Благотворительные фонды: форма пожертвований без кардинга

Как кардер использует форму

Скрипт открывает страницу /donate, подставляет минимальную сумму и номер карты из украденной базы, отправляет платёж и смотрит на ответ. Успешные карты потом используют для крупных покупок в других местах. Фонду достаются отклонённые платежи и возвраты по тем, что прошли. Подробнее механика описана в разделе о кардинге.

Признаки, которые видно без журналов

• В личном кабинете эквайринга резко выросла доля отклонённых операций.
• Много пожертвований на минимальную сумму, часто ночью и подряд.
• Разные карты, но одинаковые e-mail, имена или шаблонные данные дарителя.
• Эквайер прислал письмо о подозрительной активности.

Что ограничить на странице пожертвования

1. Лимит на попытки оплаты с одного источника и сессии — живой даритель не вводит десять карт подряд.
2. Проверку браузера перед открытием формы, а не после отправки.
3. Разумную минимальную сумму: копеечные платежи нужны прежде всего кардерам.
4. Уведомление при всплеске отклонённых платежей, чтобы реагировать в тот же день.
5. Общий лимит скорости на путь оплаты на случай атаки с множества адресов.

Что не сломать

• Регулярные пожертвования. Списания по подписке выполняются между вашим сервером и платёжным сервисом, но уведомления о них приходят на ваш сайт — их адреса исключают из проверок.
• Виджеты платёжных систем и QR-оплата по СБП. Скрипты виджета загружаются с домена платёжной системы; проверка не должна мешать их загрузке.
• Отчёты и сборы. Страницы сборов часто расходятся по соцсетям; их лучше отдавать из кэша, чтобы всплеск внимания не уронил сайт.