Efter million-svindel: Hvornår skal spillekontoen udløse alarm?

En sag hos Polymarket begyndte med en usædvanlig strøm af betalinger. Den rammer ned i de kontroller, danske spiludbydere er forpligtet til at have.

En indbetaling på en spillekonto kan ligne en helt almindelig transaktion. Men hvad nu, hvis mange nye kunder dukker op på samme tid, en stor del af kortene bliver afvist, og pengene hurtigt forsøges sendt ud ad en anden vej?

Netop den kombination viste sig hos Polymarket US.

Platformens betalingsudbyder slog alarm, og på et tidspunkt blev mere end 80 procent af de indbetalinger, den håndterede, afvist som svindel.

Bag mønstret lå tusindvis af nye konti og stjålne betalingskort, fremgår det af avisens undersøgelse.

Forsøgene omfattede mindst ti millioner dollar. Penge fra kortene blev sat ind, bevæget gennem platformen og forsøgt sendt ud igen til betalingsmidler, som gerningsmændene kontrollerede.

Det er ikke offentliggjort, hvor meget der faktisk slap gennem kontrollen.

Det er en amerikansk sag, og den dokumenterer ikke et svigt på det danske marked. Den rejser til gengæld et spørgsmål, som alle dansklicenserede spiludbydere skal kunne besvare:

Hvornår er en mærkelig betaling blot en afvist transaktion, og hvornår er den del af et mønster, der skal undersøges og måske indberettes som mulig hvidvask?

 
Ingen fast beløbsgrænse udløser alarmen

bookmakere og online casinoer med dansk tilladelse er omfattet af hvidvaskloven.

De modtager indbetalinger, administrerer en saldo og udbetaler penge til kunder, og en spillekonto kan derfor bruges til mere end spil. Spillemyndigheden fører tilsyn med, om udbyderne håndterer den risiko.

Den gældende hvidvasklov kræver en risikobaseret indsats. Loven opstiller ikke ét bestemt beløb eller én bestemt adfærd, der automatisk afgør, at en spillekonto bruges til hvidvask.

Udbyderen skal se på kunden, produktet, transaktionerne og de betalingskanaler, der bruges. Jo højere risiko, desto stærkere skal kontrollen være.

Det første led er kundekendskabet. Udbyderen skal vide, hvem kunden er, kontrollere identiteten på grundlag af pålidelige oplysninger og holde oplysningerne ajour.

Men en korrekt identifikation ved oprettelsen er ikke i sig selv nok. Hvis kundens aktivitet senere ændrer karakter, skal den nye adfærd vurderes i forhold til det, udbyderen ved om kunden.

Det mistænkelige ligger ofte i kombinationen

Polymarket-sagen begyndte ikke med udfaldet af et væddemål, men med betalingskortene. Tusindvis af nye konti blev ifølge Wall Street Journal knyttet til stjålne kort.

Betalingsudbyderen Checkout.com reagerede, da andelen af afviste transaktioner steg voldsomt.

Det viser, hvorfor kontrollen ikke kan reduceres til én teknisk spærring. Banken eller kortudstederen ser én del af betalingen.

Betalingsformidleren ser en anden. Spiludbyderen kan til gengæld forbinde betalingen med kunden, kontoen, spilleaktiviteten og den efterfølgende udbetaling.

Det er ofte kombinationen af oplysninger, der gør mønstret mistænkeligt.

Dansk lov siger ikke, at alle ind- og udbetalinger altid skal ske med præcis det samme betalingsmiddel.

Men et kort, der ikke passer til kunden, en ny udbetalingsvej eller meget begrænset reel spilleaktivitet kan indgå i et atypisk mønster. Det samme kan mange mislykkede forsøg, flere konti med fælles kendetegn eller hurtige bevægelser af penge gennem kontoen.

Et væddemål gør ikke pengene legitime

Hvis penge fra et stjålet kort bruges på et væddemål, ændrer det ikke deres oprindelse. Det afgørende er derfor sammenhængen mellem kunden, betalingsmidlet, spilleaktiviteten og udbetalingen.

Udbyderen skal løbende vurdere, om bevægelserne på kontoen giver mening i forhold til den viden, virksomheden har om kunden.

I det amerikanske forløb forsøgte gerningsmændene ifølge avisen at bruge stjålne kort til handler og derefter sende pengene videre til kort eller konti, de selv kontrollerede.

Mange nye konti, en ekstrem andel afviste betalinger og en uoverensstemmelse mellem ind- og udbetalingsmidlerne pegede i samme retning. Ingen af delene beviser alene hvidvask, men samlet kan de udløse pligten til at undersøge.

Hvidvasksekretariatet understreger, at der ikke findes en udtømmende liste over røde flag.

Det centrale signal er ofte, at kunderelationen eller aktiviteten afviger fra det normale. Derfor kan samme transaktion være uproblematisk for én kunde, men kræve nærmere kontrol hos en anden.

En mistanke må ikke ende som en note i systemet

Når en aktivitet er usædvanlig, skal udbyderen undersøge dens baggrund og formål. Kunden kan eksempelvis blive bedt om at dokumentere pengenes oprindelse eller ejerskabet til et betalingsmiddel.

Udbyderen skal ikke blot registrere alarmen, men også kunne dokumentere undersøgelsen og begrundelsen for sin konklusion.

Hvis mistanken ikke kan afkræftes, skal virksomheden underrette Hvidvasksekretariatet. Underretningen sendes gennem GoAML.

En underretning er en oplysning om mulig kriminalitet, ikke en afgørelse om, at kunden har begået noget ulovligt. Udbyderen må heller ikke fortælle kunden, at der er sendt en underretning.

Pligten forsvinder ikke nødvendigvis, fordi betalingen bliver afvist, eller pengene aldrig når frem. Også forsøg og anden mistænkelig aktivitet kan være relevante.

En serie mislykkede indbetalinger kan netop afsløre en metode, som ikke fremgår af den enkelte gennemførte transaktion.

Kontrollen skal virke i praksis

Spillemyndigheden fører hvidvasktilsyn med alle spiludbydere, der udbyder spil i Danmark med tilladelse. Tilsynet kan gennemgå hele indsatsen eller udvalgte områder og kræve det materiale, som udbyderen efter loven skal have udarbejdet.

En overtrædelse kan føre til straksforbedring, påtale, påbud eller politianmeldelse.

Myndigheden offentliggør sine reaktioner, og forsætlige eller groft uagtsomme overtrædelser af en række bestemmelser kan straffes med bøde. Et kontrolsystem er derfor ikke tilstrækkeligt, hvis alarmerne ikke bliver vurderet og fulgt op i konkrete sager.

Det offentlige materiale gør det ikke muligt at teste, om et tilsvarende masseforsøg ville være blevet stoppet hos alle danske udbydere.

Kontrollen er risikobaseret, og effekten afhænger af data, systemer og medarbejdernes reaktion. Reglerne placerer imidlertid ansvaret klart: Udbyderen skal kende kunden, følge pengenes vej og reagere, når betalingsadfærden ikke giver mening.

Det er her, Polymarket-sagen bliver mere end en historie om stjålne kort. Den viser, at den afgørende alarm kan komme, før det første væddemål er placeret, og at risikoen kan fortsætte efter det sidste.

For danske spiludbydere begynder kontrollen derfor ved indbetalingen og slutter først, når pengenes vej ud af kontoen også giver mening.