Attaques par test de carte : comment elles fonctionnent et comment les prévenir

Le « card testing » est une technique de fraude aux paiements utilisée par les cybercriminels pour vérifier la validité des données de cartes volées ou synthétiques et déterminer lesquelles sont encore actives et utilisables.

La fraude à la carte bancaire persiste car l'offre de données compromises reste considérable et est constamment renouvelée. Rien que l'année dernière, 142 millions d'enregistrements de cartes volées ont été mis en vente sur les marchés du dark web. Si le nombre total de violations de données a diminué par rapport à 2024, la fraude à la carte bancaire n'a pas ralenti. Elle est même devenue plus efficace. Les cybercriminels s'appuient désormais sur des ensembles de données plus petits mais de meilleure qualité, provenant de logiciels malveillants de vol d'informations et d'opérations de skimming numérique.

L'Identity Theft Resource Center a recensé 3 322 violations de données rien qu'aux États-Unis, touchant plus de 278 millions de victimes. Pour les commerçants, les conséquences sont évidentes : 33 % d'entre eux déclarent avoir été victimes d'attaques par « card testing », qui entraînent souvent des frais, des risques de rétrofacturation et des difficultés opérationnelles.

Ce guide vous explique tout ce que vous devez savoir sur les attaques par test de carte, notamment leur fonctionnement et les moyens de s'en prémunir efficacement.

Qu'est-ce que la fraude par test de carte ?

La fraude par test de carte (également appelée « carding », « card cracking » ou « validation de carte ») est une technique systématique de fraude aux paiements utilisée par les cybercriminels pour vérifier si des données de carte de crédit ou de débit volées, générées ou partiellement connues sont toujours actives, autorisées à l'utilisation et disposent d'un solde disponible.

Plutôt que de procéder immédiatement à des achats importants, qui présentent un risque plus élevé d'être détectés et bloqués sur-le-champ, les pirates lancent une série de demandes d'autorisation portant sur des montants modestes, voire nuls. Les autorisations accordées indiquent que la carte est active et prête à être exploitée. Les tentatives infructueuses permettent d'écarter les cartes invalides ou annulées. Cela leur permet d'affiner l'ensemble de données exploitables en vue de leur revente ou de nouvelles fraudes.

Comment fonctionnent les attaques par test de carte

Le « card testing » tire essentiellement parti du mode de paiement sans présentation physique de la carte (CNP) utilisé lors des paiements en ligne, dans les applications mobiles, les formulaires de don et les services d’abonnement. Comme ces transactions ne nécessitent pas la carte physique, les fraudeurs peuvent automatiser le processus à grande échelle à l’aide de bots, de scripts ou de plateformes spécialisées de « card testing as a service ». Une seule campagne peut générer des milliers de tentatives par minute sur plusieurs sites marchands.

Voici le processus type de test des cartes en quatre étapes :

Étape 1 : Acquisition : les fraudeurs se procurent les données des cartes par divers moyens, notamment des fuites de données à grande échelle, le phishing et l'ingénierie sociale, les logiciels malveillants et les programmes de vol d'informations, le skimming ou les attaques visant à prendre le contrôle des comptes.

Étape 2 : Validation : des outils automatisés effectuent des micro-transactions ou des tests d'autorisation uniquement afin de vérifier des éléments clés tels que :

1. Vérifier si la combinaison du numéro de carte, de la date d'expiration et du code CVV est acceptée.
2. Si les contrôles du système de vérification d'adresse (AVS) sont satisfaisants (ou peuvent être contournés).
3. Crédit disponible ou limites de dépenses.

Étape 3 : Monétisation : les cartes confirmées comme « actives » sont soit utilisées pour effectuer des achats frauduleux d'une valeur élevée sur le même site ou sur d'autres sites, soit converties en cartes-cadeaux ou en instruments prépayés, soit vendues avec une majoration sur des marchés clandestins.

Étape 4 : Escalade : Dans de nombreux cas, ces tests servent de point d'entrée à des attaques plus importantes, telles que la réalisation d'une série d'achats de grande valeur via des comptes piratés ou la combinaison avec d'autres vecteurs de fraude.

La fraude par carte bancaire passe souvent inaperçue. Les petits prélèvements échappent souvent à l'attention des titulaires de carte (qui peuvent les considérer comme des frais mineurs ou des abonnements), et de nombreuses règles de détection de la fraude existantes sont conçues pour signaler les dépenses inhabituellement élevées ou les comportements de dépenses suspects, plutôt que les micro-tentatives à cadence rapide.

Signes avant-coureurs d'activités de piratage de cartes bancaires

Les signaux de test de cartes ci-dessous sont classés en fonction de ce qu'ils révèlent. C'est ainsi qu'ils se manifestent dans la pratique, et c'est ainsi que les outils de surveillance doivent être configurés pour les détecter.

Signaux de fraude à la carte au niveau des transactions

• Des pics soudains dans les micro-transactions. Une forte augmentation des autorisations comprises entre 0,50 $ et 5 $, ou des demandes d'autorisation sans prélèvement d'un montant de zéro dollar se succédant à un rythme rapide. Les clients légitimes effectuent rarement des micro-achats répétés dans un laps de temps très court.
• Taux de refus anormaux. Une augmentation inhabituelle du nombre de refus, notamment ceux liés à des numéros de carte invalides, à des identifiants périmés, à des échecs de vérification AVS ou à des divergences de code CVV, constitue un indicateur majeur. Les pirates testent de vastes lots de données compromises, dont une grande partie est déjà annulée ou partiellement connue, ce qui entraîne, par nature, un ratio refus/acceptation élevé.
• Un volume d'autorisations qui dépasse les ventes réelles. Un écart croissant entre les demandes d'autorisation et les achats effectués, en particulier pendant les heures creuses ou les périodes où il n'y a pas de trafic ni d'activité de campagne correspondante.

Signaux d'identité et de source

• Plusieurs cartes provenant d'une même source. Utilisation de différents numéros de carte à partir d'une même adresse IP, d'une même empreinte d'appareil ou d'une même signature de navigateur. Un client légitime n'utilise pas successivement plusieurs cartes sur un même appareil, ce qui en fait l'un des indicateurs les plus évidents d'un test par lots.
• Données client suspectes ou incohérentes. Adresses e-mail génériques ou jetables, informations de facturation ne correspondant pas aux registres de l'émetteur de la carte, et adresses de facturation et de livraison qui ne concordent pas. Soyez particulièrement vigilant en cas de tentatives répétées utilisant la même plage de numéros d'identification bancaire (BIC), ce qui constitue un signe fort indiquant que les cartes proviennent de la même violation de données ou du même ensemble de données.
• Anomalies géographiques. Les transactions provenant de régions situées en dehors de votre clientèle habituelle, ou d'adresses IP associées à des VPN ou à des proxys. Tout volume provenant de ces sources et ne correspondant à aucun segment de clientèle identifiable doit faire l'objet d'un examen immédiat.

Signaux comportementaux

• Vitesse de transaction excessive. Des dizaines de tentatives par minute provenant d'une seule adresse IP, d'un seul e-mail ou d'un seul appareil, bien au-delà de tout seuil pouvant s'expliquer par un comportement utilisateur normal. Les pics de vitesse sont particulièrement significatifs au niveau des micro-transactions, où les règles de détection de fraude de base, conçues pour les achats importants, ne se déclenchent souvent pas.
• Des tentatives répétées avec de légères variations. Les fraudeurs réessaient systématiquement en apportant de légères modifications, en testant différentes valeurs de code CVV, dates d'expiration ou champs d'adresse, tout en conservant le même numéro de carte. Les séries de tentatives quasi identiques constituent un indicateur fiable de l'utilisation d'outils de test automatisés.
• Anomalies dans les schémas comportementaux. Les outils d'analyse comportementale peuvent détecter des schémas d'interaction non humains, tels qu'une vitesse de frappe anormalement constante, l'absence de mouvements de souris ou le remplissage de formulaires à une vitesse supérieure à celle dont un être humain serait capable. Ces signaux viennent compléter les données transactionnelles et font de plus en plus partie intégrante des solutions modernes de lutte contre la fraude.

Comment ces signaux s'interconnectent

Une vague de tentatives de fraude de faible montant provenant d'une seule adresse IP, entraînant un taux de refus élevé, des échecs répétés du système AVS et l'utilisation de plages de BIN communes, est rarement le fruit du hasard. Chacun de ces indices, pris isolément, pourrait justifier un examen plus approfondi. Ensemble, ils constituent un indicateur quasi certain d'une campagne active de test de cartes.

La détection précoce repose sur des outils capables d'analyser en temps réel les corrélations entre les données (adresses IP, appareils, e-mails et comportements), et non pas uniquement les transactions individuelles. La plupart des plateformes anti-fraude modernes signalent automatiquement ces combinaisons. Cela permet aux commerçants d'intervenir avant qu'une tentative de fraude ne dégénère en une fraude de grande envergure ou en des demandes de remboursement.

Comment prévenir la fraude par test de carte

Les contrôles de base tels que l'AVS, la validation du code de sécurité (CVV), le 3DS et les limites de vitesse sont indispensables. Ce qui fait toute la différence aujourd'hui, c'est la manière dont vous exploitez les signaux de détection des cartes avant que l'attaque ne se concrétise, ainsi que la manière dont vous augmentez délibérément le coût des tentatives de piratage sans pour autant nuire aux taux d'acceptation des clients légitimes.

Voici quelques recommandations :

Considérer l'activité de test des cartes comme une source d'informations préliminaires

Les tests de cartes constituent une phase de reconnaissance. Une série d’échecs de micro-autorisations provenant de plages de BIN associées et d’empreintes d’appareils communes annonce ce qui va se passer. Les mêmes acteurs, munis de cartes validées, reviennent quelques heures ou quelques jours plus tard pour effectuer des achats plus importants. Intégrez directement ces signaux dans votre moteur de gestion des risques sous forme de règles de suppression temporaires afin de resserrer les seuils applicables à la plage de BIN, au groupe d’adresses IP ou à la cohorte d’appareils des testeurs avant que l’attaque suivante ne se concrétise.

Cela nécessite des données sur les transactions refusées pouvant être interrogées en temps quasi réel, et non regroupées dans un rapport matinal. Pour les équipes pour lesquelles la transmission en continu de l'intégralité des enregistrements de transactions représente un coût prohibitif, un flux « sidecar » contenant uniquement des métadonnées et permettant de suivre l'adresse IP, le BIN et l'horodatage offre la même capacité de détection pour un coût d'infrastructure nettement inférieur.

Les flux CTI (Customer Type Indicator) qui suivent les campagnes de test de cartes peuvent fournir des indicateurs plusieurs heures avant l'arrivée d'une vague de trafic. Mais leur utilité dépend entièrement de la rapidité avec laquelle votre équipe est capable de transformer un indicateur en règle opérationnelle. Une intégration qui nécessite la création d'un ticket et un cycle de déploiement n'est pas utile.

Limitez les informations que les pirates peuvent tirer de vos réponses

Chaque message d'échec constitue un retour d'information. Les messages génériques, impossibles à distinguer d'un code CVV invalide, d'une carte périmée ou d'un échec AVS, obligent les pirates à multiplier les tentatives pour évaluer la qualité de leurs propres données. Cette friction s'amplifie à grande échelle.

Envisagez de combiner cette mesure avec une latence aléatoire pour les sessions suspectes. Les scripts de test sont optimisés pour la rapidité. Un délai de deux ou quatre secondes sur les sessions signalées perturbe le débit sans affecter les utilisateurs légitimes. Privilégiez les défis progressifs déclenchés spécifiquement par des signaux de vitesse ou de corrélation, plutôt que les CAPTCHA généralisés, qui nuisent à la conversion sans distinction.

Commencez par fermer les zones à haut risque

Les processus de paiement en tant qu'invité, les formulaires de don et les procédures de sauvegarde des cartes sont particulièrement ciblés, car ils ne nécessitent aucune information relative au compte et génèrent des signaux d'autorisation clairs. Ces points de terminaison nécessitent leurs propres ensembles de règles. Définissez des règles telles que des limites de fréquence plus strictes, imposez la validation des sessions et effectuez régulièrement des audits lorsque vos schémas de réponse révèlent involontairement la différence entre les autorisations réussies et celles qui ont échoué. C'est souvent le cas.

Gérer explicitement le problème des faux positifs

Les mesures de sécurité trop strictes bloquent des transactions légitimes. Une règle bloquant une plage de BIN en cours de test empêchera également les titulaires de cartes légitimes de cet émetteur d'effectuer des transactions. Une suppression temporaire avec expiration automatique permet de gérer cet aspect. Cependant, votre service client doit également disposer des droits nécessaires pour ajouter en temps réel un utilisateur vérifié à la liste blanche, sans passer par le même moteur de règles qui l'a signalé. Si cette fonctionnalité n'existe pas, toute attaque d'envergure se transforme en un problème de fidélisation de la clientèle.

La biométrie comportementale permet de réduire le problème des faux positifs en distinguant les sessions humaines de celles effectuées par des robots, sans s'appuyer sur les données de carte ou d'identité. Elle n'élimine toutefois pas complètement les faux positifs, c'est pourquoi la procédure d'escalade reste cruciale. Suivez le taux de faux positifs comme un indicateur prioritaire, au même titre que les taux de refus.

Mesurez ce qui compte vraiment

Quatre indicateurs permettent de déterminer si les mesures de protection sont efficaces :

• Ratio autorisations/ventes. Une hausse de ce ratio indique que le volume des tests augmente par rapport aux achats réels, quel que soit le nombre de transactions que vous bloquez.
• Frais liés aux transactions refusées. Les prestataires de services de paiement facturent entre 0,05 et 0,15 dollar par transaction refusée. Une attaque comportant 50 000 tentatives, même si elle est entièrement bloquée, peut générer plus de 5 000 dollars de frais avant même qu’une fraude ne soit commise. Interrompre les sessions avant qu’elles n’atteignent la passerelle est un argument financier tout autant qu’un argument de lutte contre la fraude.
• Impact de la conversion sur les segments à faible risque. Si les taux de fraude baissent parallèlement à la conversion légitime, le bilan n'est pas positif.
• Délai entre le premier signal et la mise en place de la règle. Si ce délai est mesuré en heures, vous ne réagissez qu'aux attaques d'hier.

Une lacune organisationnelle qu'il convient de souligner

La gestion des tests de cartes relève à la fois de la lutte contre la fraude, de l'ingénierie et des opérations de paiement, et, en général, aucun de ces services n'en assume l'entière responsabilité. Les programmes qui réagissent le plus rapidement sont ceux qui ont un responsable unique et un plan d'action préétabli pour les schémas d'attaque courants. Ce plan n'a pas besoin d'être sophistiqué. Il doit simplement exister et pouvoir être mis en œuvre en situation de crise, sans nécessiter de consensus entre les équipes pendant une campagne en cours.

Outils de détection et de prévention des fraudes à la carte bancaire

Le cadre présenté ci-dessus (interrogation des signaux en temps réel, suppression des pré-autorisations, gestion des faux positifs et clarification des responsabilités) décrit à quoi ressemble concrètement un système de défense abouti. La question la plus délicate est de déterminer ce qu’il convient de développer en interne et dans quels domaines les outils externes permettent d’étendre efficacement vos capacités.

La plupart des équipes rencontrent des difficultés parce que leurs systèmes ne parviennent pas à relier les signaux assez rapidement, à agir sans perte de temps due à la coordination, ou à éliminer clairement les faux positifs. Tout outil digne d'intérêt doit être évalué à l'aune de ces trois critères.

Une solution qui s'inscrit dans ce modèle est Chargeflow Prevent. Il est utile de préciser clairement dans quels cas elle est adaptée et dans quels cas elle ne l'est pas :

1) Éliminer les goulots d'étranglement dans la coordination des processus d'intervention

Dans de nombreuses entreprises, la réponse aux tests de cartes implique une série d'étapes : le service de lutte contre la fraude identifie un schéma suspect, l'équipe technique met en place une règle, et le service des opérations en surveille l'impact. C'est ce délai, souvent de plusieurs heures, qui fait le succès des campagnes de test.

Un point de décision qui exécute en temps réel des actions telles que l'annulation, la vérification ou l'approbation élimine cette dépendance. Au lieu d'être transmises d'une équipe à l'autre, les règles sont appliquées immédiatement au niveau de la transaction. Cela se traduit concrètement par une réduction du temps de réponse, seul élément susceptible de perturber de manière fiable les tests en cours.

2) Mise en relation des signaux d'identité entre les commerçants

La plupart des solutions internes traitent les signaux tels que l'adresse IP, l'empreinte digitale de l'appareil, l'adresse e-mail et les données de carte comme des données indépendantes évaluées transaction par transaction. Cela fonctionne pour les cas de fraude isolés, mais pas pour les acteurs coordonnés qui réutilisent la même infrastructure chez plusieurs commerçants.

Les systèmes au niveau du réseau tentent de résoudre ce problème en intégrant ces signaux dans un graphe d'identité partagé. Dans ce modèle, un appareil ou un comportement associé à une fraude ailleurs peut être identifié avant même que la transaction ne soit finalisée, même si la carte elle-même est nouvelle dans votre système.

Ce qui importe ici, ce n'est pas la taille du réseau, mais la transférabilité des signaux de risque. Il s'agit de savoir dans quelle mesure les comportements observés dans un environnement permettent de prédire de manière fiable des abus dans un autre, et à quelle vitesse ces informations sont mises en pratique.

3) Résoudre le problème des faux positifs sans intervention manuelle

Il est facile de bloquer les utilisateurs de manière abusive. En revanche, il est difficile de récupérer les clients légitimes.

La plupart des équipes se contentent de détecter les incidents et laissent le soin au service client de les résoudre (ce qui entraîne des vérifications manuelles, des files d'attente de tickets et des interventions manuelles retardées). Cette approche n'est pas évolutive en cas d'attaque en cours.

Un modèle plus efficace prévoit une étape de vérification structurée au moment où un problème survient. Lorsqu'une transaction est signalée, l'acheteur confirme qu'il est bien le titulaire de la carte via un processus simple lié au profil du titulaire. S'il est bien conçu, ce système :

• Préserve la conversion pour les utilisateurs légitimes
• Génère des pistes d'audit vérifiables en cas de litige
• Élimine la nécessité de modifier manuellement les règles

Outre la réduction des faux positifs, l'enjeu principal consiste à mettre en place un processus de résolution qui fonctionne à la même vitesse que le moteur de règles.

Cas dans lesquels cette approche ne s'applique pas

Les tests de cartes bancaires commencent souvent en amont, dès la phase de sondage. Les robots effectuent des tentatives d'autorisation avant même qu'un achat ne soit finalisé. C'est à ce stade que s'accumulent les frais de refus et que les pirates tirent des enseignements des réponses des passerelles de paiement.

Les contrôles mis en place à ce point de contact, tels que la limitation du débit, le blocage au niveau de la session, l'obfuscation des réponses et l'injection de latence, doivent être déployés au niveau de la passerelle ou de la périphérie. Aucun système post-autorisation ne peut empêcher ces requêtes d'atteindre votre processeur.

Cela permet une séparation claire des responsabilités :

• Pré-autorisation : bloquer et limiter les tentatives de test avant qu'elles n'atteignent la passerelle
• Après l'autorisation : évaluer, relier et traiter les transactions qui ont passé les contrôles initiaux

Chargeflow Prevent fonctionne selon la deuxième approche. Il s'avère efficace dans ce contexte, mais ne remplace pas la nécessité de renforcer la sécurité de la première interface.

Comment évaluer dans la pratique

Une évaluation pertinente des outils de prévention des fraudes par carte ne repose pas sur le nombre de transactions bloquées. Elle se résume à deux questions :

• Le système met-il en évidence des acteurs récurrents ou des comportements interdépendants qui font défaut dans votre infrastructure actuelle ?
• Est-il possible de réduire les faux positifs sur les commandes légitimes sans alourdir la charge de travail liée à la vérification manuelle ?

Si la réponse à ces deux questions est oui, cet outil comble une véritable lacune. Sinon, ce n’est qu’un tableau de bord de plus.

Réflexions finales sur les attaques par test de cartes

Les tests de cartes constituent un problème opérationnel obéissant à une logique économique simple : les fraudeurs continuent de tester jusqu’à ce que le coût de ces tests dépasse le gain escompté. La plupart des commerçants facilitent trop la tâche aux fraudeurs. Pourquoi ? La présence de points d’accès non sécurisés, de messages d’erreur spécifiques, de délais de réponse trop longs et l’absence de partage des informations font que le coût des tests est pratiquement nul jusqu’à ce que le mal soit déjà fait.

Les programmes qui gèrent efficacement cette situation excellent dans deux domaines. Ils sont à la fois plus rapides et plus réfléchis. Ils considèrent le premier signal comme l'attaque elle-même, et non comme le rejet de débit qui survient plusieurs semaines plus tard. Cela signifie qu'ils ont levé toute ambiguïté organisationnelle avant qu'un incident ne vienne poser la question. Et ils ont admis que le problème des faux positifs est tout aussi réel que celui de la fraude, et ont conçu leur système pour faire face aux deux.

Les tests de cartes continueront d'évoluer. Les données issues de logiciels de vol d'informations, l'énumération assistée par l'IA et les plateformes de « testing-as-a-service » réduisent les obstacles pour les attaquants plus rapidement que la plupart des contrôles internes ne sont mis à jour. L'avantage défensif réside donc dans la vitesse à laquelle votre système apprend et réagit par rapport à celle à laquelle les attaquants s'adaptent.

Si ce guide vous aide à combler les lacunes du cycle post-autorisation, c'est qu'il a rempli sa mission. Procurez-vous Chargeflow Prevent dès aujourd'hui.