Carding

Carding bắt đầu với một kho dữ liệu thẻ bị đánh cắp, thường được mua sỉ từ các bãi dữ liệu rò rỉ (dump) hoặc các chiến dịch lừa đảo. Phần lớn dữ liệu này đã cũ hoặc đã bị hủy, nên vấn đề đầu tiên của kẻ gian là tìm ra những số nào vẫn còn dùng được. Bước xác thực này là điều phân biệt carding với các loại gian lận thanh toán khác: thay vì đánh cược vào một giao dịch mua lớn, kẻ tấn công trước hết dò từng thẻ một cách rẻ tiền.

Để thử ở quy mô lớn, các carder dùng tự động hóa nhắm vào các điểm cuối thanh toán hoặc cấp phép, gửi đi các khoản phí nhỏ hoặc các lần cấp phép giá trị bằng không và theo dõi phản hồi chấp thuận. Người bán có hàng phòng vệ thanh toán yếu, các tổ chức từ thiện và biểu mẫu quyên góp là mục tiêu ưa thích vì họ chấp nhận các khoản tiền nhỏ tùy ý. Các bot quét qua các thẻ một cách nhanh chóng và phân tán các yêu cầu trên nhiều địa chỉ IP, thường là proxy dân cư, để dòng lũ các lần thử không rõ ràng đến từ một nơi duy nhất.

Những thẻ trả về kết quả chấp thuận được phân loại là còn sống và được dùng trực tiếp hoặc bán lại với giá cao. Kẻ gian sau đó trục lợi qua các giao dịch mua không xuất trình thẻ với hàng hóa dễ bán lại, thẻ quà tặng hoặc giá trị khác dễ thanh khoản, thường gửi tới các địa chỉ chuyển tiếp hoặc mua các mặt hàng số giao ngay lập tức. Vì toàn bộ quy trình được tự động hóa, một chiến dịch carding có thể xử lý hàng nghìn số trong một khoảng thời gian ngắn.