Carding

carding เริ่มจากคลังข้อมูลบัตรที่ถูกขโมย ซึ่งโดยทั่วไปซื้อมาเป็นล็อตใหญ่จาก dump ข้อมูลรั่วไหลหรือปฏิบัติการฟิชชิง ข้อมูลเหล่านี้จำนวนมากล้าสมัยหรือถูกยกเลิกไปแล้ว ปัญหาแรกของผู้ฉ้อโกงจึงคือการหาว่าเลขไหนยังใช้งานได้ ขั้นตอนการตรวจสอบนี้เองที่แยก carding ออกจากการฉ้อโกงการชำระเงินอื่น ๆ แทนที่จะเสี่ยงกับการซื้อก้อนใหญ่ ผู้โจมตีจะทดสอบบัตรแต่ละใบอย่างประหยัดเสียก่อน

เพื่อทดสอบในปริมาณมาก carder จะใช้ระบบอัตโนมัติยิงไปที่เอนด์พอยต์ของการชำระเงินหรือการอนุมัติ โดยส่งการเรียกเก็บเงินจำนวนเล็กน้อยหรือการอนุมัติมูลค่าศูนย์ แล้วเฝ้าดูการตอบกลับที่เป็นการอนุมัติ ร้านค้าที่มีระบบป้องกันขั้นตอนชำระเงินอ่อนแอ องค์กรการกุศล และแบบฟอร์มบริจาคเป็นเป้าหมายที่นิยม เพราะรับยอดเงินเล็ก ๆ ตามอำเภอใจได้ บอตจะไล่หมุนบัตรอย่างรวดเร็วและกระจายคำขอไปตามที่อยู่ IP จำนวนมาก ซึ่งมักเป็น residential proxy เพื่อไม่ให้ความพยายามที่หลั่งไหลเข้ามาดูเหมือนมาจากที่เดียวอย่างชัดเจน

บัตรที่ตอบกลับมาว่าอนุมัติจะถูกจัดว่าใช้งานได้ (live) และนำไปใช้โดยตรงหรือขายต่อในราคาพรีเมียม จากนั้นผู้ฉ้อโกงจะแปลงมันเป็นเงินผ่านการซื้อแบบไม่มีบัตรอยู่ ทั้งสินค้าที่ขายต่อได้ บัตรของขวัญ หรือมูลค่าอื่นที่เปลี่ยนเป็นเงินสดได้ง่าย โดยมักส่งไปยังที่อยู่ส่งต่อ (reshipping) หรือซื้อสินค้าดิจิทัลที่ส่งมอบทันที เนื่องจากไปป์ไลน์ทั้งหมดเป็นแบบอัตโนมัติ ปฏิบัติการ carding หนึ่งครั้งจึงสามารถไล่ประมวลผลเลขบัตรได้หลายพันใบในช่วงเวลาสั้น ๆ