Việc kiểm tra thẻ có thể tiết lộ các rủi ro gian lận và an ninh mạng mới nổi như thế nào

Một đối tượng đe dọa cố gắng thực hiện giao dịch 1 đô la bằng cách sử dụng số thẻ tín dụng bị đánh cắp vẫn còn đang hoạt động. Giao dịch bị từ chối trước khi việc mua hàng hoàn tất. 

Trên bề mặt, điều này trông giống như việc ngăn chặn thành công hành vi gian lận cấp độ thấp. Trên thực tế, nỗ lực thử nghiệm thẻ chỉ đơn giản là bước khởi đầu trong một kế hoạch phức tạp hơn — và nếu các chuyên gia an ninh mạng và phòng chống gian lận không phát hiện và hành động dựa trên tín hiệu đó, các tổ chức tài chính (FI) có thể phải trả giá. 

Việc kiểm tra thẻ có thể thúc đẩy các cuộc tấn công gây ra tổn thất tài chính đáng kể và làm xói mòn niềm tin của khách hàng, điều mà 71% giám đốc điều hành FI cho biết là điểm đau lớn nhất về gian lận thẻ, theo báo cáo năm 2026 do Mastercard ủy quyền từ Datos Insights.

Tuy nhiên, các chuyên gia an ninh mạng và phòng chống gian lận đang phải đối mặt với một sự cân bằng khó khăn. Trong khi việc hành động quá chậm trễ sẽ mở đường cho các cuộc tấn công ở khâu sau, thì việc hành động quá quyết liệt có thể làm tăng chi phí cấp lại thẻ và gây trở ngại cho trải nghiệm của khách hàng.

Tình báo mối đe dọa thay đổi động lực đó. Bằng cách kết nối thông tin tình báo về gian lận và an ninh mạng, các chuyên gia có thể sử dụng việc kiểm tra thẻ như một tín hiệu cảnh báo sớm để tinh chỉnh các quy tắc gian lận và cải thiện khả năng phát hiện gian lận thẻ. 

Để tiến tới phòng chống gian lận thẻ chủ động, các chuyên gia an ninh mạng và phòng chống gian lận trước hết cần hiểu cách các tác nhân đe dọa vũ khí hóa việc kiểm tra thẻ. 

Kiểm tra thẻ là một chiến thuật gian lận trong đó các tác nhân đe dọa cố gắng thực hiện các giao dịch nhỏ hoặc bằng không đô la trên các số thẻ bị đánh cắp. Các thử nghiệm này giúp họ xác thực thẻ nào đang hoạt động và sẵn sàng cho việc kiếm tiền bất hợp pháp, chẳng hạn như thực hiện các giao dịch mua hàng trái phép trị giá hàng ngàn đô la.

Các tác nhân đe dọa thực hiện kiểm tra thẻ theo nhiều cách, từ việc thực hiện các giao dịch riêng lẻ đến việc tận dụng các dịch vụ kiểm tra thẻ tội phạm và các chiến thuật tự động sử dụng bot và tập lệnh. Các tổ chức phát hành thường liên kết việc kiểm tra thẻ với các cuộc tấn công BIN quy mô lớn, khiến các đội chống gian lận khó phân biệt được các giao dịch hợp pháp với hoạt động gian lận. Tuy nhiên, các sự kiện kiểm tra nhỏ hơn và các giao dịch kiểm tra riêng lẻ cũng là những chỉ báo quan trọng không kém.

Vì các giao dịch kiểm tra thẻ có giá trị thấp, nhiều tổ chức phát hành coi chúng là một sự kiện gian lận thông thường. Họ cho rằng mối đe dọa đã được ngăn chặn sau khi chặn giao dịch và bỏ qua những gì việc kiểm tra thẻ tiết lộ về các rủi ro trong tương lai.

Một thử nghiệm thẻ bị từ chối có vẻ như là ngõ cụt đối với các tác nhân đe dọa, nhưng thực tế nó lại đóng vai trò như một cơ chế lọc.

Nếu một thẻ không bị gắn cờ là bị xâm phạm và được xác nhận là đang hoạt động, các tác nhân đe dọa có thể bán nó với giá cao như một thông tin xác thực đã được kiểm chứng trên các diễn đàn ngầm, thị trường và các kênh nhắn tin nơi dữ liệu thẻ thanh toán bị xâm phạm được trao đổi. Hoặc họ có thể giữ lại số thẻ để khai thác trong tương lai trong các kế hoạch như:

• Chiếm đoạt tài khoản (ATO)
• Lừa đảo mạo danh
• Các cuộc tấn công kỹ thuật xã hội
• Các chiến dịch gian lận có phối hợp

Quy mô của hoạt động này rất đáng báo động. Kể từ khi ra mắt, Mastercard Threat Intelligence đã xác định hơn 5 triệu giao dịch thử nghiệm thẻ trên 192 quốc gia phát hành.

Trong một số trường hợp, các thẻ liên quan đến hoạt động kiểm tra thẻ cũng gắn liền với các dấu hiệu xâm phạm khác, chẳng hạn như thông tin xác thực bị lộ hoặc báo cáo của khách hàng về các nỗ lực mạo danh và kỹ thuật thao túng tâm lý. Tuy nhiên, nếu dữ liệu về gian lận và an ninh mạng vẫn bị cô lập, thì rất khó để kết nối hoạt động kiểm tra thẻ với các mối đe dọa này.

Dữ liệu kiểm tra thẻ có thể cung cấp những thông tin chuyên sâu có giá trị cho các chuyên gia an ninh mạng và phòng chống gian lận, nhưng dữ liệu này sẽ phát huy hiệu quả cao nhất khi được xem xét trong bối cảnh các mối đe dọa rộng lớn hơn về gian lận và an ninh mạng.

Bằng cách kết hợp thông tin tình báo về mối đe dọa với dữ liệu giao dịch và khách hàng ở cấp tổ chức phát hành, các chuyên gia an ninh mạng và chống gian lận có thể xác định và ưu tiên chính xác hơn các loại thẻ có khả năng bị giao dịch hoặc khai thác trong các thị trường thẻ.

Ví dụ, các thẻ có hành vi thử nghiệm lặp đi lặp lại — liên quan đến gian lận ở khâu sau gia tăng và mức độ tổn thất tập trung cao hơn — có thể được gắn cờ để thay thế nhanh chóng, tiếp cận khách hàng mục tiêu hoặc tăng cường giám sát trong khoảng thời gian ngay sau khi thử nghiệm.

Cuối cùng, mức độ trưởng thành trong phòng chống gian lận được đo lường bằng cách tổ chức phát hành tích hợp các tín hiệu kiểm tra thẻ vào hệ thống gian lận như thế nào để xác định rủi ro và kích hoạt hành động kịp thời.

Có năm giai đoạn để hiểu mức độ trưởng thành của một tổ chức phát hành trong việc sử dụng dữ liệu kiểm tra thẻ:

• Ở giai đoạn này, các tổ chức phát hành hoàn toàn không phát hiện ra việc kiểm tra thẻ và chỉ nhận biết được hoạt động này khi gian lận trên diện rộng đã xảy ra. 
• Nếu không có khả năng hiển thị về hoạt động kiểm tra thẻ, các tổ chức sẽ chỉ biết phản ứng lại với các tổn thất tài chính. 
  

• Các nhà phát hành có thể xác định và từ chối các giao dịch thử nghiệm thẻ từ sớm, giúp giảm thiểu rủi ro gian lận ngay lập tức.
• Tuy nhiên, trọng tâm vẫn là ngăn chặn ở cấp độ giao dịch thay vì sử dụng việc thử nghiệm thẻ như một chỉ báo về các cuộc tấn công trong tương lai, khiến các tổ chức phát hành dễ bị tổn thương trước các hành vi gian lận ở khâu sau.

• Sau khi xác định các thẻ có nguy cơ bị tội phạm lợi dụng để trục lợi, các nhà phát hành thẻ có thể thực hiện các hành động nhanh chóng ở cấp độ thẻ, chẳng hạn như phát hành lại thẻ, yêu cầu xác thực tăng cường hoặc tăng cường giám sát.
• Điều này rút ngắn thời gian giữa việc tiếp xúc và phản ứng để các chuyên gia an ninh mạng và chống gian lận có thể ngăn chặn mối đe dọa và giảm thiểu tổn thất, nhưng họ vẫn thiếu khả năng hiển thị các mô hình tấn công.
  

• Với thông tin tình báo về mối đe dọa, các tổ chức phát hành có thể nhận diện hoạt động kiểm tra thẻ như một tín hiệu cảnh báo sớm thông qua việc phát hiện dựa trên mô hình trên các thẻ và theo thời gian.
• Các chuyên gia an ninh mạng và phòng chống gian lận tích hợp các tín hiệu này vào các quy tắc gian lận và chiến lược rủi ro, cho phép họ làm việc chủ động để ngăn chặn gian lận ở khâu sau mà không ảnh hưởng đến trải nghiệm của khách hàng.

• Vì thông tin tình báo về mối đe dọa cung cấp khả năng hiển thị ở cấp độ mạng đối với các số nhận dạng ngân hàng (BIN) mục tiêu, các sản phẩm thẻ dễ bị tổn thương và các chiến dịch thử nghiệm có phối hợp, các tổ chức phát hành có thể ưu tiên các biện pháp kiểm soát dựa trên nơi mà các tác nhân đe dọa đang tập trung nỗ lực.
• Các chuyên gia an ninh mạng và phòng chống gian lận có thể chuyển trọng tâm sang việc tìm hiểu cách thức các cuộc tấn công phát triển và xác định mối liên hệ giữa việc thử nghiệm thẻ và các mối đe dọa mạng rộng lớn hơn.
• Phương pháp này mang lại giá trị to lớn trong việc phòng chống gian lận. Nghiên cứu với Datos Insights cho thấy rằng với việc tích hợp chống gian lận mạng trên thẻ, 81% tổ chức phát hành có thể phản ứng nhanh hơn với các cuộc tấn công thẻ hiện tại và mới nổi, và 74% nhận thấy việc phát hiện các nỗ lực ATO nhanh hơn.

Hãy xem xét một tổ chức phát hành gần đây đã xác định và từ chối các nỗ lực kiểm tra thẻ trên một dải mã BIN thẻ doanh nghiệp. Vì hầu hết các hoạt động này có giá trị thấp, các sự kiện này được coi là những nỗ lực gian lận riêng lẻ và nhận được sự theo dõi hạn chế.

Tuy nhiên, sau khi tích hợp thông tin tình báo về mối đe dọa kiểm tra thẻ vào các quy trình giám sát gian lận, tổ chức phát hành có được khả năng hiển thị tốt hơn về các hoạt động gian lận trên toàn bộ danh mục.

Điều này tiết lộ một mô hình tấn công rộng hơn. Các tác nhân đe dọa đang kiểm tra nhiều loại thẻ khác nhau, không chỉ riêng thẻ doanh nghiệp. Ngoài ra, các thẻ bị nhắm mục tiêu để kiểm tra sau đó thường liên quan đến các nỗ lực chiếm đoạt tài khoản và các hoạt động gian lận có rủi ro cao khác.

Với bối cảnh này, các chuyên gia phòng chống gian lận và an ninh mạng có thể sử dụng thông tin tình báo về kiểm tra thẻ để củng cố các quy tắc chống gian lận và chiến lược rủi ro, đồng thời chủ động giám sát các tài khoản có nguy cơ. 

Việc từ chối một giao dịch kiểm tra thẻ có thể ngăn chặn tổn thất tức thời, nhưng không ngăn được các tác nhân đe dọa xác định các tài khoản dễ bị tấn công và tiến tới các chiến dịch gian lận lớn hơn.

Thông tin tình báo về mối đe dọa cung cấp bối cảnh để kết nối hoạt động kiểm tra thẻ với các tín hiệu gian lận và an ninh mạng khác, giúp các nhóm khám phá ra các mô hình và mối đe dọa mới nổi mà nếu không có thông tin này sẽ vẫn bị ẩn giấu.

Tuy nhiên, phòng chống gian lận không phải là một quy trình tuyến tính. Khi các đối tượng đe dọa liên tục thử nghiệm, thích nghi và tinh chỉnh các chiến thuật của chúng, các nhóm an ninh mạng và chống gian lận cần có khả năng hiển thị liên tục về các tín hiệu cho thấy hoạt động tấn công trên diện rộng hơn.

Bằng cách tích hợp thông tin tình báo về mối đe dọa vào các chiến lược giám sát gian lận và quản lý rủi ro, các chuyên gia an ninh mạng và phòng chống gian lận có thể bắt đầu xác định các cuộc tấn công sớm hơn trong vòng đời của chúng.