Card testing e carding
Il tuo checkout può diventare un servizio per testare carte rubate. L’attaccante vuole conoscere l’esito dell’autorizzazione, anche quando non gli interessa il prodotto che vendi.
Prova gratisIn breve
Il card testing verifica se i dati di carte rubate funzionano. I tentativi falliti generano carico di elaborazione; quelli riusciti ti espongono alle frodi. Individua i tentativi su più carte e ferma gli invii sospetti prima che raggiungano il fornitore di pagamenti. Quando rafforzi i controlli, monitora anche il completamento dei pagamenti legittimi.
Cosa sono card testing e carding
L’attaccante inserisce dati di carte rubate in un modulo di pagamento o di salvataggio della carta e legge il risultato. Ripete il processo su più carte, conservando quelle funzionanti per acquisti successivi o per rivenderne i dati.
Non serve completare un ordine per ogni test. Anche le verifiche per salvare una carta e le autorizzazioni non riuscite rivelano se i dati vengono accettati. La cronologia degli ordini mostra quindi solo una parte dell’incidente.
Come si manifesta l’abuso e quali costi nasconde
Retail ed e-commerce
Checkout come ospite, buoni regalo e prodotti economici offrono punti in cui tentare un pagamento senza un account già attivo. Il negozio resta utilizzabile, ma il servizio di pagamento gestisce autorizzazioni ripetute che non diventano acquisti reali.
Il costo comprende il carico sull’infrastruttura e il tempo delle indagini. Le commissioni sulle autorizzazioni dipendono dal contratto con il fornitore. I pagamenti di prova riusciti generano contestazioni, mentre un tasso elevato e persistente di rifiuti può influenzare la valutazione dei successivi pagamenti legittimi da parte delle banche emittenti. La documentazione Stripe descrive queste conseguenze e distingue i test al salvataggio della carta da quelli al pagamento.
Gli importi ridotti rendono facile sottovalutare l’incidente. Il tuo team deve comunque identificare i pagamenti fraudolenti, fermare le spedizioni e distinguere i test dai clienti che riprovano dopo un rifiuto.
Marketplace online
L’attaccante prova carte rubate su annunci di prodotti economici. I tentativi si distribuiscono tra account acquirente e venditori, rendendo lo schema difficile da vedere nella lista ordini di un solo venditore.
I venditori si aspettano di evadere gli ordini pagati. Annullare gli acquisti fraudolenti confermati richiede di fermare le spedizioni, spiegare la decisione e correggere i saldi. Il tuo team antifrode deve indagare sull’intero marketplace senza aspettare la segnalazione di un singolo venditore.
Un prodotto reale e poco costoso non rende legittimo il pagamento. Allo stesso tempo, il prezzo basso da solo è un criterio di blocco poco utile quando gli acquisti economici sono normali sulla tua piattaforma.
Le tecniche usate da chi commette frodi
Restare sotto la soglia di revisione degli ordini
L’attaccante sceglie piccoli pagamenti che attirano meno attenzione in una coda di revisione ordinata per importo. Ciò che ottiene è la risposta del sistema di pagamento. Il report degli ordini più grandi non mostra quali pagine vengono usate per verificare le carte.
Distribuire i tentativi su account e IP diversi
Email, sessioni ospite e connessioni diverse mantengono breve la cronologia di ciascuno. Un limite per account vede solo pochi errori. Confronta il numero di carte diverse provate dallo stesso dispositivo o dalla stessa sessione per vedere ciò che i totali per account non mostrano.
Usare verifiche di pagamento esterne al checkout principale
Anche il modulo per salvare una carta contatta il fornitore di pagamenti. Proteggere il pulsante di acquisto lascia un’apertura se altri moduli avviano verifiche. Individua tutti i punti in cui la tua applicazione crea un pagamento o salva una carta, comprese le chiamate lato server dietro quei moduli.
Imparare dalle risposte di pagamento
L’attaccante legge se il tentativo è riuscito e cosa è successo in caso di errore. Messaggi dettagliati lo aiutano a interpretare il test. La risposta mostrata al cliente dovrebbe indicare il passo successivo utile senza esporre dettagli diagnostici non necessari del fornitore di pagamenti.
OWASP OAT-001: Carding definisce la verifica massiva di carte e la distingue dai tentativi di indovinare i dati mancanti. Il repository pubblico offre ai tuoi team tecnici e pagamenti un vocabolario comune per analizzare gli incidenti.
Come rilevare e prevenire card testing e carding
Confronta i tentativi di autorizzazione con gli ordini completati. Controlla quanti riferimenti distinti a metodi di pagamento compaiono per dispositivo, i rifiuti ripetuti e i nuovi tentativi sullo stesso carrello. Per questa analisi usa i riferimenti forniti dal gestore dei pagamenti, senza raccogliere i dati completi delle carte.
Applica rate limit e verifiche prima di creare un altro tentativo di pagamento. Mantieni attivi i controlli antifrode del fornitore e proteggi sia i moduli per salvare le carte sia il checkout.
Lascia ai clienti reali un modo ragionevole per riprovare. Dopo aver modificato i limiti, misura i pagamenti accettati, le contestazioni e i contatti all’assistenza: meno tentativi, da soli, non dimostrano che il checkout sia migliorato.
Come Kairal ti aiuta a fermare card testing e carding
Kairal registra le richieste al checkout con dispositivo, IP e sessione, assegna loro un punteggio e applica le verifiche o i blocchi configurati. Il controllo deve avvenire prima della chiamata al fornitore di pagamenti, così una richiesta bloccata non avvia un’altra autorizzazione.
Kairal Business Defense, attualmente in accesso anticipato, aggiunge la valutazione degli abusi sui pagamenti usando i riferimenti di pagamento forniti dall’integrazione.
Esamini le decisioni registrate da Kairal insieme ai rifiuti del fornitore e ai pagamenti completati, poi regoli la protezione sui moduli coinvolti. Il tuo negozio e il fornitore mantengono la gestione di accettazione, rimborsi e contestazioni. Bloccare un tentativo successivo non annulla un pagamento già elaborato.
Rendi la tua attività un bersaglio più difficile.
Prova il servizio gratuitamente per 3 mesi, con supporto diretto, per capire quali minacce colpiscono la tua attività online.
Inviaci i dettagli del tuo sito. Prepareremo l’account e ti invieremo via email i prossimi passi.