Кардинг — крадіжка, перепродаж і шахрайське використання даних платіжних карток: від викрадення номерів карток до їх продажу на злочинних майданчиках і виведення грошей через покупки.
Як влаштований кардинг
Кардинг — це організована тіньова економіка з чітким розподілом ролей:
- Крадіжка — дані карток викрадають за допомогою скімерів, скриптів формджекінгу на сайтах інтернет-магазинів, фішингових сторінок, шкідливого ПЗ на POS-терміналах і витоків баз даних.
- Торгівля — дані продають у кардшопах і на форумах дарквебу. Продавці розрізняють «дампи» (дані магнітної смуги для виготовлення клонів фізичних карток) і «CVV» або «фулзи» (номер картки, код безпеки та персональні дані для онлайн-покупок).
- Перевірка — кардери проводять «чекінг»: невеликими автоматичними платежами з’ясовують, які картки ще дійсні.
- Виведення коштів — купівля ліквідних товарів і подарункових карток, посередники для пересилання товарів і виведення грошей через грошових мулів.
Чому це важливо
Великі витоки живлять цей ринок роками. Картки, викрадені під час зламу Target у 2013 році (близько 40 мільйонів карток), з’явилися в кардшопі Rescator уже за кілька днів. Joker’s Stash, один із найбільших кардшопів, закрився у 2021 році після багатьох років торгівлі даними з витоків роздрібних мереж і ресторанів. Збитки лягають на банки й магазини через повернення платежів (чарджбеки), а також на клієнтів, яким доводиться перевипускати картки й оскаржувати списання.
Як захиститися від кардингу
- Магазинам — дотримуватися стандарту PCI DSS, не зберігати дані карток і відстежувати впроваджені скрипти на сторінках оплати.
- Застосовувати 3-D Secure, скоринг шахрайства та обмеження частоти запитів, щоб зупиняти перевірку карток.
- Власникам карток — увімкнути сповіщення про операції, платити онлайн віртуальними або токенізованими картками (Apple Pay, Google Pay) і регулярно перевіряти виписки.
- Надавати перевагу оплаті чипом і безконтактній оплаті замість магнітної смуги.
Синоніми:
carding, кардер
