Aanvallen via kaarttesten: hoe ze werken en hoe je ze kunt voorkomen

Kaarttesten is een methode voor betalingsfraude die door cybercriminelen wordt gebruikt om gestolen of verzonnen kaartgegevens te controleren en vast te stellen welke daarvan nog actief en bruikbaar zijn.

Kaartfraude blijft bestaan omdat het aanbod aan gestolen gegevens enorm is en voortdurend wordt aangevuld. Alleen al vorig jaar werden 142 miljoen gestolen kaartgegevens aangeboden op marktplaatsen op het dark web. Hoewel het totale aantal datalekken is gedaald ten opzichte van 2024, is de kaartfraude niet afgenomen. Het is zelfs nog efficiënter geworden. Aanvallers maken nu gebruik van kleinere, hoogwaardigere datasets die afkomstig zijn van infostealer-malware en digitale skimming-operaties.

Het Identity Theft Resource Center heeft alleen al in de VS 3.322 datalekken geregistreerd, waarbij meer dan 278 miljoen slachtoffers betrokken waren. Voor handelaren zijn de gevolgen onmiskenbaar: 33% geeft aan te maken te hebben gehad met ‘card testing’-aanvallen, die vaak leiden tot kosten, het risico op terugboekingen en operationele druk.

In deze gids wordt alles uitgelegd wat je moet weten over kaarttestaanvallen, inclusief hoe ze werken en hoe je ze effectief kunt voorkomen.

Wat is fraude met kaarttesten?

Kaarttestfraude (ook wel ‘carding’, ‘card cracking’ of ‘kaartvalidatie’ genoemd) is een systematische techniek voor betalingsfraude die door cybercriminelen wordt gebruikt om na te gaan of gestolen, gegenereerde of gedeeltelijk bekende creditcard- of debetkaartgegevens nog steeds actief zijn, voor gebruik zijn geautoriseerd en over beschikbare bestedingsruimte beschikken.

In plaats van meteen grote aankopen te doen – wat een groter risico op onmiddellijke detectie en blokkering met zich meebrengt – starten aanvallers een reeks autorisatieverzoeken voor kleine bedragen of zelfs voor nul dollar. Succesvolle autorisaties geven aan dat de kaart actief is en klaar voor misbruik. Mislukte pogingen helpen bij het uitsluiten van ongeldige of geannuleerde kaarten. Zo kunnen ze de bruikbare dataset verfijnen voor doorverkoop of verdere fraude.

Hoe kaarttestaanvallen werken

In wezen maakt kaarttesten gebruik van de ‘card-not-present’ (CNP)-omgeving van online betaalprocessen, mobiele apps, donatieformulieren en abonnementsdiensten. Omdat voor deze transacties geen fysieke kaart nodig is, kunnen fraudeurs het proces op grote schaal automatiseren met behulp van bots, scripts of gespecialiseerde ‘card-testing-as-a-service’-platforms. Een enkele campagne kan duizenden pogingen per minuut omvatten, verspreid over meerdere websites van handelaren.

Hier volgt de gebruikelijke werkwijze voor het testen van kaarten in vier stappen:

Stap 1: Verwerving: Oplichters komen aan kaartgegevens via verschillende kanalen, waaronder grootschalige datalekken, phishing en social engineering, malware en infostealers, skimming of aanvallen waarbij accounts worden overgenomen.

Stap 2: Validatie: Geautomatiseerde tools voeren microtransacties of autorisatietests uit om belangrijke elementen te testen, zoals:

1. Of de combinatie van kaartnummer, vervaldatum en CVV wordt geaccepteerd.
2. Als de controles van het Address Verification System (AVS) succesvol zijn (of kunnen worden omzeild).
3. Beschikbare krediet- of bestedingslimieten.

Stap 3: Geld maken: Bevestigde ‘actieve’ kaarten worden ofwel gebruikt voor frauduleuze aankopen met een hogere waarde op dezelfde of andere websites, omgezet in cadeaubonnen of prepaidkaarten, of tegen een hogere prijs verkocht op ondergrondse marktplaatsen.

Stap 4: Escalatie: In veel gevallen vormen testacties de opstap naar grotere aanvallen, zoals het doen van een reeks dure aankopen via gehackte accounts of het combineren met andere fraudemethoden.

Kaartfraude blijft opzettelijk onopvallend. Kleine afschrijvingen blijven vaak onopgemerkt door kaarthouders (die ze wellicht afdoen als kleine kosten of abonnementen), en veel verouderde frauderegels zijn erop afgestemd om ongebruikelijk grote of verdachte bestedingspatronen te signaleren, in plaats van snelle micro-pogingen.

Waarschuwingssignalen van activiteiten op het gebied van kaarttesten

De onderstaande signalen bij kaarttesten zijn gegroepeerd op basis van wat ze aan het licht brengen. Zo komen ze in de praktijk naar voren, en zo moeten monitoringtools worden geconfigureerd om ze te detecteren.

Signalen van kaartfraude op transactieniveau

• Plotselinge pieken in microtransacties. Een sterke stijging van autorisaties tussen $0,50 en $5, of verzoeken voor autorisaties van nul dollar die snel achter elkaar verschijnen. Legitieme klanten doen zelden herhaaldelijk microaankopen binnen een kort tijdsbestek.
• Afwijkende afwijzingspercentages. Een ongebruikelijke piek in het aantal afwijzingen, met name op basis van codes die verband houden met ongeldige kaartnummers, verlopen gegevens, AVS-fouten of niet-overeenkomende CVV-codes, is een belangrijke indicator. Aanvallers testen grote hoeveelheden gestolen gegevens, waarvan een groot deel al is geblokkeerd of gedeeltelijk bekend is, waardoor er per definitie een hoge verhouding tussen afwijzingen en goedkeuringen ontstaat.
• Het aantal goedkeuringen dat de daadwerkelijke verkopen overstijgt. Een groeiende kloof tussen goedkeuringsverzoeken en daadwerkelijk afgeronde aankopen, met name tijdens daluren of in periodes waarin er geen bijbehorend verkeer of campagneactiviteit is.

Identiteits- en bronsignalen

• Meerdere kaarten van één en dezelfde uitgiftebron. Er worden verschillende kaartnummers geprobeerd vanaf hetzelfde IP-adres, dezelfde apparaatvingerafdruk of dezelfde browsersignatuur. Een echte klant wisselt niet voortdurend tussen talrijke kaarten op één enkel apparaat, waardoor dit een van de duidelijkste aanwijzingen is voor het in bulk testen van kaarten.
• Verdachte of tegenstrijdige klantgegevens. Algemene of wegwerp-e-mailadressen, factuurgegevens die niet overeenkomen met de gegevens van de kaartuitgever, en factuur- en verzendadressen die niet met elkaar overeenkomen. Let vooral op herhaalde pogingen waarbij hetzelfde bereik van bankidentificatienummers (BIN) wordt gebruikt; dit is een duidelijk teken dat de kaarten afkomstig zijn uit hetzelfde datalek of dezelfde dataset.
• Geografische afwijkingen. Transacties die afkomstig zijn uit regio’s buiten uw gebruikelijke klantenbestand, of van IP-adressen die verband houden met VPN’s of proxyservers. Verkeer uit deze bronnen dat niet overeenkomt met een herkenbaar klantsegment, moet onmiddellijk worden onderzocht.

Gedragssignalen

• Buitensporige transactiesnelheid. Tientallen pogingen per minuut vanaf één enkel IP-adres, e-mailadres of apparaat, wat ver boven elke drempelwaarde ligt die door normaal gebruikersgedrag kan worden verklaard. Pieken in de transactiesnelheid zijn met name van belang op het niveau van microtransacties, waar standaardfrauderegels die zijn afgestemd op grote aankopen vaak niet in werking treden.
• Herhaalde pogingen met kleine variaties. Oplichters proberen het systematisch opnieuw met kleine wijzigingen, waarbij ze CVV-waarden, vervaldata of adresvelden doorlopen terwijl ze het kernnummer van de kaart ongewijzigd laten. Clusters van vrijwel identieke pogingen zijn een betrouwbare aanwijzing voor geautomatiseerde testtools.
• Afwijkingen in gedragspatronen. Tools voor gedragsanalyse kunnen onmenselijke interactiepatronen signaleren, zoals onnatuurlijk constante typsnelheden, het ontbreken van muisbewegingen of het invullen van formulieren dat sneller gebeurt dan een mens zou kunnen. Deze signalen vormen een aanvulling op transactiegegevens en worden steeds vaker standaard onderdeel van moderne fraudebestrijdingsoplossingen.

Hoe deze signalen met elkaar in verband staan

Een golf van pogingen met lage bedragen vanaf één enkel IP-adres, die tot grote dalingen leidt door herhaalde AVS-fouten en gedeelde BIN-reeksen, is zelden toeval. Elk signaal op zich zou al reden kunnen zijn om er nog eens goed naar te kijken. Samen vormen ze een vrijwel zekere aanwijzing voor een actieve campagne om kaarten te testen.

Vroegtijdige opsporing is afhankelijk van tools die in realtime samenhangende patronen analyseren – en niet alleen afzonderlijke transacties – op basis van IP-adressen, apparaatgegevens, e-mailgegevens en gedragsgegevens. De meeste moderne fraudebestrijdingsplatforms signaleren deze combinaties automatisch. Hierdoor kunnen handelaren maatregelen nemen voordat een testpoging uitmondt in fraude met hoge bedragen of terugvorderingen.

Hoe fraude door het testen van betaalkaarten te voorkomen

De basismaatregelen zoals AVS, CVV-controle, 3DS en transactiesnelheidslimieten zijn een absolute must. Hoe je signalen uit kaarttests benut voordat de aanval volledig is uitgewerkt, en hoe doelbewust je de kosten van testaanvallen verhoogt zonder dat dit ten koste gaat van de goedkeuringspercentages voor legitieme klanten, maakt tegenwoordig het verschil.

Hier volgen enkele aanbevelingen:

Beschouw het testen van Treat-kaarten als inlichtingenwerk in een vroeg stadium

Het testen van kaarten is een vorm van verkenning. Een reeks mislukte micro-autorisaties uit gekoppelde BIN-reeksen en gedeelde apparaatvingerafdrukken wijst op wat er op komst is. Dezelfde daders, met gevalideerde kaarten, keren binnen enkele uren of dagen terug voor grotere aankopen. Voer deze signalen rechtstreeks in je risicomodel in als tijdelijke onderdrukkingsregels om de drempels voor de BIN-reeks, het IP-cluster of de apparaatgroep van de testers aan te scherpen, voordat de vervolgaanval plaatsvindt.

Hiervoor zijn afwijzingsgegevens nodig die vrijwel in realtime kunnen worden opgevraagd, en niet pas in een ochtendrapport worden gebundeld. Voor teams waar het streamen van volledige transactierecords te duur is, biedt een ‘sidecar’-stream met uitsluitend metadata – waarin IP-adres, BIN en tijdstempel worden bijgehouden – dezelfde detectiemogelijkheden tegen een fractie van de infrastructuurkosten.

Customer Type Indicator (CTI)-feeds die testcampagnes met testkaarten volgen, kunnen al uren voordat een golf binnenstroomt signalen afgeven. Maar de waarde ervan hangt volledig af van hoe snel uw team een signaal kan omzetten in een live-regel. Een integratie waarvoor een ticket en een implementatiecyclus nodig zijn, is niet bruikbaar.

Beperk wat aanvallers uit uw reacties kunnen afleiden

Elke afwijzingsreactie is feedback. Algemene foutmeldingen die niet te onderscheiden zijn van een ongeldige CVV, een verlopen kaart of een AVS-fout, dwingen aanvallers ertoe meer pogingen te ondernemen om de kwaliteit van hun eigen gegevens te beoordelen. Die weerstand neemt op grote schaal toe.

Overweeg om dit te combineren met willekeurige vertragingen bij verdachte sessies. Testscripts zijn geoptimaliseerd voor snelheid. Een vertraging van twee of vier seconden bij gemarkeerde sessies remt de doorvoer af zonder legitieme gebruikers te hinderen. Gebruik specifiek op snelheid of koppelingssignalen gebaseerde, steeds moeilijker wordende verificatievragen, en geen algemene CAPTCHA’s, die de conversie zonder onderscheid verminderen.

Sluit eerst het gebied met een hoog risico af

Gastafrekeningen, donatieformulieren en procedures voor het opslaan van kaartgegevens zijn onevenredig vaak het doelwit, omdat hiervoor geen accountgegevens nodig zijn en ze duidelijke autorisatiesignalen opleveren. Voor deze eindpunten zijn aparte regelsets nodig. Stel regels op, zoals strengere snelheidslimieten, zorg voor sessievalidatie en controleer regelmatig of uw responspatronen onbedoeld het verschil tussen geslaagde en mislukte autorisaties blootgeven. Bij veel systemen is dat het geval.

Het probleem van valse positieven expliciet aanpakken

Agressieve beveiligingsmaatregelen blokkeren legitieme transacties. Een regel die een BIN-reeks blokkeert die momenteel wordt getest, zal ook legitieme kaarthouders van die uitgever blokkeren. Een tijdelijke blokkering met automatische vervaldatum kan de regelzijde afhandelen. Uw klantenserviceteam moet echter ook de bevoegdheid hebben om een geverifieerde gebruiker in realtime op de witte lijst te plaatsen, zonder dat dit via dezelfde regelengine verloopt die de gebruiker in eerste instantie heeft gemarkeerd. Als die mogelijkheid ontbreekt, wordt elke grote aanval een probleem voor het behoud van klanten.

Gedragsbiometrie kan het probleem van valse positieven tot een minimum beperken door menselijke sessies te onderscheiden van geautomatiseerde sessies, zonder daarbij afhankelijk te zijn van kaart- of identiteitsgegevens. Valse positieven worden hiermee niet volledig uitgesloten; daarom blijft de escalatieprocedure hoe dan ook van belang. Houd het percentage valse positieven bij als een belangrijke maatstaf, naast de afnamepercentages.

Meet wat er echt toe doet

Vier indicatoren laten zien of de verdedigingsmaatregelen effectief zijn:

• Verhouding tussen autorisaties en verkopen. Een stijgende verhouding betekent dat het aantal tests toeneemt ten opzichte van daadwerkelijke aankopen, ongeacht hoeveel je blokkeert.
• Kosten bij afwijzingen. Betalingsverwerkers rekenen $0,05 tot $0,15 per afwijzing. Een aanval met 50.000 pogingen kan, zelfs als deze volledig wordt geblokkeerd, meer dan $5.000 aan kosten veroorzaken voordat er daadwerkelijk fraude plaatsvindt. Het onderbreken van sessies voordat ze de gateway bereiken, is zowel een financieel als een fraudebestrijdingsargument.
• Gevolgen van conversie voor segmenten met een laag risico. Als het aantal fraudegevallen daalt terwijl de legitieme conversie toeneemt, levert de maatregel per saldo geen positief effect op.
• De tijd tussen het eerste signaal en het in werking treden van de regel. Als dit in uren wordt gemeten, reageer je altijd pas op de aanval van gisteren.

De organisatorische kloof die de aandacht verdient

De aanpak van kaartfraude valt onder verschillende afdelingen, zoals fraudebestrijding, technische ondersteuning en betalingsverwerking, en doorgaans is er geen enkele afdeling die hier volledig de verantwoordelijkheid voor draagt. De programma’s die het snelst reageren, hebben één verantwoordelijke en een vooraf goedgekeurd draaiboek voor veelvoorkomende aanvalspatronen. Dit hoeft niet ingewikkeld te zijn. Het moet er gewoon zijn en onder druk uitvoerbaar zijn, zonder dat er tijdens een lopende campagne consensus tussen verschillende teams nodig is.

Hulpmiddelen voor het opsporen en voorkomen van kaartfraude

Het bovenstaande raamwerk (het in realtime opvragen van signalen, het onderdrukken van voorlopige autorisaties, het beheer van valse positieven en duidelijke verantwoordelijkheid) beschrijft hoe een volwassen verdedigingssysteem er in de praktijk uitziet. De moeilijkere vraag is wat je intern moet opbouwen en op welke gebieden externe tools je mogelijkheden op zinvolle wijze uitbreiden.

De meeste teams hebben het moeilijk omdat hun systemen signalen niet snel genoeg aan elkaar kunnen koppelen, niet zonder coördinatie-overhead kunnen handelen of valse positieven niet op een zuivere manier kunnen oplossen. Elke tool die het overwegen waard is, moet aan de hand van deze drie beperkingen worden beoordeeld.

Een aanpak die aansluit bij dit model is Chargeflow Prevent. Het is nuttig om duidelijk aan te geven waar het wel en waar het niet van toepassing is:

1) Het wegnemen van coördinatieknelpunten in responsworkflows

In veel organisaties vereist het reageren op kaarttests een reeks handelingen: de afdeling fraudebestrijding signaleert een patroon, de technische afdeling implementeert een regel en de operationele afdeling houdt de gevolgen in de gaten. Juist die vertraging, die vaak in uren wordt gemeten, is de reden waarom testcampagnes succesvol zijn.

Een beslissingspunt dat acties zoals annuleren, verifiëren of goedkeuren in realtime uitvoert, maakt een einde aan die afhankelijkheid. In plaats van dat zaken tussen teams worden doorgegeven, worden regels onmiddellijk op transactieniveau toegepast. Het praktische gevolg hiervan is een kortere responstijd, wat het enige is dat actief testen op betrouwbare wijze verstoort.

2) Identiteitssignalen tussen verschillende verkopers koppelen

De meeste interne systemen behandelen signalen zoals IP-adressen, apparaat-fingerprints, e-mailadressen en kaartgegevens als afzonderlijke inputgegevens die per transactie worden beoordeeld. Dat werkt wel bij geïsoleerde gevallen van fraude, maar niet bij gecoördineerde actoren die hun infrastructuur bij meerdere handelaren hergebruiken.

Systemen op netwerkniveau proberen dit op te lossen door deze signalen te koppelen in een gedeelde identiteitsgrafiek. In dit model kan een apparaat of gedragspatroon dat elders in verband is gebracht met misbruik, worden herkend voordat een transactie wordt voltooid, zelfs als de kaart zelf nieuw is voor uw systeem.

De waarde ligt hier niet in de omvang van het netwerk, maar in de overdraagbaarheid van risicosignalen. Het gaat erom hoe betrouwbaar gedrag dat in de ene omgeving wordt waargenomen, misbruik in een andere omgeving kan voorspellen, en hoe snel die informatie wordt toegepast.

3) Het oplossen van het vals-positieve compromis zonder handmatige tussenkomst

Agressief blokkeren is eenvoudig. Legitieme klanten terugwinnen is dat niet.

De meeste teams beperken zich tot het opsporen van problemen en laten de oplossing over aan de klantenservice (wat leidt tot handmatige controles, wachtrijen bij tickets en vertraagde overschrijvingen). Dat is niet schaalbaar tijdens een actieve aanval.

Een beter model voorziet in een gestructureerde verificatiestap op het punt waar problemen optreden. Wanneer een transactie wordt gesignaleerd, bevestigt de koper zijn eigendom via een eenvoudige procedure die is gekoppeld aan de context van de kaarthouder. Als dit goed is opgezet, zorgt dit ervoor dat:

• Zorgt ervoor dat legitieme gebruikers hun conversie behouden
• Genereert verifieerbare audittrajecten voor geschillen
• Maakt handmatige aanpassingen van regels overbodig

Het belangrijkste verschil is, naast het terugdringen van het aantal valse positieven, het creëren van een oplossingtraject dat even snel werkt als de regelengine.

Wanneer deze aanpak niet van toepassing is

Het testen van kaarten begint vaak al in een vroeger stadium, namelijk in de testfase. Bots voeren autorisatiepogingen uit nog voordat er een aankoop is afgerond. Dit is het moment waarop afwijzingskosten zich opstapelen en waarop aanvallers leren van de reacties van de betalingsgateway.

Maatregelen op dit contactpunt, zoals tariefbeperking, blokkering op sessieniveau, versluiering van reacties en het inbrengen van vertraging, moeten op de gateway of aan de rand worden geïmplementeerd. Geen enkel systeem dat na de autorisatie in werking treedt, kan voorkomen dat deze verzoeken uw verwerker bereiken.

Dit zorgt voor een duidelijke scheiding van verantwoordelijkheden:

• Pre-autorisatie: testpogingen onderdrukken en afwijzen voordat ze de gateway bereiken
• Na goedkeuring: transacties die de eerste controles hebben doorstaan, beoordelen, koppelen en hierop actie ondernemen

Chargeflow Prevent werkt volgens de tweede aanpak. Het is daar weliswaar effectief, maar het neemt niet de noodzaak weg om de eerste interface beter te beveiligen.

Hoe dit in de praktijk te beoordelen

Een zinvolle beoordeling van preventieve maatregelen tegen kaartfraude is niet gebaseerd op het aantal geblokkeerde transacties. Het komt neer op twee vragen:

• Komt er in het systeem een patroon voor van terugkerende actoren of onderling gekoppeld gedrag dat in uw huidige stack ontbreekt?
• Is het mogelijk om het aantal valse positieven bij legitieme bestellingen te verminderen zonder dat dit extra werk voor handmatige controle met zich meebrengt?

Als het antwoord op beide vragen ‘ja’ is, vult de tool een echte leemte in. Zo niet, dan is het gewoon weer een dashboard.

Laatste overwegingen over kaarttestaanvallen

Kaarttesten is een operationeel probleem met een eenvoudige economische logica: aanvallers blijven proberen totdat de kosten van het testen hoger zijn dan de opbrengst. De meeste handelaren maken deze afweging voor fraudeurs veel te gemakkelijk. Waarom? Door open eindpunten, specifieke feedback bij afwijzingen, trage reactietijden en het ontbreken van gedeelde informatie zijn de kosten van het testen in feite nul, totdat er al schade is aangericht.

De programma’s die hier goed mee omgaan, doen twee dingen goed. Ze zijn sneller en handelen weloverwogen. Ze beschouwen het eerste signaal als de aanval, niet als de terugvordering die pas weken later volgt. Dat betekent dat ze de onduidelijkheden binnen de organisatie hebben weggenomen voordat een incident de vraag oproept. En ze hebben geaccepteerd dat het probleem van valse positieven net zo reëel is als het fraudeprobleem, en hebben hun systeem op beide afgestemd.

Het testen van kaarten zal zich blijven ontwikkelen. Gegevens afkomstig van infostealers, AI-ondersteunde enumeratie en ‘testing-as-a-service’-platforms verlagen de drempel voor aanvallers sneller dan de meeste interne controles kunnen worden bijgewerkt. Het verdedigingsvoordeel ligt dan ook in de snelheid waarmee uw systeem leert en reageert, in vergelijking met de snelheid waarmee aanvallers zich aanpassen.

Als deze handleiding u helpt om de achterstand in de cyclus na de autorisatie weg te werken, heeft hij zijn doel bereikt. Schaf Chargeflow Prevent vandaag nog aan.