Кардинг: проверка украденных банковских карт через ваш сайт

Чем грозит

• Возвратные платежи (чарджбэки) и комиссии за них.
• Претензии банка-эквайера и риск отключения приёма платежей.
• Нагрузка на платёжную форму и службу поддержки.

Признаки

• Серия мелких платежей или пожертвований за короткое время.
• Высокая доля отклонённых транзакций.
• Разные карты, но одинаковые данные плательщика или одно устройство.
• Много новых заказов или пожертвований без просмотра других страниц сайта.
• Платежи в нетипичное время, сериями с ровными интервалами.

Отличие от настоящих платежей

Сбор средств после публикации или распродажа тоже дают всплеск оплат. Но у настоящих плательщиков доля отказов обычная, суммы разные, а перед оплатой человек смотрит страницы сайта. При кардинге суммы минимальные и одинаковые, а большая часть операций отклоняется банком — карты либо заблокированы, либо не существуют.

Почему страдают именно небольшие сайты

Мошенникам нужна форма, где можно быстро провести мелкий платёж без регистрации и без дополнительных проверок. Форма пожертвования с произвольной суммой — идеальный вариант. Крупные магазины чаще защищены антифродом и обязательной регистрацией, поэтому под удар попадают фонды, небольшие магазины и сервисы с пробной подпиской за символическую сумму.

Защита

Лимиты на попытки оплаты с источника и сессии, проверка браузера перед открытием платёжной формы, минимальная сумма пожертвования и обязательная 3-D Secure. Фильтр L7 отсекает автоматизацию на подступах к форме, антифрод банка — подозрительные транзакции. Механизмы на стороне фильтра описаны на страницах защиты от ботов и ограничения скорости.