Как тестирование карт может выявить новые виды мошенничества и киберриски

Злоумышленник пытается совершить транзакцию на сумму 1 $ с использованием украденного номера кредитной карты, который все еще активен. Транзакция отклоняется до завершения покупки. 

На первый взгляд это выглядит как успешное предотвращение мелкого мошенничества. В действительности попытка тестирования карт была лишь первым шагом в более сложной схеме — и если специалисты по кибербезопасности и борьбе с мошенничеством не обнаружат этот сигнал и не примут меры, финансовые учреждения (ФУ) могут поплатиться за это. 

Тестирование карт может способствовать развитию атак, которые приводят к значительным финансовым потерям и подрывают доверие клиентов, что, по мнению 71 % руководителей финансовых организаций, является одной из главных проблем при мошенничестве с картами, согласно отчету Datos Insights, подготовленному по заказу Mastercard в 2026 году.

Тем не менее, специалисты по кибербезопасности и борьбе с мошенничеством сталкиваются с необходимостью соблюдения сложного баланса. Хотя медленная реакция открывает путь для последующих атак, слишком агрессивные действия могут увеличить расходы на перевыпуск карт и создать дополнительные сложности для клиентов.

Анализ угроз меняет эту динамику. Объединяя данные о мошенничестве и кибербезопасности, специалисты могут использовать тестирование карт в качестве сигнала раннего предупреждения для уточнения правил борьбы с мошенничеством и повышения эффективности обнаружения карточного мошенничества. 

Чтобы перейти к упреждающему предотвращению мошенничества с картами, специалистам по кибербезопасности и борьбе с мошенничеством сначала необходимо понять, как злоумышленники используют тестирование карт в своих целях. 

Тестирование карт — это тактика мошенничества, при которой злоумышленники пытаются совершить транзакции на небольшие суммы или нулевые транзакции с использованием украденных номеров карт. Эти тесты помогают им проверить, какие карты активны и готовы к преступной монетизации, например, для совершения несанкционированных покупок на тысячи долларов.

Злоумышленники проводят тестирование карт различными способами: от совершения отдельных транзакций до использования криминальных сервисов тестирования карт и автоматизированных тактик с применением ботов и скриптов. Эмитенты часто связывают тестирование карт с масштабными BIN-атаками, из-за которых командам по борьбе с мошенничеством трудно отличить законные транзакции от мошеннических действий. Тем не менее, менее масштабные события и отдельные транзакции при тестировании являются не менее важными индикаторами.

Поскольку транзакции при тестировании карт имеют небольшую стоимость, многие эмитенты считают их обычными случаями мошенничества. Они полагают, что угроза устранена, как только блокируется транзакция, и упускают из виду то, что тестирование карт говорит о будущих рисках.

Отклоненная попытка тестирования карты кажется тупиком для злоумышленников, но на самом деле она служит механизмом фильтрации.

Если карта не помечена как скомпрометированная и подтверждена как активная, злоумышленники могут продать ее по более высокой цене как проверенные учетные данные на подпольных форумах, торговых площадках и в каналах мессенджеров, где происходит обмен данными скомпрометированных платежных карт. Или они могут сохранить номер карты для дальнейшего использования в таких схемах, как:

• Захват счетов (ATO)
• Мошенничество с подменой личности
• Атаки с использованием социальной инженерии
• Скоординированные мошеннические кампании

Масштаб этой деятельности поражает. С момента запуска система Mastercard Threat Intelligence выявила более 5 миллионов транзакций по тестированию карт в 192 странах-эмитентах.

В некоторых случаях карты, связанные с тестированием, также имеют другие индикаторы компрометации, такие как скомпрометированные учетные данные или сообщения клиентов о попытках подмены личности и социальной инженерии. Но если данные о мошенничестве и кибербезопасности остаются разрозненными, сложно связать активность по тестированию карт с этими угрозами.

Данные о тестировании карт могут предоставить ценную информацию для специалистов по кибербезопасности и борьбе с мошенничеством, но они наиболее эффективны при рассмотрении в контексте более широких угроз мошенничества и кибербезопасности.

Объединяя аналитику угроз с данными о транзакциях и клиентах на уровне эмитента, специалисты по кибербезопасности и борьбе с мошенничеством могут более точно выявлять и приоритизировать карты, которые, вероятно, будут проданы или использованы на кардинговых рынках.

Например, карты, демонстрирующие повторяющиеся признаки тестирования — связанные с ускоренным развитием мошенничества на более поздних этапах и повышенной концентрацией убытков, — могут быть помечены для ускоренной замены, целевого взаимодействия с клиентами или усиленного мониторинга в период сразу после тестирования.

В конечном итоге уровень зрелости системы борьбы с мошенничеством измеряется тем, как эмитент интегрирует сигналы о тестировании карт в системы противодействия мошенничеству для выявления рисков и принятия своевременных мер.

Существует пять этапов оценки зрелости эмитента в использовании данных о тестировании карт:

• На данном этапе эмитенты вообще не обнаруживают тестирование карт и узнают о такой активности только после того, как произошло масштабное мошенничество. 
• Не имея представления об активности по тестированию, организации вынуждены лишь реагировать на финансовые потери. 
  

• Эмитенты могут заблаговременно выявлять и отклонять транзакции по тестированию карт, что помогает снизить непосредственные риски мошенничества.
• Однако основное внимание по-прежнему уделяется предотвращению на уровне транзакций, а не использованию тестирования карт в качестве индикатора будущих атак, что оставляет эмитентов уязвимыми перед последующим мошенничеством.

• Выявив карты, подверженные риску криминальной монетизации, эмитенты могут быстро принять меры на уровне карт, например, перевыпустить карты, потребовать дополнительную аутентификацию или усилить мониторинг.
• Это сокращает время между обнаружением и реагированием, позволяя специалистам по кибербезопасности и борьбе с мошенничеством локализовать угрозу и снизить потери, однако им по-прежнему не хватает наглядности в отношении моделей атак.
  

• Благодаря анализу угроз эмитенты могут распознать тестирование карт как сигнал раннего предупреждения посредством обнаружения закономерностей по картам и времени.
• Специалисты по кибербезопасности и борьбе с мошенничеством интегрируют эти сигналы в правила противодействия мошенничеству и стратегии управления рисками, что позволяет им проактивно предотвращать последующие случаи мошенничества, не ухудшая качество обслуживания клиентов.

• Поскольку анализ угроз обеспечивает видимость на уровне сети в отношении целевых банковских идентификационных номеров (BIN), уязвимых карточных продуктов и скоординированных кампаний по тестированию, эмитенты могут приоритизировать меры контроля в зависимости от того, на чем злоумышленники сосредотачивают свои усилия.
• Специалисты по кибербезопасности и борьбе с мошенничеством могут сместить фокус на понимание того, как развиваются атаки, и выявление связей между тестированием карт и более широкими киберугрозами.
• Этот подход имеет огромное значение для предотвращения мошенничества. Исследование, проведенное совместно с Datos Insights, показало, что благодаря интеграции систем кибербезопасности и борьбы с мошенничеством с картами 81 % эмитентов могут быстрее реагировать на текущие и новые виды атак на карты, а 74 % отмечают ускорение выявления попыток захвата счетов (ATO).

Рассмотрим эмитента, который недавно выявил и отклонил попытки тестирования карт в диапазоне БИН корпоративных карт. Поскольку большая часть активности имеет низкую стоимость, эти события рассматриваются как изолированные попытки мошенничества и требуют ограниченного внимания.

Однако после интеграции аналитики угроз, связанных с тестированием карт, в процессы мониторинга мошенничества эмитент получает более широкое представление о мошеннической активности в рамках своих портфелей.

Это указывает на более масштабную схему атаки. Злоумышленники тестируют различные типы карт, а не только корпоративные. Кроме того, карты, ставшие целью тестирования, впоследствии используются в попытках захвата счетов и других видах мошенничества с высоким уровнем риска.

Имея этот контекст, специалисты по борьбе с мошенничеством и кибербезопасности могут использовать аналитические данные о тестировании карт для усиления правил борьбы с мошенничеством и стратегий управления рисками, а также для проактивного мониторинга аккаунтов, подверженных риску. 

Отклонение транзакции по тестированию карт может предотвратить немедленный убыток, но это не мешает злоумышленникам выявлять уязвимые счета и переходить к более масштабным мошенническим кампаниям.

Анализ угроз предоставляет контекст для связи тестирования карт с другими сигналами мошенничества и кибербезопасности, помогая командам выявлять закономерности и возникающие угрозы, которые в противном случае остались бы скрытыми.

Однако предотвращение мошенничества — это нелинейный процесс. Поскольку злоумышленники постоянно тестируют, адаптируют и совершенствуют свою тактику, командам по кибербезопасности и борьбе с мошенничеством необходим постоянный доступ к сигналам, указывающим на более масштабную активность атак.

Интегрируя аналитические данные об угрозах в стратегии мониторинга мошенничества и управления рисками, специалисты по кибербезопасности и борьбе с мошенничеством могут начинать выявление атак на более ранних этапах их жизненного цикла.