Как тестирование карт может выявить новые риски мошенничества и киберугрозы

Злоумышленник пытается списать 1 доллар, используя номер украденной кредитной карты, которая все еще активна. Транзакция отклоняется до завершения покупки. 

На первый взгляд это выглядит как успешное предотвращение мошенничества низкого уровня. В действительности попытка тестирования карт была лишь первым шагом в более сложной схеме, и если специалисты по кибербезопасности и борьбе с мошенничеством не обнаружат этот сигнал и не отреагируют на него, финансовые учреждения (ФУ) могут понести убытки. 

Тестирование карт может способствовать атакам, которые приводят к значительным финансовым потерям и подрывают доверие клиентов. По данным отчета 2026 года, подготовленного по заказу Mastercard компанией Datos Insights, 71% руководителей финансовых организаций называют это одной из главных проблем в сфере карточного мошенничества.

Однако специалисты по кибербезопасности и борьбе с мошенничеством сталкиваются с необходимостью соблюдения сложного баланса. Хотя слишком медленные действия открывают путь для последующих атак, излишне агрессивные меры могут увеличить расходы на перевыпуск карт и создать дополнительные препятствия для клиентов.

Аналитика угроз меняет эту динамику. Объединяя аналитические данные о мошенничестве и кибербезопасности, специалисты могут использовать тестирование карт в качестве сигнала раннего предупреждения для уточнения правил борьбы с мошенничеством и повышения эффективности его выявления. 

Чтобы перейти к упреждающему предотвращению мошенничества с картами, специалистам по кибербезопасности и борьбе с мошенничеством необходимо прежде всего понять, как злоумышленники используют тестирование карт в своих целях. 

Тестирование карт — это тактика мошенничества, при которой злоумышленники пытаются совершить транзакции на небольшие суммы или нулевые суммы с использованием украденных номеров карт. Эти тесты помогают им определить, какие карты активны и подходят для преступной монетизации, например, для совершения несанкционированных покупок на тысячи долларов.

Злоумышленники осуществляют тестирование карт различными способами: от проведения отдельных транзакций до использования криминальных сервисов тестирования карт и автоматизированных тактик с применением ботов и скриптов. Эмитенты часто связывают тестирование карт с масштабными BIN-атаками, из-за которых командам по борьбе с мошенничеством трудно отличить легитимные транзакции от мошеннических действий. Тем не менее, небольшие события тестирования и отдельные транзакции тестирования являются не менее важными индикаторами.

Поскольку транзакции по тестированию карт имеют низкую стоимость, многие эмитенты считают их обычным случаем мошенничества. Они полагают, что угроза устранена после блокировки транзакции, и упускают из виду то, что тестирование карт говорит о будущих рисках.

Отклоненный тест карты кажется тупиком для злоумышленников, но на самом деле он служит механизмом фильтрации.

Если карта не помечена как скомпрометированная и подтверждена как активная, злоумышленники могут продать ее по завышенной цене в качестве проверенных учетных данных на подпольных форумах, торговых площадках и в мессенджерах, где происходит обмен данными скомпрометированных платежных карт. Или они могут сохранить номер карты для будущего использования в таких схемах, как:

• Захват счетов (ATO)
• Мошенничество с подменой личности
• Атаки с использованием социальной инженерии
• Скоординированные мошеннические кампании

Масштаб этой деятельности поражает. С момента запуска система Mastercard Threat Intelligence выявила более 5 миллионов транзакций по тестированию карт в 192 странах-эмитентах.

В некоторых случаях карты, связанные с тестированием, также связаны с другими индикаторами компрометации, такими как скомпрометированные учетные данные или сообщения клиентов о попытках выдачи себя за другое лицо и социальной инженерии. Но если данные о мошенничестве и кибербезопасности остаются разрозненными, сложно связать активность по тестированию карт с этими угрозами.

Данные о тестировании карт могут предоставить ценную информацию для специалистов по кибербезопасности и борьбе с мошенничеством, но они наиболее эффективны при рассмотрении в контексте более широкого спектра угроз.

Объединяя аналитику угроз с данными о транзакциях и клиентах на уровне эмитента, специалисты по кибербезопасности и борьбе с мошенничеством могут более точно выявлять и приоритизировать карты, которые, вероятно, будут проданы или использованы на рынках кардинга.

Например, карты, демонстрирующие повторяющиеся признаки тестирования — связанные с ускоренным мошенничеством на последующих этапах и более высокой концентрацией убытков, — могут быть помечены для ускоренной замены, целевого информирования клиентов или усиленного мониторинга в период сразу после тестирования.

В конечном счете, уровень зрелости систем борьбы с мошенничеством определяется тем, как эмитент интегрирует сигналы тестирования карт в свои системы для выявления рисков и принятия своевременных мер.

Существует пять этапов оценки зрелости эмитента в использовании данных о тестировании карт:

• На этом этапе эмитенты вообще не обнаруживают тестирование карт и узнают о такой активности только после того, как мошенничество приобретает масштабный характер. 
• Не имея возможности отслеживать активность тестирования, организации вынуждены лишь реагировать на уже понесенные финансовые потери. 
  

• Эмитенты могут своевременно выявлять и отклонять транзакции по тестированию карт, что помогает снизить непосредственные риски мошенничества.
• Однако основное внимание по-прежнему уделяется предотвращению на уровне транзакций, а не использованию тестирования карт в качестве индикатора будущих атак, что делает эмитентов уязвимыми перед последующим мошенничеством.

• После выявления карт, подверженных риску преступной монетизации, эмитенты могут оперативно принимать меры на уровне карт, такие как перевыпуск карт, требование дополнительной аутентификации или усиление мониторинга.
• Это сокращает время между обнаружением и реагированием, позволяя специалистам по кибербезопасности и борьбе с мошенничеством локализовать угрозу и снизить убытки, однако им по-прежнему не хватает наглядности в отношении моделей атак.
  

• Благодаря аналитике угроз эмитенты могут распознавать тестирование карт как сигнал раннего предупреждения посредством обнаружения закономерностей по разным картам и периодам времени.
• Специалисты по кибербезопасности и борьбе с мошенничеством интегрируют эти сигналы в правила противодействия мошенничеству и стратегии управления рисками, что позволяет им проактивно пресекать последующие мошеннические действия, не ухудшая качество обслуживания клиентов.

• Поскольку система анализа угроз обеспечивает видимость на сетевом уровне в отношении целевых банковских идентификационных номеров (BIN), уязвимых карточных продуктов и скоординированных кампаний по тестированию, эмитенты могут расставлять приоритеты в мерах контроля, основываясь на том, на чем злоумышленники сосредотачивают свои усилия.
• Специалисты по кибербезопасности и борьбе с мошенничеством могут сосредоточиться на понимании того, как развиваются атаки, и выявлении связей между тестированием карт и более масштабными киберугрозами.
• Такой подход имеет огромное значение для предотвращения мошенничества. Исследование, проведенное совместно с Datos Insights, показало, что благодаря интеграции систем борьбы с кибермошенничеством 81% эмитентов могут быстрее реагировать на текущие и новые атаки на карты, а 74% отмечают более быстрое выявление попыток захвата счетов (ATO).

Рассмотрим эмитента, который недавно выявил и отклонил попытки тестирования карт в диапазоне БИН корпоративных карт. Поскольку большая часть такой активности имеет низкую стоимость, эти события рассматриваются как изолированные попытки мошенничества и требуют ограниченного внимания.

Однако после интеграции аналитики угроз, связанных с тестированием карт, в процессы мониторинга мошенничества эмитент получает более широкое представление о мошеннической активности в своих портфелях.

Это выявляет более широкую модель атаки. Злоумышленники тестируют карты различных типов, а не только корпоративные. Кроме того, карты, ставшие целью тестирования, впоследствии используются в попытках захвата счетов и других видах мошенничества с высоким уровнем риска.

Имея этот контекст, специалисты по борьбе с мошенничеством и кибербезопасности могут использовать аналитику тестирования карт для усиления правил борьбы с мошенничеством и стратегий управления рисками, а также для проактивного мониторинга счетов, подверженных риску. 

Отклонение транзакции при тестировании карты может предотвратить немедленный убыток, но это не мешает злоумышленникам выявлять уязвимые счета и переходить к более масштабным мошенническим кампаниям.

Анализ угроз предоставляет контекст для связи тестирования карт с другими сигналами мошенничества и кибербезопасности, помогая командам выявлять закономерности и возникающие угрозы, которые в противном случае остались бы скрытыми.

Однако предотвращение мошенничества — это нелинейный процесс. Поскольку злоумышленники постоянно тестируют, адаптируют и совершенствуют свою тактику, командам по кибербезопасности и борьбе с мошенничеством необходим постоянный доступ к сигналам, указывающим на более масштабную активность атак.

Интегрируя аналитику угроз в стратегии мониторинга мошенничества и управления рисками, специалисты по кибербезопасности и борьбе с мошенничеством могут начинать выявление атак на более ранних этапах их жизненного цикла.