Carding
Le carding est la pratique consistant à tester et à utiliser des numéros de carte de crédit volés pour confirmer lesquels sont valides, puis à en extraire de la valeur. Il commence généralement par des transactions automatisées de faible valeur qui vérifient une carte avant de l'utiliser pour une fraude plus importante.
Comment fonctionne Carding
Le carding commence par un stock de données de carte volées, généralement achetées en gros à partir de dumps de fuites ou d'opérations de phishing. Une grande partie de ces données est périmée ou déjà annulée : le premier problème du fraudeur est donc de déterminer quels numéros fonctionnent encore. Cette étape de validation est ce qui distingue le carding des autres fraudes au paiement : plutôt que de miser sur un gros achat, l'attaquant sonde d'abord chaque carte à moindre coût.
Pour tester à grande échelle, les carders recourent à l'automatisation contre des endpoints de paiement ou d'autorisation, en soumettant de petits débits ou des autorisations à valeur nulle et en guettant une réponse d'approbation. Les commerçants aux protections de paiement faibles, les organisations caritatives et les formulaires de don sont des cibles privilégiées, car ils acceptent de petits montants arbitraires. Les bots passent rapidement d'une carte à l'autre et répartissent les requêtes sur de nombreuses adresses IP, souvent des proxys résidentiels, afin que le flot de tentatives ne semble pas provenir d'un seul endroit.
Les cartes qui reviennent approuvées sont classées comme actives et sont utilisées directement ou revendues avec une prime. Le fraudeur les monétise ensuite par des achats par carte absente de biens revendables, de cartes cadeaux ou d'autre valeur facilement liquidable, et expédie fréquemment vers des adresses de réexpédition ou achète des articles numériques à livraison instantanée. Comme tout le processus est automatisé, une opération de carding peut parcourir des milliers de numéros en peu de temps.
Pourquoi Carding compte pour la prévention de la fraude
Le carding est dommageable avant même qu'un gros achat frauduleux ne survienne. La phase de test à elle seule génère une tempête de tentatives d'autorisation qui gonfle les coûts de traitement, déclenche les alarmes de l'émetteur, fausse l'analytique et peut dégrader les performances du site. Les petits débits de test entraînent des litiges et des chargebacks, et un volume élevé de refus peut nuire à la position de risque du commerçant auprès des acquéreurs. Pour les plateformes qui acceptent des montants de paiement flexibles, être utilisées comme service gratuit de vérification de cartes constitue une responsabilité réputationnelle et financière.
Comment TRACIO le gère
TRACIO détecte le carding en se concentrant sur l'automatisation et la vélocité qui le définissent. Bot Detection identifie les navigateurs headless et les frameworks d'automatisation qui pilotent les tests de cartes à grande vitesse, et le produit Identification relie les tentatives à un même appareil même lorsque les numéros de carte et les adresses IP changent, exposant le schéma révélateur d'un même environnement qui parcourt de nombreuses cartes. IP Intelligence met en évidence les ensembles de proxys de centre de données et résidentiels utilisés pour répartir les requêtes. Grâce aux contrôles de vélocité sur le graphe d'appareils, une rafale de tentatives sur des cartes distinctes depuis un appareil ou un cluster d'appareils peut être signalée et limitée en temps réel, coupant la phase de test avant que des cartes valides ne soient trouvées.
Approfondir
Questions fréquentes
Identifiez chaque appareil en toute confiance
Commencez avec une offre gratuite de 2,500 appels API par mois. Aucune carte bancaire requise.