カーディングの仕組み
カーディングは、盗まれたカードデータの供給から始まります。通常は侵害のダンプやフィッシング作戦から大量に購入されたものです。このデータの多くは古くなっているか、すでに解約済みであるため、詐欺師の最初の課題は、どの番号がまだ使えるかを見極めることです。この検証ステップこそが、カーディングを他の決済不正から区別するものです。大きな購入に賭けるのではなく、攻撃者はまず各カードを安価に探るのです。
大規模にテストするため、カーダーは決済や承認のエンドポイントに対して自動化を用い、少額の請求やゼロ金額の承認を送信して、承認応答が返るかを監視します。決済保護の弱い加盟店、慈善団体、寄付フォームは、任意の少額を受け付けるため格好の標的です。ボットは素早くカードを切り替え、多くの場合レジデンシャルプロキシである多数のIPアドレスにリクエストを分散させ、大量の試行が一か所から発しているように見えないようにします。
承認が返ってきたカードは有効なものとして仕分けされ、直接使われるか、割増価格で転売されます。詐欺師はその後、転売可能な商品、ギフトカード、あるいは容易に換金できるその他の価値のカード非提示型購入を通じてそれらを収益化し、しばしば再発送用の住所に発送したり、即座に届くデジタル商品を購入したりします。パイプライン全体が自動化されているため、カーディング作戦は短時間で数千もの番号を処理できます。
不正防止においてカーディングが重要な理由
カーディングは、大きな不正購入が起きる前でさえ損害をもたらします。テスト段階だけでも大量の承認試行が発生し、処理コストを膨らませ、発行会社の警報を作動させ、分析を歪め、サイトのパフォーマンスを低下させかねません。少額のテスト請求は紛争やチャージバックにつながり、大量の拒否は加盟店のアクワイアラーに対するリスク上の立場を損なう可能性があります。柔軟な決済金額を受け付けるプラットフォームにとって、無料のカード確認サービスとして利用されることは、評判上および財務上の負債です。
TRACIOでの扱い方
TRACIOは、カーディングを定義づける自動化とベロシティに注目することで、それを検知します。Bot Detectionは高速なカードテストを駆動するヘッドレスブラウザや自動化フレームワークを識別し、Identification製品はカード番号やIPアドレスが変わっても試行を単一のデバイスに結びつけ、一つの環境が多数のカードを次々と試すという特徴的なパターンを露呈させます。IP Intelligenceは、リクエストを分散させるために使われるデータセンターおよびレジデンシャルのプロキシプールを浮き彫りにします。デバイスグラフ上のベロシティチェックにより、一つのデバイスまたはデバイスクラスターからの異なるカードによる試行の急増をリアルタイムで検知・抑制でき、有効なカードが見つかる前にテスト段階を断ち切れます。