Атаки за тестване на карти: Как се засягат сайтовете за абонаменти и какво ги спира
Тази статия обяснява как атаките за тестване на карти засягат по уникален начин абонаментните бизнеси, като описва подробно механизмите на тези измамни дейности и техните сериозни последици за онлайн търговците.
Търговски сметки, маршрути за придобиване и контрол на възстановяването на плащания, съобразени с вашия рисков профил.
Атаките за тестване на карти са постоянна заплаха за всеки онлайн търговец, но те представляват уникална опасност за абонаментните бизнеси. Измамниците използват автоматизирани скриптове, за да тестват хиляди откраднати номера на карти на вашата страница за плащане, често чрез малки транзакции като пробен период от 1 £ или безплатна регистрация, която изисква валидиране на карта. Тези атаки задръстват вашия платежен шлюз, предизвикват високи нива на отказ, които увреждат отношенията ви с придобиващите банки, и ви оставят с планина от върнати плащания (chargebacks) и глоби от схемите.
Какво представлява атаката за тестване на карти?
Атака за тестване на карти, известна още като кардинг или проверка на карти, е вид измама с плащания, при която престъпници тестват валидността на откраднати данни на кредитни или дебитни карти. Те използват ботове, за да подават голям обем малки транзакции чрез формата за плащане на търговеца. Целта не е да се купуват стоки, а да се идентифицират кои карти са „активни“ и могат да бъдат използвани за по-големи измамни покупки другаде или продадени на пазари в тъмната мрежа.
Има две основни форми на тестване на карти:
- Изброяване на номера на карти: Ботовете систематично генерират и тестват последователни номера на карти, често насочени към определен обхват на Банковия Идентификационен Номер (BIN), за който е известно, че има по-ниски мерки за сигурност. Това се нарича още BIN атака.
- Тестване на списъци с откраднати карти: Измамниците използват списъци с данни за карти, закупени от тъмната мрежа, които включват пълния номер на картата, датата на изтичане и CVV. Ботовете преминават през този списък на вашия сайт, за да видят кои от тях все още са активни.
За всеки опит ботът анализира отговора от платежния шлюз. Одобрена транзакция или специфичен код за отказ (като „Недостатъчни средства“) потвърждава, че картата е валидна. Отговор „Не се уважава“ или „Невалиден номер на карта“ показва, че картата е неактивна. Резултатите се записват, а списъкът с активни карти става ценен актив за измамника.
Защо сайтовете за абонаменти са основни цели
Абонаментните бизнеси са особено привлекателни цели за атаки за тестване на карти по няколко причини. Техните бизнес модели често включват функции, които, макар и чудесни за законно привличане на клиенти, могат лесно да бъдат експлоатирани от измамници.
Първоначални транзакции с ниска стойност
Много абонаментни услуги, от SaaS платформи до сайтове за съдържание на създатели, предлагат безплатни пробни периоди или нискотарифни въвеждащи периоди като 1 £ за първия месец. Те изискват карта на файл за валидиране и бъдещо таксуване. Измамниците експлоатират тези регистрации с ниско триене, защото малко разрешение от 0 £ или 1 £ е по-малко вероятно да бъде открито от картодържателя или неговата издаваща банка, отколкото голяма покупка. Това позволява тестването на карти да остане незабелязано.
Автоматизирано повтарящо се таксуване
Ядрото на абонаментния модел е автоматизираното таксуване. След като картата е във файла и е валидирана, тя се съхранява за бъдещи плащания. Измамниците знаят, че ако успеят да получат успешно разрешение за открадната карта веднъж, тя се съхранява във вашата система. Това прави вашия сайт идеално място за тестване на карти за тяхна собствена бъдеща употреба, без да е необходимо да завършват пълна, забележима покупка.
Акцент върху оптимизацията на процента на конверсия
Абонаментните бизнеси с право се фокусират върху минимизиране на триенето при плащане, за да увеличат максимално конверсиите. Това често означава опростяване на формите за регистрация, премахване на CAPTCHA и невинаги прилагане на 3D Secure при първоначални оторизации. Докато това помага на истински клиенти, то също така премахва самите бариери, които биха могли да възпират или блокират автоматизирани атаки от ботове. Измамниците активно търсят тези пътища на най-малко съпротивление.
Каскадни разходи от атака за тестване на карти
Щетите от атака за тестване на карти се простират далеч отвъд малките суми на транзакциите. Истинската цена е каскада от оперативни главоболия, финансови санкции и увреждане на репутацията, което може да застраши вашите възможности за обработка на плащания.
Такси за оторизация и отказ
Всеки опит за транзакция, независимо дали е одобрен или отказан, ви струва пари. Вашият платежен процесор и придобиваща банка начисляват малка фиксирана такса за всяка заявка за оторизация, изпратена до картовите схеми. По време на атака от ботове, включваща десетки хиляди опити, тези такси се натрупват бързо. В крайна сметка плащате за привилегията да бъдете атакувани.
Повишени нива на върнати плащания (chargeback)
Дори ако транзакция от 1 £ бъде одобрена, законният картодържател в крайна сметка ще забележи непознатото таксуване и ще го оспори. Това води до върнато плащане (chargeback). Рязък скок във върнатите плащания ще увеличи съотношението ви на върнати плащания към транзакции, ключов показател, наблюдаван от картови схеми като Visa и Mastercard. Това може да доведе до включване на вашия бизнес в програма за наблюдение.
Санкции от придобиващи банки и схеми
Придобиващите банки и картовите схеми наказват търговци за прекомерни откази. Високите нива на отказ са червен флаг за лоши бизнес практики или измами и натоварват мрежата. Ако процентът ви на отказ скочи поради атака за тестване на карти, вашата придобиваща банка може да наложи големи глоби. В тежки случаи те могат да поставят търговския ви акаунт под преглед или да го прекратят изцяло, прекъсвайки възможността ви да приемате плащания.
Visa и Mastercard имат специфични програми за справяне с това. Например, ако опитите ви за оторизация се считат за прекомерни, можете да понесете значителни финансови санкции от схемите, прехвърлени към вас чрез вашата придобиваща банка.
Практически защити срещу тестване на карти
Защитата срещу тестване на карти изисква многослоен подход, който комбинира проверки от страна на клиента с логика за плащане от страна на сървъра. Разчитането на един инструмент е недостатъчно; имате нужда от система, която може да идентифицира и блокира подозрително поведение в множество точки в потока на плащания.
Прилагане на правила за скорост и разпознаване на устройства
Правилата за скорост са вашата първа линия на защита. Това са правила, които ограничават броя на опитите за транзакции от един източник в даден времеви период. Ефективните правила за скорост наблюдават множество точки от данни:
- IP адрес: Ограничете опитите на IP адрес (напр. не повече от 5 опита на час).
- Имейл адрес: Ограничете регистрациите на имейл адрес. Ботовете често използват имейли за еднократна употреба или безсмислени имейли.
- Номер на карта: Ограничете опитите на номер на карта, за да предотвратите повтарящо се тестване на една и съща открадната карта.
- Отпечатък на устройството: Това е по-сложно от проследяването на IP адрес. То създава уникален идентификатор за устройството на потребителя, което ви позволява да блокирате една машина, дори ако тя преминава през различни IP адреси, използвайки VPN или прокси мрежа.
Използвайте CAPTCHA и инструменти за откриване на ботове
Докато някои търговци се съпротивляват на добавянето на триене, добре внедрена CAPTCHA е много ефективна за спиране на основни ботове. Модерни инструменти като reCAPTCHA v3 на Google могат да анализират поведението на потребителя във фонов режим и да представят предизвикателство само на подозрителен трафик, минимизирайки прекъсванията за законни клиенти. Интегрирането на специализирана услуга за откриване на ботове може да осигури още по-силен слой на сигурност, като анализира стотици поведенчески сигнали, за да разграничи хората от автоматизираните скриптове, преди те дори да достигнат до вашата форма за плащане.
Прилагайте 3D Secure стратегически
Принудителното прилагане на 3D Secure при всяка транзакция може да навреди на нивата на конверсия. По-интелигентен подход е да го използвате динамично. Платформа за оркестрация на плащания може да ви помогне да изградите правила, които задействат 3D Secure предизвикателство само за подозрителни транзакции. Например, можете да приложите Силен клиентски идентификатор (Strong Customer Authentication) за транзакции, произхождащи от страна с висок риск, или ако IP адресът на потребителя не съвпада с държавата на адреса му за фактуриране, или ако той е имал множество предишни неуспешни опити. Това осигурява целенасочена сигурност, без да наказва всички ваши клиенти.
Използвайте интелигентно маршрутизиране на плащания
Ако един от вашите търговски акаунти попадне под атака, рискувате да бъде закрит. Използването на интелигентно маршрутизиране на плащания чрез настройка с множество придобиващи банки осигурява устойчивост. Ако атака е насочена към една придобиваща банка, можете автоматично да пренасочите трафика към друга, изолирайки проблема и поддържайки бизнеса си онлайн. Това също така ви позволява да маршрутизирате подозрителни транзакции към придобиваща банка с по-строги филтри за измами, докато изпращате доверен трафик към придобиваща банка, оптимизирана за по-високи нива на одобрение.
Често задавани въпроси
Какво е BIN атака?
BIN атака е специфичен тип тестване на карти, при което измамниците се насочват към Банков Идентификационен Номер (BIN), който представлява първите 6 до 8 цифри от номера на картата. Те систематично генерират и тестват номера на карти в този специфичен BIN диапазон, надявайки се да намерят последователност от валидни, активни карти, издадени от тази конкретна банка.
Ще спре ли CAPTCHA всички атаки за тестване на карти?
CAPTCHA може да спре повечето несръчни ботове, но решителни измамници използват усъвършенствани скриптове и дори CAPTCHA „ферми“, задвижвани от хора, за да ги заобиколят. Тя трябва да се използва като един слой в по-широка стратегия за предотвратяване на измами, а не като единствена защита.
Защо ми се начисляват такси за отказани транзакции по време на атака?
Вашата придобиваща банка и платежен процесор имат малък разход всеки път, когато изпратят заявка за оторизация до картовите схеми (Visa, Mastercard и др.), независимо от резултата. Тази такса се прехвърля към вас. По време на атака за тестване на карти, включваща хиляди опити, тези малки такси се натрупват бързо.
Как атаките за тестване на карти влияят на отношенията ми с придобиващата банка?
Придобиващите банки наблюдават внимателно вашите показатели за транзакции, особено процента на отказ и съотношението на върнати плащания. Атака за тестване на карти предизвиква рязък скок и в двете. Това сигнализира на придобиващата банка, че вашият сайт е мишена за измами, което ви прави търговец с по-висок риск. Те могат да отговорят с глоби, засилен контрол или дори прекратяване на вашия търговски акаунт.
Може ли 3D Secure да предотврати тестване на карти?
Да, 3D Secure е ефективен инструмент срещу тестване на карти, защото повечето ботове не могат да завършат предизвикателството за удостоверяване (напр. въвеждане на еднократен код, изпратен на телефон). Въпреки това, принудителното му прилагане към всички потребители може да намали конверсията. Най-добрата практика е да се прилага 3D Secure динамично, като се задейства само за транзакции, които отговарят на определени критерии за риск.
Как оркестрацията на плащания помага в борбата с тестването на карти?
Платформата за оркестрация на плащания предоставя централен контролен панел за управление на множество инструменти за измами и правила за маршрутизиране. Можете да задавате правила за скорост, да интегрирате разпознаване на устройства и да изграждате динамични 3D Secure задействания. Тя също така ви позволява да маршрутизирате подозрителен трафик към различни придобиващи банки, като овладявате атака и предотвратявате спирането на който и да е търговски акаунт.
Related reading
Мрежовите токени подобряват процента на одобрение за повтарящи се плащания, като осигуряват динамична връзка с основния платежен инструмент на ниво картови схеми, гарантирайки по-малко неуспешни подновявания поради остарели данни за картата.
Услугите за актуализиране на сметки като Visa Account Updater (VAU) и Mastercard Automatic Billing Updater (ABU) автоматично актуализират съхранените данни за карти, предотвратявайки неуспешни повтарящи се плащания и защитавайки потоците от приходи.
Управлението на дъннинг е процесът на възстановяване на неуспешни абонаментни плащания и е критичен лост за растеж за бизнеси с повтарящи се приходи, от съществено значение за минимизиране на недоброволното отлив и защита на приходите.
