Cardage

Qu'est-ce que le carding ?

Le carding est une forme de fraude par carte de crédit dans laquelle une carte de crédit volée est utilisée pour débiter des cartes prépayées ou acheter des cartes-cadeaux. Le carding implique généralement que le détenteur de la carte volée ou des informations de la carte achète des cartes-cadeaux de marque de magasin, qui peuvent ensuite être vendues à d'autres ou utilisées pour acheter d'autres biens qui peuvent être vendus contre de l'argent. Les voleurs de cartes de crédit qui sont impliqués dans ce type de fraude sont appelés « cardeurs ».

Les États-Unis sont une cible importante pour la fraude par carte de crédit parce qu'il s'agit d'un vaste marché dans lequel l'utilisation des cartes de crédit et de débit est courante, et parce que les types de cartes utilisées aux États-Unis ne contiennent qu'une bande magnétique ou emploient un technologie de la puce et de la signature,. plutôt que la technologie de la puce et du numéro d'identification personnel (PIN) que l'on trouve dans la majeure partie de l'Europe.

Principaux points à retenir

• Le carding est une forme de fraude par carte de crédit dans laquelle une carte de crédit volée est utilisée pour débiter des cartes prépayées.

• Les forums de cartes sont des sites d'achat en ligne pour les informations volées sur les cartes de crédit et de débit et les techniques criminelles.

• Le carding est une attaque de tiers sur les informations financières d'un individu.

• Les forums de cartes sont des sites d'achat en ligne pour les informations volées sur les cartes de crédit et de débit et les techniques criminelles.

• Les nouvelles technologies comme les CVV, CAPTCHA et l'authentification multifactorielle ont été efficaces contre les cardeurs.

Comment fonctionne le cardage

Le cardage commence généralement par l'accès d'un pirate au système de traitement des cartes de crédit d'un magasin ou d'un site Web, le pirate obtenant une liste des cartes de crédit ou de débit récemment utilisées pour effectuer un achat. Les pirates peuvent exploiter les faiblesses des logiciels et technologies de sécurité destinés à protéger les comptes de carte de crédit. Ils peuvent également obtenir des informations sur les cartes de crédit en utilisant des scanners pour copier le codage des bandes magnétiques.

Les informations de carte de crédit peuvent également être compromises en accédant aux autres informations personnelles du titulaire du compte,. telles que les comptes bancaires auxquels le pirate a déjà eu accès, en ciblant les informations à leur source. Le pirate vend ensuite la liste des numéros de carte de crédit ou de débit à un tiers, un cardeur, qui utilise les informations volées pour acheter une carte-cadeau.

La plupart des sociétés de cartes de crédit offrent aux titulaires de cartes une protection contre les frais facturés si une carte de crédit ou de débit est déclarée volée, mais au moment où les cartes sont annulées, le débiteur a souvent déjà effectué un achat. Les cartes-cadeaux sont utilisées pour acheter des biens de grande valeur, tels que des téléphones portables, des téléviseurs et des ordinateurs, car ces biens ne nécessitent pas d'enregistrement et peuvent être revendus plus tard. Si le cardeur achète une carte-cadeau pour un détaillant d'électronique, tel qu'Amazon, il peut faire appel à un tiers pour recevoir les marchandises, puis les expédier vers d'autres endroits. Cela limite le risque pour le cardeur d'attirer l'attention. Le cardeur peut également vendre la marchandise sur des sites Internet offrant un certain anonymat.

Étant donné que les cartes de crédit sont souvent annulées rapidement après avoir été perdues, une grande partie du cardage consiste à tester les informations de la carte volée pour voir si elle fonctionne toujours. Cela peut impliquer de soumettre des demandes d'achat sans carte sur Internet.

Considérations particulières

Il existe un langage spécial et des sites Web spéciaux utilisés par les fraudeurs de cartes de crédit. Certains d'entre eux sont discutés ci-dessous.

Forum de cardage

Les forums de cardage sont des sites Web utilisés pour l'échange d'informations et de compétences techniques sur le commerce illicite de cartes de crédit volées ou d'informations sur les comptes de cartes de débit. Les fraudeurs utilisent ces sites pour acheter et vendre leurs informations obtenues illégalement. De nouveaux efforts de protection tels que les codes PIN et les puces ont rendu plus difficile l'utilisation de cartes volées dans les transactions au point de vente, mais les ventes sans carte restent le pilier des voleurs de cartes et font l'objet de nombreuses discussions sur les forums de cardage.

Fullz

Fullz est un terme d'argot pour "informations complètes" et est utilisé par les criminels qui volent des informations de carte de crédit. Il fait référence à la trousse d'information contenant le vrai nom, l'adresse et la forme d'identification d'une personne. Les informations sont utilisées pour le vol d'identité et la fraude financière. La personne dont le "fullz" est vendu n'est pas partie aux transactions.

Vidage de carte de crédit

Un vidage de carte de crédit se produit lorsqu'un criminel fait une copie numérique non autorisée d'une carte de crédit. Elle est réalisée en copiant physiquement les informations de la carte ou en piratant le réseau de paiement de l'émetteur. Bien que la technique ne soit pas nouvelle, son ampleur s'est considérablement élargie ces dernières années, avec certaines attaques faisant des millions de victimes.

Comment les entreprises préviennent la fraude par carte

Les entreprises mettent en œuvre diverses techniques pour garder une longueur d'avance sur les cardeurs. Certains des changements récents les plus intéressants incluent l'exigence de plus d'informations de la part de l'utilisateur qui ne sont pas aussi facilement disponibles pour le cardeur.

Système de vérification d'adresse (AVS)

Un système AVS compare l'adresse de facturation fournie à la caisse lors d'un achat en ligne à l'adresse d'enregistrement de la société de carte de crédit. Les résultats sont immédiatement renvoyés au vendeur avec une correspondance complète, une correspondance d'adresse, une correspondance de code postal et aucune correspondance. Un système AVS fonctionnant correctement peut arrêter les transactions sans correspondance si la carte est déclarée perdue ou volée. Pour les correspondances d'adresse uniquement ou de code postal uniquement, le vendeur a le pouvoir discrétionnaire d'accepter ou non. AVS est actuellement utilisé aux États-Unis, au Canada et au Royaume-Uni.

Vérification de la géolocalisation IP

Un système de géolocalisation IP compare l'emplacement IP de l'ordinateur de l'utilisateur à l'adresse de facturation saisie sur la page de paiement. S'ils ne correspondent pas, une fraude peut être indiquée. Il existe des raisons légitimes, telles que le voyage, pour un échec de correspondance, mais elles justifient généralement une enquête plus approfondie.

Valeur de vérification de la carte (CVV)

Un code de valeur de vérification de carte (CVV) est un numéro à trois ou quatre chiffres sur une carte de crédit qui ajoute une couche de sécurité supplémentaire pour effectuer des achats lorsque l'acheteur n'est pas physiquement présent. Puisqu'il se trouve sur la carte elle-même, il vérifie que la personne effectuant un achat par téléphone ou en ligne possède bien une copie physique de la carte.

Si votre numéro de carte est volé, un voleur sans le CVV aura du mal à l'utiliser. Le CVV peut être stocké dans la bande magnétique de la carte ou dans la puce de la carte. Le vendeur soumet le CVV avec toutes les autres données dans le cadre de la demande d'autorisation de transaction. L'émetteur peut approuver, renvoyer ou refuser les transactions qui échouent à la validation CVV, selon les procédures de l'émetteur.

Authentification multifacteur (MFA)

L'authentification multifacteur est une technologie de sécurité qui nécessite plusieurs méthodes d'authentification à partir d'informations d'identification indépendantes pour vérifier la connexion d'un utilisateur ou une autre transaction. Il peut utiliser deux ou plusieurs bits d'information indépendants, provenant de la connaissance de l'utilisateur (par exemple, un mot de passe), de la possession de l'utilisateur (par exemple, un jeton d'authentification) ou de ce qu'est l'utilisateur (données biométriques). L'utilisation de MFA crée un processus en couches qui rend plus difficile pour une personne non autorisée d'accéder à sa cible, car l'attaquant ne piratera probablement pas toutes les couches. L'AMF n'utilisait à l'origine que deux facteurs, mais d'autres facteurs ne sont plus rares.

CAPTCHA

Le CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) est une mesure de sécurité de type authentification challenge-response. Il protège les utilisateurs contre le déchiffrement du mot de passe en demandant à l'utilisateur de passer un test qui prouve que le candidat est humain et non un ordinateur tentant de pénétrer dans le compte.

CAPTCHA utilise une série aléatoire de chiffres et de lettres dans une image déformée et oblige l'utilisateur à les répertorier dans l'ordre. Tous les systèmes de chiffres/lettres ont été vaincus par des pirates à un moment ou à un autre. En conséquence, les versions alternatives utilisent désormais des systèmes de détection d'anomalies (trouver les carrés avec des navires) qui sont faciles pour les humains mais moins pour les ordinateurs.

Vérifications de la vitesse

Les vérifications de vélocité examinent le nombre de transactions tentées par la même carte ou le même visiteur du site à un certain nombre de secondes ou de minutes d'intervalle. En règle générale, les utilisateurs n'effectuent pas plusieurs paiements en succession rapide, en particulier des paiements si rapides qu'ils dépassent la capacité d'un être humain. La vélocité peut être surveillée par le montant en dollars, l'adresse IP de l'utilisateur, l'adresse de facturation, le numéro d'identification bancaire (BIN) et l'appareil.

Exemples de cardage

Le cardage implique généralement l'achat de cartes-cadeaux qui sont ensuite utilisées pour acheter des cartes-cadeaux qui peuvent ensuite être dépensées pour des marchandises relativement difficiles à retracer. Souvent, les marchandises sont ensuite revendues en ligne ou ailleurs. Les informations obtenues lors du cardage sont également utilisées pour le vol d'identité et le blanchiment d'argent.

Revente des Informations

L'un des moyens les plus simples d'utiliser les informations obtenues lors du fichage est de les revendre à d'autres qui les utiliseront ensuite dans divers stratagèmes illicites.

Blanchiment d'argent

En 2004, un forum de cardage populaire et un système de paiement en ligne souvent utilisé par les cardeurs se sont avérés être devenus un système bancaire et de transfert permettant le blanchiment d'argent et le traitement de fonds criminels. Pressés de faire volte-face, les individus qui dirigeaient le site de paiement ont renoncé à de nombreux noms et activités criminels, mais ont finalement été eux-mêmes reconnus coupables de blanchiment d'argent.

L'essentiel

À long terme, le carding ne peut être empêché que si les titulaires de carte et ceux qui acceptent les cartes profitent agressivement de toutes les méthodes disponibles pour empêcher le cardage. Les vendeurs devraient exiger autant d'aides à la prévention qu'ils peuvent se le permettre, tandis que les titulaires de carte devraient surveiller les signes physiques de falsification chaque fois qu'ils utilisent une carte dans un guichet automatique ou une pompe à vide.

FAQ sur les cartes

FAQ

Quelle est la punition pour le carding ?

Dans la plupart des États, l'utilisation d'une carte de crédit ou de débit volée pour des transactions d'un montant supérieur à la limite de délit est un crime. En plus d'une restitution potentielle, les cardeurs condamnés peuvent encourir jusqu'à 15 ans de prison et des amendes pouvant aller jusqu'à 25 000 $. Si le fichage est lié au blanchiment d'argent, les sanctions potentielles augmentent fortement.

Qu'est-ce qu'une attaque par cardage ?

Une attaque par carding est une tentative de passer rapidement plusieurs commandes frauduleuses sur un site en ligne. Il peut généralement être reconnu par une forte augmentation soudaine des commandes passées, généralement avec la même adresse de livraison. Souvent, les informations client fournies seront clairement frauduleuses.

Qu'est-ce qu'un skimmer de carte de crédit ?

Un écumeur de cartes de crédit est un instrument ou un dispositif frauduleux placé à l'intérieur d'un lecteur légitime, tel qu'un guichet automatique ou une pompe à essence pour copier les données des cartes utilisées dans ce guichet automatique ou cette pompe.

Comment les criminels volent-ils les informations de carte de crédit ?

Les fraudeurs volent les informations de carte de crédit de diverses manières. Ils utilisent des écumeurs, qui volent les informations des cartes de crédit et de débit des distributeurs automatiques de billets et des pompes à essence dans lesquels ils ont été installés. Ils obtiennent également des informations par le biais d'escroqueries par hameçonnage, de compromissions de sites ou même en achetant des informations sur des forums de carder.

Comment pouvez-vous vous protéger du carding ?

En tant que vendeur, vous pouvez vous protéger contre le carding en utilisant une ou plusieurs des nouvelles méthodes de prévention de la fraude telles que les exigences CAPTCHA et CVV. Les particuliers doivent être prudents avec leurs cartes et être à l'affût des signes de falsification lorsqu'ils utilisent des guichets automatiques et des pompes à essence.