Bagaimana pengujian kartu dapat mengungkap risiko penipuan dan siber yang muncul

Pelaku ancaman mencoba melakukan penagihan sebesar $1 menggunakan nomor kartu kredit curian yang masih aktif. Transaksi ditolak sebelum pembelian selesai. 

Di permukaan, hal ini tampak seperti pencegahan penipuan tingkat rendah yang berhasil. Kenyataannya, upaya pengujian kartu hanyalah langkah awal dalam skema yang lebih rumit — dan jika praktisi keamanan siber serta penipuan tidak mendeteksi dan menindaklanjuti sinyal tersebut, lembaga keuangan (FI) mungkin akan menanggung akibatnya. 

Pengujian kartu dapat memajukan serangan yang menyebabkan kerugian finansial yang signifikan dan mengikis kepercayaan pelanggan, yang menurut 71% eksekutif lembaga keuangan merupakan masalah utama penipuan kartu, berdasarkan laporan tahun 2026 yang ditugaskan oleh Mastercard dari Datos Insights.

Namun, praktisi keamanan siber dan pencegahan penipuan menghadapi tindakan penyeimbangan yang sulit. Meskipun bergerak terlalu lambat membuka pintu bagi serangan di tingkat hilir, bertindak terlalu agresif dapat meningkatkan biaya penerbitan ulang kartu dan menambah hambatan pada pengalaman pelanggan.

Intelijen ancaman mengubah dinamika tersebut. Dengan menghubungkan intelijen penipuan dan keamanan siber, praktisi dapat menggunakan pengujian kartu sebagai sinyal peringatan dini untuk menyempurnakan aturan penipuan dan meningkatkan deteksi penipuan kartu. 

Untuk bergerak menuju pencegahan penipuan kartu secara proaktif, praktisi keamanan siber dan penipuan perlu memahami terlebih dahulu bagaimana pelaku ancaman mempersenjatai pengujian kartu. 

Pengujian kartu adalah taktik penipuan di mana pelaku ancaman mencoba melakukan transaksi kecil atau bernilai nol dolar pada nomor kartu yang dicuri. Pengujian ini membantu mereka memvalidasi kartu mana yang aktif dan siap untuk monetisasi kriminal, seperti melakukan pembelian tidak sah senilai ribuan dolar.

Pelaku ancaman melakukan pengujian kartu dengan berbagai cara, mulai dari melakukan transaksi individu hingga memanfaatkan layanan pengujian kartu kriminal dan taktik otomatis menggunakan bot dan skrip. Penerbit sering mengaitkan pengujian kartu dengan serangan BIN berskala besar yang menyulitkan tim penipuan untuk membedakan transaksi yang sah dari aktivitas penipuan. Namun, peristiwa pengujian yang lebih kecil dan transaksi pengujian individu merupakan indikator yang sama pentingnya.

Karena transaksi pengujian kartu bernilai rendah, banyak bank penerbit menganggapnya sebagai peristiwa penipuan rutin. Mereka berasumsi bahwa ancaman telah teratasi setelah memblokir transaksi tersebut, dan mengabaikan apa yang diungkapkan oleh pengujian kartu mengenai risiko di masa depan.

Pengujian kartu yang ditolak tampak seperti jalan buntu bagi pelaku ancaman, namun sebenarnya berfungsi sebagai mekanisme penyaringan.

Jika kartu tidak ditandai sebagai dikompromikan dan dikonfirmasi aktif, pelaku ancaman dapat menjualnya dengan harga premium sebagai kredensial tervalidasi di forum bawah tanah, pasar, dan saluran pesan tempat data kartu pembayaran yang dikompromikan dipertukarkan. Atau mereka dapat menyimpan nomor kartu untuk eksploitasi di masa mendatang dalam skema seperti:

• Pengambilalihan akun (ATO)
• Penipuan peniruan identitas
• Serangan rekayasa sosial
• Kampanye penipuan terkoordinasi

Skala aktivitas ini sangat mengejutkan. Sejak diluncurkan, Mastercard Threat Intelligence telah mengidentifikasi lebih dari 5 juta transaksi pengujian kartu di 192 negara penerbit.

Dalam beberapa kasus, kartu yang terkait dengan pengujian juga terhubung dengan indikator kompromi lainnya, seperti kredensial yang terekspos atau laporan pelanggan mengenai peniruan identitas dan upaya manipulasi sosial. Namun jika data penipuan dan keamanan siber tetap terisolasi, sulit untuk menghubungkan aktivitas pengujian kartu dengan ancaman-ancaman ini.

Data pengujian kartu dapat menawarkan insight berharga bagi praktisi keamanan siber dan penipuan, namun data tersebut paling kuat jika dilihat dalam konteks ancaman penipuan dan keamanan siber yang lebih luas.

Dengan menggabungkan intelijen ancaman dengan data transaksi dan pelanggan di tingkat bank penerbit, para profesional keamanan siber dan penipuan dapat mengidentifikasi dan memprioritaskan kartu yang kemungkinan akan diperdagangkan atau dieksploitasi di pasar carding dengan lebih akurat.

Sebagai contoh, kartu yang menunjukkan perilaku pengujian berulang — yang dikaitkan dengan penipuan hilir yang dipercepat dan konsentrasi kerugian yang lebih tinggi — dapat ditandai untuk penggantian yang dipercepat, penjangkauan pelanggan yang ditargetkan, atau pemantauan yang ditingkatkan selama periode segera setelah pengujian.

Pada akhirnya, kematangan penipuan diukur dari bagaimana penerbit mengintegrasikan sinyal pengujian kartu ke dalam sistem penipuan untuk mengidentifikasi risiko dan memicu tindakan tepat waktu.

Terdapat lima tahap untuk memahami kematangan penerbit dalam penggunaan data pengujian kartu:

• Pada tahap ini, penerbit sama sekali tidak mendeteksi pengujian kartu dan hanya Become sadar akan aktivitas pengujian kartu setelah penipuan yang meluas terjadi. 
• Tanpa visibilitas terhadap aktivitas pengujian, organisasi terjebak dalam menanggapi kerugian moneter. 
  

• Penerbit dapat mengidentifikasi dan menolak transaksi pengujian kartu lebih awal, yang membantu mengurangi paparan penipuan secara langsung.
• Namun, fokusnya tetap pada pencegahan di tingkat transaksi daripada menggunakan pengujian kartu sebagai indikator serangan di masa mendatang, sehingga penerbit rentan terhadap penipuan di tingkat hilir.

• Setelah mengidentifikasi kartu yang berisiko terhadap monetisasi kriminal, penerbit dapat mengambil tindakan cepat di tingkat kartu, seperti menerbitkan ulang kartu, mewajibkan autentikasi tambahan, atau meningkatkan pemantauan.
• Hal ini mempersingkat waktu antara paparan dan respons sehingga para profesional keamanan siber dan penipuan dapat menahan ancaman serta mengurangi kerugian, namun mereka masih kurang memiliki visibilitas terhadap pola serangan.
  

• Dengan intelijen ancaman, penerbit dapat mengenali pengujian kartu sebagai sinyal peringatan dini melalui deteksi berbasis pola di seluruh kartu dan waktu.
• Praktisi keamanan siber dan penipuan mengintegrasikan sinyal-sinyal ini ke dalam aturan penipuan dan strategi risiko, yang memungkinkan mereka bekerja secara proaktif untuk menghentikan penipuan hilir tanpa memengaruhi pengalaman pelanggan.

• Karena intelijen ancaman memberikan visibilitas tingkat jaringan ke dalam bank identification numbers (BIN) yang ditargetkan, produk kartu yang rentan, dan kampanye pengujian terkoordinasi, penerbit dapat memprioritaskan kontrol berdasarkan di mana pelaku ancaman memfokuskan upaya mereka.
• Praktisi keamanan siber dan penipuan dapat mengalihkan fokus untuk memahami bagaimana serangan berkembang dan mengidentifikasi hubungan antara pengujian kartu dan ancaman siber yang lebih luas.
• Pendekatan ini memiliki nilai yang sangat besar dalam pencegahan penipuan. Riset bersama Datos Insights menemukan bahwa dengan integrasi penipuan siber kartu, 81% penerbit dapat merespons lebih cepat terhadap serangan kartu saat ini dan yang baru muncul, serta 74% melihat deteksi upaya ATO yang lebih cepat.

Pertimbangkan penerbit yang baru saja mengidentifikasi dan menolak upaya pengujian kartu pada rentang BIN kartu korporat. Karena sebagian besar aktivitas bernilai rendah, peristiwa tersebut dianggap sebagai upaya penipuan yang terisolasi dan hanya menerima tindak lanjut yang terbatas.

Namun, setelah mengintegrasikan intelijen ancaman pengujian kartu ke dalam proses pemantauan penipuannya, penerbit mendapatkan visibilitas yang lebih besar terhadap aktivitas penipuan di seluruh portofolio.

Hal ini mengungkap pola serangan yang lebih luas. Pelaku ancaman menguji berbagai jenis kartu, bukan hanya kartu korporat. Selain itu, kartu yang ditargetkan untuk pengujian nantinya akan dikaitkan dengan upaya pengambilalihan akun dan aktivitas penipuan berisiko tinggi lainnya.

Dengan konteks ini, praktisi penipuan dan keamanan siber dapat menggunakan intelijen pengujian kartu untuk memperkuat aturan penipuan dan strategi risiko serta memantau akun yang berisiko secara proaktif. 

Menolak transaksi pengujian kartu mungkin mencegah kerugian langsung, namun hal itu tidak menghentikan pelaku ancaman untuk mengidentifikasi akun yang rentan dan beralih ke kampanye penipuan yang lebih besar.

Intelijen ancaman memberikan konteks untuk menghubungkan pengujian kartu dengan sinyal penipuan dan keamanan siber lainnya, membantu tim mengungkap pola dan ancaman yang muncul yang jika tidak demikian akan tetap tersembunyi.

Namun, pencegahan penipuan bukanlah proses yang linear. Seiring pelaku ancaman terus menguji, mengadaptasi, dan menyempurnakan taktik mereka, tim keamanan siber dan tim penipuan memerlukan visibilitas berkelanjutan terhadap sinyal yang mengindikasikan aktivitas serangan yang lebih luas.

Dengan mengintegrasikan intelijen ancaman ke dalam pemantauan penipuan dan strategi risiko, para profesional keamanan siber dan penipuan dapat mulai mengidentifikasi serangan lebih awal dalam siklus hidupnya.