert forsøk blir avvist, får butikken mange avvisninger, og det kan gjøre bankene mer skeptiske til ekte kunder. Card testing må stoppes foran kassen, med punktene over.
Stripe skriver at butikker med uvanlig mye svindel kan havne i kortnettverkenes overvåkingsprogrammer, og at betalinger da i sjeldne tilfeller ikke får ansvarsskifte selv om de er bekreftet. Et card testing-angrep som får stå lenge, er en vei dit.
Varsel eller tvist fra banken? Fire steg.
Kortsvindel som slapp gjennom, kommer ofte tilbake uker senere. Slik håndterer du det, med Stripe som eksempel. Andre kortleverandører har lignende ordninger, så sjekk vilkårene dine.
Tidlig svindelvarsel
Kortutstedere i Visa-, Mastercard- og JCB-nettverkene rapporterer betalinger de mener er svindel. Hos Stripe vises det som et tidlig svindelvarsel. Du må ikke gjøre noe, men Stripe skriver at rundt 40 prosent av varslene på Visa og Mastercard blir tvister hvis betalingen ikke refunderes.
Refunder eller vent
Stripe anbefaler å refundere varslede betalinger som er omtrent like store som tvistgebyret, eller mindre. For en norsk Stripe-konto er gebyret 200 kr per tvist. For beløp mer enn 35 prosent over gebyret, altså over rundt 270 kr, lønner det seg ifølge Stripe neppe å refundere. Har du grunn til å bekymre deg for hva tvister gjør med butikken eller kontoen, anbefaler Stripe å refundere oftere. Har du ikke sendt varene ennå, er valget enkelt: refunder og send ingenting.
Tvisten
Bestrider kortholderen betalingen, trekker Stripe beløpet og et tvistgebyr fra kontoen din. Du kan sende inn dokumentasjon: hva som ble kjøpt, hvordan og hvor det ble levert, og eventuelt bekreftelse fra 3D Secure. Svarer du manuelt, kommer et gebyr til på 200 kr, som du får tilbake hvis du vinner. Det er kortholderens bank som avgjør, ikke Stripe.
Lær av den
Se på hva ordren hadde til felles med tegnene over, og om svindelen kom samtidig med et card testing-angrep. Mange tvister etter kort tid er et tegn på at kassen fortsatt er åpen. Da hjelper det ikke å vinne tvistene én og én.
Spørsmål om kortsvindel i nettbutikken
Kilder
Sist kontrollert 12. november 2026. Innstillinger, regler og gebyrer endres, så sjekk dagens dokumentasjon før du stoler på en detalj. Dokumentene er på engelsk, unntatt de norske.
Stripe: Protect yourself from card testing: hvordan card testing virker, tegnene, CAPTCHA og hva du gjør.
Stripe: Common types of online fraud: stjålne kort, overbetaling, refusjon utenfor kortnettet og tvister fra ekte kunder.
Stripe: Identifying potential fraud: tegnene å sjekke før du sender varene.
Stripe: How disputes work: tidlige svindelvarsler, når det lønner seg å refundere, og tvister.
Stripe: Authenticate with 3D Secure: ansvarsskiftet og når det ikke gjelder.
Stripe: Strong Customer Authentication: kravet i PSD2 og 3D Secure.
Stripe: Priser for Norge: tvistgebyret på 200 kr.
WooCommerce: Card testing attacks: mislykkede ordrer, lagrede kort og midlertidige grep.
WooCommerce: Store API rate limiting: hva frekvensbegrensningen dekker, og proxy-støtte.
WooCommerce 11.3.0, kildekode: dagens navn på valget, og at det er av som standard.
WordPress.org: WooCommerce på norsk: de norske navnene på valget og menyene.
WordPress.org: Simple Cloudflare Turnstile: hvor pluginen setter inn Turnstile.
Finanstilsynet: Svindelstatistikk andre halvår 2025: tallene for kortsvindel.
Politiet: Anmelde: digital anmeldelse av bedrageri.
Fortsetter det, finner vi døra de bruker.
Vi bekrefter henvendelsen innen 1 time i arbeidstiden, vurderer saken gratis og gir deg en skriftlig fastpris før vi starter, fra 3 990 kr. Vi tester kassen som en vanlig kunde før vi sier at det er stoppet.
