卡片测试如何揭示新兴的欺诈和网络风险

威胁行为者尝试使用一个仍然有效的被盗信用卡号进行 1 美元的扣款。交易在购买完成前即被拒绝。

从表面上看，这似乎是成功防范了低级别欺诈。实际上，卡测试尝试只是一个更复杂计划的开端——如果网络安全和欺诈从业者不能检测并根据该信号采取行动，金融机构 (FI) 可能会付出代价。

卡片测试可能会推动导致重大经济损失并侵蚀客户信任的攻击，根据 2026 年由万事达卡委托 Datos Insights 撰写的报告，71% 的金融机构高管认为这是卡片欺诈的首要痛点。

然而，网络安全和反欺诈从业者面临着艰难的平衡挑战。虽然行动过于缓慢会为下游攻击敞开大门，但行动过于激进则可能增加卡片重新发放的成本，并给客户体验增加阻碍。

威胁情报改变了这种动态。通过连接欺诈和网络安全情报，从业者可以将卡片测试作为预警信号，以优化欺诈规则并提高银行卡欺诈检测能力。

为了迈向主动的银行卡欺诈防范，网络安全和反欺诈从业者首先需要了解威胁行为者如何将卡片测试武器化。

卡片测试是一种欺诈手段，攻击者尝试使用被盗卡号进行小额或零美元交易。这些测试有助于他们验证哪些卡片处于活跃状态并适合进行犯罪变现，例如进行数千美元的未经授权的购买。

威胁行为者通过多种方式进行卡测试，从执行单笔交易到利用犯罪卡测试服务，以及使用机器人和脚本的自动化策略。发卡机构通常将卡测试与大规模 BIN 攻击联系在一起，这使得反欺诈团队难以区分合法交易与欺诈活动。然而，较小规模的测试事件和单笔测试交易同样是重要的指标。

由于卡片测试交易金额较低，许多发卡机构将其视为常规欺诈事件而未予重视。他们认为一旦拦截了交易，威胁就得到了控制，却忽略了卡片测试所揭示的未来风险。

对于威胁行为者而言，被拒绝的卡片测试似乎是一条死胡同，但它实际上起到了过滤机制的作用。

如果一张卡片未被标记为已泄露且被确认为活跃状态，威胁行为者便可将其作为已验证的凭证，在交换泄露支付卡数据的地下论坛、交易市场和消息渠道中高价出售。或者，他们可以保留卡号，以便在以下计划中进行后续利用：

• 账户接管 (ATO)
• 冒充诈骗
• 社会工程攻击
• 协同欺诈活动

这种活动的规模令人震惊。自推出以来，万事达卡威胁情报已在 192 个发卡国家/地区识别出超过 500 万笔卡片测试交易。

在某些情况下，与测试相关的卡片还关联着其他入侵指标，例如凭证泄露，或客户报告的冒充及社会工程学攻击尝试。但如果欺诈和网络安全数据仍然各自为政，就很难将卡片测试活动与这些威胁联系起来。

卡片测试数据可以为网络安全和反欺诈从业者提供有价值的洞察，但只有在更广泛的欺诈和网络安全威胁背景下审视时，它才最具威力。

通过将威胁情报与发卡机构层面的交易和客户数据相结合，网络安全和反欺诈专业人员可以更准确地识别并优先处理那些可能在卡片交易市场中被买卖或利用的卡片。

例如，对于表现出重复测试行为的卡片——这通常与下游欺诈加速和更高的损失集中度相关——可以将其标记，以便进行快速更换、针对性的客户外联或在测试后立即进行强化监控。

归根结底，欺诈成熟度取决于发卡机构如何将卡片测试信号整合到欺诈系统中，以识别风险并触发及时行动。

了解发卡机构在使用卡片测试数据方面的成熟度分为五个阶段：

• 在此阶段，发卡机构根本无法检测到卡片测试，只有在发生大规模欺诈后才会意识到卡片测试活动的存在。
• 如果无法洞察测试活动，组织将只能被动应对资金损失。
  

• 发卡机构可以及早识别并拒绝卡片测试交易，这有助于减少即时的欺诈风险暴露。
• 然而，目前的重点仍然是交易层面的预防，而非将卡片测试作为未来攻击的指标，这使得发卡机构容易受到后续欺诈的影响。

• 在识别出面临犯罪变现风险的银行卡后，发卡机构可以迅速采取卡片层面的行动，例如补发卡片、要求进行强化身份验证或加强监控。
• 这缩短了从暴露到响应的时间，使网络安全和反欺诈专业人员能够遏制威胁并减少损失，但他们仍然缺乏对攻击模式的可见性。
  

• 借助威胁情报，发卡机构可以通过跨卡片和跨时间的模式检测，将卡片测试识别为预警信号。
• 网络安全和反欺诈从业者将这些信号整合到欺诈规则和风险策略中，使他们能够主动采取行动，在不影响客户体验的情况下阻止下游欺诈。

• 由于威胁情报提供了针对银行识别码 (BIN)、易受攻击的卡片产品和协同测试活动的网络级可见性，发卡机构可以根据威胁行为者的重点攻击方向来优先配置控制措施。
• 网络安全与欺诈从业者可以将重心转向了解攻击的发展方式，并识别卡片测试与更广泛网络威胁之间的关联。
• 这种方法在欺诈防范方面具有巨大的价值。Datos Insights 的研究发现，通过整合卡片网络欺诈防御，81% 的发卡机构能够更快地应对当前及新兴的卡片攻击，74% 的机构能够更快地检测到账户接管 (ATO) 尝试。

以一家最近识别并拒绝了针对企业卡 BIN 范围的卡片测试尝试的发卡机构为例。由于大多数此类活动金额较低，这些事件通常被视为孤立的欺诈尝试，后续跟进有限。

然而，在将卡片测试威胁情报整合到其欺诈监控流程中后，发卡机构能够更全面地洞察各投资组合中的欺诈活动。

这揭示了一种更广泛的攻击模式。威胁行为者正在测试多种类型的卡片，而不仅仅是企业卡。此外，被测试的目标卡片随后往往会与账户接管尝试及其他高风险欺诈活动相关联。

在此背景下，欺诈和网络安全从业者可以利用卡片测试情报来加强欺诈规则和风险策略，并主动监控高风险账户。

拒绝一笔卡片测试交易或许能防止即时损失，但这并不能阻止威胁行为者识别易受攻击的账户并推进更大规模的欺诈活动。

威胁情报提供了将卡测试与其他欺诈和网络安全信号联系起来的背景信息，帮助团队发现原本会被隐藏的模式和新兴威胁。

然而，欺诈防范并非一个线性的过程。随着攻击者不断测试、调整和完善其策略，网络安全和反欺诈团队需要持续掌握能够预示更大规模攻击活动的信号。

通过将威胁情报整合到欺诈监控和风险策略中，网络安全和反欺诈专业人员可以在攻击生命周期的早期阶段就开始识别攻击。