Hvordan korttesting kan avdekke ny svindel og cyberrisiko

En trusselaktør forsøker en belastning på 1 USD ved bruk av et stjålet kredittkortnummer som fortsatt er aktivt. Transaksjonen avvises før kjøpet er fullført. 

På overflaten ser det ut som en vellykket forebygging av svindel på lavt nivå. I virkeligheten var korttestingsforsøket bare det første trekket i et mer komplisert opplegg – og hvis fagfolk innen cybersikkerhet og svindel ikke oppdager og handler på dette signalet, kan finansinstitusjoner (FI-er) måtte betale prisen. 

Korttesting kan fremme angrep som fører til betydelige økonomiske tap og svekker kundenes tillit, noe 71 % av lederne i finansinstitusjoner oppgir som en av de største utfordringene knyttet til kortsvindel, ifølge en rapport fra 2026 bestilt av Mastercard fra Datos Insights.

Fagfolk innen nettsikkerhet og svindel står imidlertid overfor en vanskelig balansegang. Selv om det å bevege seg for sakte åpner døren for nedstrømsangrep, kan for aggressiv handling øke kostnadene ved utstedelse av nye kort og skape friksjon i kundeopplevelsen.

Trusseletterretning endrer den dynamikken. Ved å koble sammen svindel- og cybersikkerhetsetterretning kan fagfolk bruke korttesting som et tidlig varslingssignal for å forbedre svindelregler og forbedre oppdagelsen av kortsvindel. 

For å bevege seg mot proaktiv forebygging av kortsvindel, må eksperter innen nettsikkerhet og svindel først forstå hvordan trusselaktører utnytter korttesting. 

Korttesting er en svindeltaktikk der trusselaktører forsøker små transaksjoner eller transaksjoner på null kroner med stjålne kortnumre. Disse testene hjelper dem med å validere hvilke kort som er aktive og klare for kriminell utnyttelse, for eksempel ved å foreta uautoriserte kjøp for tusenvis av kroner.

Trusselaktører utfører korttesting på mange måter, fra å gjennomføre individuelle transaksjoner til å utnytte kriminelle korttestingstjenester og automatiserte taktikker ved bruk av boter og skript. Utstedere forbinder ofte korttesting med omfattende BIN-angrep som gjør det vanskelig for svindelteam å skille legitime transaksjoner fra uredelig aktivitet. Mindre testhendelser og individuelle testtransaksjoner er imidlertid like viktige indikatorer.

Fordi transaksjoner for korttesting har lav verdi, avfeier mange utstedere dem som en rutinemessig svindelhendelse. De antar at trusselen er avverget når de blokkerer transaksjonen, og overser hva korttesting avslører om fremtidig risiko.

En avvist korttest virker som en blindvei for trusselaktører, men fungerer i praksis som en filtreringsmekanisme.

Hvis et kort ikke er flagget som kompromittert og bekreftet som aktivt, kan trusselaktører selge det til en høy pris som en validert legitimasjon i undergrunnsfora, markedsplasser og meldingskanaler der kompromitterte betalingskortdata utveksles. Eller de kan beholde kortnummeret for fremtidig utnyttelse i opplegg som:

• Kontoovertakelser (ATO)
• Svindelforsøk med falsk identitet
• Sosial manipulering-angrep
• Koordinerte svindelkampanjer

Omfanget av denne aktiviteten er sjokkerende. Siden lansering har Mastercard Threat Intelligence identifisert mer enn 5 millioner korttesting-transaksjoner på tvers av 192 utstedende land.

I noen tilfeller er kort knyttet til testing koblet til andre kompromitteringsindikatorer, som eksponert påloggingsinformasjon eller kunderapporter om identitetstyveri og forsøk på sosial manipulering. Men hvis data om svindel og nettsikkerhet forblir isolerte, er det vanskelig å koble korttesting til disse truslene.

Data fra korttesting kan gi verdifull innsikt for fagfolk innen nettsikkerhet og svindel, men det er mest kraftfullt når det ses i sammenheng med bredere svindel- og nettsikkerhetstrusler.

Ved å kombinere trusseletterretning med transaksjons- og kundedata på utstedernivå, kan fagfolk innen nettsikkerhet og svindel mer nøyaktig identifisere og prioritere kort som sannsynligvis vil bli omsatt eller utnyttet i kortsvindelmarkeder.

For eksempel kan kort som viser gjentatt testadferd – knyttet til akselerert svindel lenger nede i kjeden og høyere konsentrasjon av tap – flagges for fremskyndet erstatning, målrettet kundekontakt eller forsterket overvåking i perioden rett etter testingen.

Til syvende og sist måles svindelmodenhet ut fra hvordan en utsteder integrerer signaler om korttesting i svindelsystemer for å identifisere risiko og utløse rettidige tiltak.

Det er fem stadier for å forstå en utsteders modenhet i bruken av korttestingsdata:

• På dette stadiet oppdager ikke utstedere korttesting i det hele tatt, og de blir først klar over korttestingsaktivitet når omfattende svindel har funnet sted. 
• Uten innsyn i testaktivitet blir organisasjoner stående og reagere på økonomiske tap. 
  

• Utstedere kan identifisere og avvise korttesting-transaksjoner tidlig, noe som bidrar til å redusere umiddelbar eksponering for svindel.
• Fokuset forblir imidlertid på forebygging på transaksjonsnivå, fremfor å bruke korttesting som en indikator på fremtidige angrep, noe som gjør utstedere sårbare for svindel lenger nede i kjeden.

• Etter å ha identifisert kort med risiko for kriminell utnyttelse, kan utstedere iverksette raske tiltak på kortnivå, som å utstede nye kort, kreve utvidet autentisering eller øke overvåkingen.
• Dette forkorter tiden mellom eksponering og respons, slik at fagfolk innen nettsikkerhet og svindel kan begrense trusselen og redusere tap, men de mangler fortsatt innsyn i angrepsmønstre.
  

• Med trusselintelligens kan utstedere gjenkjenne korttesting som et tidlig varselsignal gjennom mønsterbasert deteksjon på tvers av kort og tid.
• Utøvere innen nettsikkerhet og svindel integrerer disse signalene i svindelregler og risikostrategier, noe som gjør at de kan jobbe proaktivt for å stoppe svindel senere i prosessen uten å påvirke kundeopplevelsen.

• Siden trusseletterretning gir synlighet på nettverksnivå inn i målrettede bankidentifikasjonsnumre (BIN-er), sårbare kortprodukter og koordinerte testkampanjer, kan utstedere prioritere kontroller basert på hvor trusselaktører fokuserer innsatsen sin.
• Fagfolk innen cybersikkerhet og svindel kan flytte fokus til å forstå hvordan angrep utvikler seg og identifisere sammenhenger mellom korttesting og bredere cybertrusler.
• Denne tilnærmingen har enorm verdi for å forhindre svindel. Forskning fra Datos Insights viste at med integrering av nettsikkerhet mot kortsvindel, kan 81 % av utstederne reagere raskere på nåværende og nye kortangrep, og 74 % opplever raskere oppdagelse av ATO-forsøk.

Tenk deg en utsteder som nylig har identifisert og avvist forsøk på korttesting i et BIN-område for bedriftskort. Fordi det meste av aktiviteten er av lav verdi, blir hendelsene behandlet som isolerte svindelforsøk og får begrenset oppfølging.

Etter å ha integrert trusseletterretning for korttesting i sine prosesser for svindelovervåking, får utstederen imidlertid bedre oversikt over svindelaktivitet på tvers av porteføljer.

Dette avslører et bredere angrepsmønster. Trusselaktører tester flere korttyper, ikke bare firmakort. I tillegg blir kort som er mål for testing, senere knyttet til forsøk på kontoovertakelse og annen høyrisiko-svindelaktivitet.

Med denne konteksten kan fagfolk innen svindel og nettsikkerhet bruke etterretning om korttesting til å styrke svindelregler og risikostrategier, samt proaktivt overvåke kontoer med høy risiko. 

Å avvise en transaksjon med korttesting kan forhindre et umiddelbart tap, men det stopper ikke trusselaktører fra å identifisere sårbare kontoer og gå videre til større svindelkampanjer.

Trusseletterretning gir konteksten som trengs for å koble korttesting med andre svindel- og cybersikkerhetssignaler, noe som hjelper team med å avdekke mønstre og nye trusler som ellers ville forblitt skjulte.

Forhindring av svindel er imidlertid ikke en lineær prosess. Ettersom trusselaktører kontinuerlig tester, tilpasser og forbedrer taktikken sin, trenger team innen nettsikkerhet og svindel løpende innsikt i signaler som indikerer bredere angrepsaktivitet.

Ved å integrere trusseletterretning i svindelovervåking og risikostrategier, kan fagfolk innen nettsikkerhet og svindel begynne å identifisere angrep tidligere i livssyklusen.