Visa koopt fraudebedrijf BioCatch voor 2,4 miljard dollar

Visa koopt BioCatch, het Israëlische bedrijf dat aan toetsaanslagen en veegbewegingen herkent of een bankklant echt zichzelf is, voor 2,4 miljard dollar in contanten. Het kaartnetwerk maakte de overeenkomst maandag bekend.

Die laag koop je als ondernemer niet zelf in: BioCatch verkoopt aan banken, niet aan webshops. Toch verschuift er iets in je betaalketen. Het oordeel of een klant is wie hij zegt te zijn, gaat naar voren, naar de banksessie voordat er een transactie bij jouw kassa langskomt. Wie die sessie leest, bepaalt straks mede of jouw betaling wordt goedgekeurd of geweigerd. En het aantal partijen waar je fraudedetectie los kunt inkopen, wordt opnieuw kleiner.

Wat BioCatch meet

BioCatch verzamelt per digitale banksessie meer dan 3.000 geanonimiseerde datapunten: het ritme van toetsaanslagen, muis- en aanraakbewegingen, de manier waarop iemand zijn toestel vasthoudt, het gebruik van AI-agenten en of een telefoon gejailbreakt is. Uit dat patroon leiden de modellen twee dingen af. Of iemand is wie hij zegt te zijn. En of hij onder druk handelt.

Dat tweede is het verschil met klassieke fraudedetectie. Een slachtoffer van bankhelpdeskfraude maakt het geld zelf over, vanaf zijn eigen apparaat, met de juiste inloggegevens. Op transactieniveau ziet zo'n overboeking er schoon uit. In het gedrag eromheen niet.

De schaal is fors: 1,8 miljard apparaten, 760 miljoen gebruikers, ruim 350 banken in 21 landen waaronder meer dan honderd van de grootste ter wereld, en 19 miljard sessies per maand. Andrew Torre, president value-added services bij Visa, zet de aankoop af tegen de kosten van dit type fraude: accountovernames en oplichting kosten de wereldeconomie volgens hem jaarlijks meer dan duizend miljard dollar, en AI helpt aanvallers dat op ongekende schaal te doen. Dat AI de aanvalskant sneller opschaalt dan de verdediging is inmiddels ook gemeten: een AI-agent won in een scamstudie meer vertrouwen dan een getrainde menselijke oplichter.

Voor verkoper Permira is het een goede uitkomst. De investeerder betaalde twee jaar geleden ongeveer 750 miljoen dollar voor een belang van 60 procent bij een waardering van 1,3 miljard. BioCatch werd in 2011 opgericht door Avi Turgeman en Benny Rosenbaum en groeide van zo'n 7 miljoen naar ongeveer 100 miljoen dollar jaarlijks terugkerende omzet in 2023, aldus het Israëlische Calcalist. Topman Gadi Mazor blijft aan. De deal moet voor het einde van Visa's tweede boekjaarkwartaal 2027 rond zijn en hangt af van goedkeuring door toezichthouders.

De kaartnetwerken kopen de fraudelaag op

Dit is geen losse aankoop. Visa rondde eind 2024 al de overname af van het Britse Featurespace, dat betaaltransacties in realtime beoordeelt voor 500 miljoen consumenten en jaarlijks meer dan honderd miljard betaalgebeurtenissen verwerkt. Visa gaf de afgelopen vijf jaar 13 miljard dollar uit aan fraudetechnologie en infrastructuur. Concurrent Mastercard legde in september 2024 2,65 miljard dollar neer voor threat-intelligencebedrijf Recorded Future.

De netwerken verdienen hun groei steeds minder aan het doorgeven van transacties en steeds meer aan de diensten eromheen. Fraudedetectie is daarvan het duurste onderdeel, en het wordt nu ingekocht in plaats van gebouwd. Dezelfde beweging speelde deze zomer in identiteitsbeveiliging, waar het beheer van niet-menselijke identiteiten binnen een maand van losse nichecategorie naar module in een groter platform verschoof. Het gevolg voor een inkoper is telkens hetzelfde: minder zelfstandige aanbieders om te vergelijken, en een prijs die in een bundel verdwijnt.

Visa zette in juni nog een stap de andere kant op, toen het samen met OpenAI AI-agenten zelfstandig liet afrekenen bij elke winkel die Visa accepteert. Het netwerk wil dus tegelijk de klant zijn die betaalt en de scheidsrechter die beoordeelt of die klant echt is.

Wat dit in Nederland raakt

De fraudesoort die BioCatch als specialiteit noemt, is precies de soort die hier hard groeit. De schade door bankhelpdeskfraude steeg in 2025 naar 25,8 miljoen euro, ruim drie miljoen meer dan een jaar eerder, becijferde Betaalvereniging Nederland in juni. Phishing kwam uit op bijna 2,6 miljoen euro, een stijging van 1,8 miljoen. Bij beide betaalt het slachtoffer zelf, dus valt er op de transactie zelf weinig te zien.

Daar staat een ongemakkelijke kant tegenover. Een Amerikaans kaartnetwerk krijgt straks de gedragsprofielen van 760 miljoen bankgebruikers in handen, gemeten in elke milliseconde van elke banksessie bij ruim honderd van de grootste banken ter wereld. Vijf Nederlandse toezichthouders, waaronder DNB en AFM, riepen in juli juist op tot meer digitale autonomie en minder strategische afhankelijkheid van buitenlandse techbedrijven. Of die twee bewegingen elkaar in de weg zitten, wordt zichtbaar bij de mededingings- en privacytoetsing die aan de closing voorafgaat.

Het punt waarop fraude beoordeeld wordt, verschuift van de transactie naar de sessie ervoor. Voor wie online verkoopt betekent dat: of een betaling doorgaat, hangt straks mede af van signalen die je zelf niet ziet, gemeten in een app waar je geen toegang toe hebt. En de partij die dat oordeel velt is niet langer een leverancier die je kunt vervangen, maar het netwerk waar je toch al op zit.