Útoky s testováním karet: Jak jsou zasaženy weby s předplatným a co tomu zabrání

Útoky s testováním karet představují trvalou hrozbu pro každého online obchodníka, ale pro podniky s předplatným představují jedinečné nebezpečí. Podvodníci používají automatizované skripty k testování tisíců ukradených čísel karet na vaší platební stránce, často prostřednictvím malých transakcí, jako je zkušební verze za 1 £ nebo bezplatná registrace, která vyžaduje ověření karty. Tyto útoky ucpávají vaši platební bránu, spouštějí vysokou míru zamítnutí, která poškozuje vaše vztahy s akceptanty, a zanechávají vás s horou chargebacků a pokut od karetních asociací.

Co je útok s testováním karet?

Útok s testováním karet, známý také jako carding nebo kontrola karet, je typ platebního podvodu, při kterém zločinci testují platnost ukradených údajů o kreditních nebo debetních kartách. Používají boty k odesílání velkého objemu malých transakcí prostřednictvím platebního formuláře obchodníka. Cílem není nákup zboží, ale identifikace, které karty jsou „živé“ a mohou být použity pro větší podvodné nákupy jinde nebo prodány na darknetových tržištích.

Existují dvě primární formy testování karet:

• Enumerace čísla karty: Boty systematicky generují a testují sekvenční čísla karet, často se zaměřují na konkrétní rozsah BIN (Bank Identification Number), o kterém je známo, že má nižší bezpečnostní kontroly. Tomuto se také říká útok BIN.
• Testování seznamu ukradených karet: Podvodníci používají seznamy údajů o kartách zakoupených z dark webu, které zahrnují celé číslo karty, datum expirace a CVV. Boty procházejí tímto seznamem na vašem webu, aby zjistily, které z nich jsou stále aktivní.

Při každém pokusu bot analyzuje odpověď z platební brány. Schválená transakce nebo specifický kód zamítnutí (například „Nedostatek prostředků“) potvrzuje, že karta je platná. Odpověď „Neudělit čest“ nebo „Neplatné číslo karty“ naznačuje, že karta je mrtvá. Výsledky se zaznamenávají a seznam živých karet se stává cenným aktivem pro podvodníka.

Proč jsou weby s předplatným primárními cíli

Podniky založené na předplatném jsou obzvláště atraktivními cíli pro útoky s testováním karet z několika důvodů. Jejich obchodní modely často zahrnují funkce, které jsou sice skvělé pro získávání legitimních zákazníků, ale mohou být snadno zneužity podvodníky.

Nízkohodnotové počáteční transakce

Mnoho předplacených služeb, od platforem SaaS po weby s obsahem pro tvůrce, nabízí bezplatné zkušební verze nebo nízkonákladová úvodní období, jako je první měsíc za 1 £. Tyto vyžadují kartu v evidenci pro ověření a budoucí fakturaci. Podvodníci zneužívají tyto registrace s nízkým třením, protože malá autorizace za 0 £ nebo 1 £ je méně pravděpodobné, že bude označena držitelem karty nebo jeho vydávající bankou než velký nákup. To umožňuje testování karet, aby zůstalo pod radarem.

Automatické opakované fakturace

Jádrem modelu předplatného je automatická fakturace. Jakmile je karta v evidenci a ověřena, je uložena pro budoucí platby. Podvodníci vědí, že pokud se jim podaří jednou úspěšně autorizovat ukradenou kartu, bude uložena ve vašem systému. To činí váš web dokonalým testovacím místem pro ověření karet pro jejich vlastní budoucí použití, aniž by bylo nutné dokončit plný, znatelný nákup.

Důraz na optimalizaci míry konverze

Podniky s předplatným se právem zaměřují na minimalizaci tření u pokladny, aby maximalizovaly konverze. To často znamená zjednodušení registračních formulářů, odstranění CAPTCHA a ne vždy vynucení 3D Secure na počátečních autorizacích. I když to pomáhá legitimním zákazníkům, odstraňuje to také samotné bariéry, které by mohly odradit nebo zablokovat automatizované útoky botů. Podvodníci aktivně hledají tyto cesty nejmenšího odporu.

Kaskádové náklady útoků s testováním karet

Škody způsobené útokem s testováním karet přesahují malé částky transakcí. Skutečné náklady jsou kaskáda provozních potíží, finančních sankcí a poškození pověsti, které mohou ohrozit vaše možnosti zpracování plateb.

Autorizační a zamítací poplatky

Každý pokus o transakci, ať už schválený nebo zamítnutý, vás stojí peníze. Váš zpracovatel plateb a akceptant si účtují malý pevný poplatek za každý požadavek na autorizaci odeslaný karetním asociacím. Během útoku botem zahrnujícího desítky tisíc pokusů se tyto poplatky rychle hromadí. Platíte za privilegium být napaden.

Zvýšená míra chargebacků

I když je transakce za 1 £ schválena, legitimní držitel karty si nakonec všimne neznámého poplatku a zpochybní jej. To vede k chargebacku. Náhlý nárůst chargebacků zvýší váš poměr chargebacků k transakcím, klíčovou metriku monitorovanou karetními asociacemi jako Visa a Mastercard. To může vést k tomu, že vaše firma bude zařazena do monitorovacího programu.

Pokuty od akceptantů a karetních asociací

Akceptanti a karetní asociace pokutují obchodníky za nadměrná zamítnutí. Vysoká míra zamítnutí je červená vlajka pro špatné obchodní praktiky nebo podvody a zatěžuje síť. Pokud vaše míra zamítnutí prudce stoupne v důsledku útoku s testováním karet, váš akceptant vám může uložit vysoké pokuty. V závažných případech mohou váš obchodní účet podrobit revizi nebo jej zcela ukončit, čímž vám znemožní přijímání plateb.

Visa a Mastercard mají specifické programy k řešení tohoto problému. Například, pokud jsou vaše pokusy o autorizaci považovány za nadměrné, můžete čelit značným finančním sankcím od karetních asociací, které vám budou předány prostřednictvím vašeho akceptanta.