Ataques de teste de cartões: como funcionam e como evitá-los

O teste de cartões é uma tática de fraude de pagamentos utilizada por cibercriminosos para validar dados de cartões roubados ou sintéticos e determinar quais ainda estão ativos e podem ser utilizados.

A fraude com cartões de crédito persiste porque a oferta de dados comprometidos continua sendo enorme e é constantemente renovada. Só no ano passado, 142 milhões de registros de cartões roubados foram listados em mercados da dark web. Embora o volume total de violações tenha diminuído em comparação com 2024, a fraude com cartões não diminuiu. Ela se tornou ainda mais eficiente. Os invasores agora contam com conjuntos de dados menores e de maior qualidade, obtidos por meio de malware de roubo de informações e operações de clonagem digital.

O Identity Theft Resource Center registrou 3.322 violações de dados somente nos Estados Unidos, afetando mais de 278 milhões de vítimas. Para os comerciantes, o impacto é inegável: 33% relatam ter sofrido ataques de testes com cartões, que muitas vezes resultam em cobranças, riscos de estorno e sobrecarga operacional.

Este guia detalha tudo o que você precisa saber sobre ataques de teste de cartões, incluindo como eles funcionam e como evitá-los de forma eficaz.

O que é fraude por teste de cartão?

A fraude por teste de cartão (também conhecida como “carding”, “card cracking” ou “validação de cartão”) é uma técnica sistemática de fraude de pagamento utilizada por cibercriminosos para verificar se os dados de cartões de crédito/débito roubados, gerados ou parcialmente conhecidos ainda estão ativos, autorizados para uso e possuem limite de crédito disponível.

Em vez de realizar imediatamente compras de alto valor, que apresentam maior risco de detecção e bloqueio imediatos, os invasores iniciam uma série de solicitações de autorização de baixo valor ou mesmo de valor zero. As autorizações bem-sucedidas indicam que o cartão está ativo e pronto para ser explorado. As tentativas fracassadas ajudam a identificar cartões inválidos ou cancelados. Isso os ajuda a refinar o conjunto de dados utilizáveis para revenda ou fraudes adicionais.

Como funcionam os ataques de teste de cartões

Em essência, o teste de cartões aproveita o ambiente de transações sem a presença física do cartão (CNP) em pagamentos online, aplicativos móveis, formulários de doação e serviços de assinatura. Como essas transações não exigem o cartão físico, os fraudadores podem automatizar o processo em grande escala usando bots, scripts ou plataformas especializadas de “teste de cartões como serviço”. Uma única campanha pode envolver milhares de tentativas por minuto em vários sites de comerciantes.

Aqui está o fluxo de trabalho típico para testes de cartões, em quatro etapas:

Etapa 1: Aquisição: Os fraudadores obtêm dados de cartões por meio de diversos canais, incluindo violações de dados em grande escala, phishing e engenharia social, malware e programas de roubo de informações, skimming ou ataques de apropriação de contas.

Etapa 2: Validação: Ferramentas automatizadas enviam microtransações ou testes de autorização para avaliar elementos-chave como:

1. Se a combinação de número do cartão, data de validade e CVV é aceita.
2. Se as verificações do Sistema de Verificação de Endereço (AVS) forem aprovadas (ou puderem ser ignoradas).
3. Crédito disponível ou limites de gastos.

Etapa 3: Monetização: Os cartões confirmados como “ativos” são utilizados para compras fraudulentas de alto valor no mesmo site ou em outros sites, convertidos em cartões-presente/instrumentos pré-pagos ou vendidos com sobrevalorização em mercados clandestinos.

Etapa 4: Escalada: Em muitos casos, os testes servem como porta de entrada para ataques mais amplos, como a realização de uma série de compras de alto valor por meio de contas comprometidas ou a combinação com outros vetores de fraude.

O uso fraudulento de cartões é deliberadamente discreto. Pequenos débitos muitas vezes passam despercebidos pelos titulares (que podem considerá-los como taxas ou assinaturas de pouca importância), e muitas regras tradicionais de detecção de fraudes são configuradas para sinalizar padrões de gastos suspeitos ou excepcionalmente elevados, em vez de microtentativas em alta frequência.

Sinais de alerta de atividades de teste de cartões

Os sinais de teste de cartão abaixo estão agrupados de acordo com o que revelam. É assim que eles se apresentam na prática e como as ferramentas de monitoramento devem ser configuradas para detectá-los.

Sinais de fraude com cartões de crédito observados no nível da transação

• Picos repentinos nas microtransações. Um aumento acentuado nas autorizações entre US$ 0,50 e US$ 5, ou solicitações de autorização de valor zero que aparecem em rápida sucessão. Clientes legítimos raramente realizam microcompras repetidas em um intervalo de tempo curto.
• Taxas de recusa anormais. Um aumento incomum nas recusas, especialmente em casos relacionados a números de cartão inválidos, credenciais vencidas, falhas no AVS ou discrepâncias no CVV, é um indicador principal. Os invasores testam grandes lotes de dados comprometidos, muitos dos quais já estão cancelados ou são parcialmente conhecidos, gerando, por definição, uma alta proporção entre recusas e aprovações.
• Volume de autorizações que supera as vendas efetivas. Uma diferença cada vez maior entre os pedidos de autorização e as compras concluídas, especialmente fora dos horários de pico ou em períodos sem tráfego ou atividades de campanha correspondentes.

Identidade e sinais de origem

• Vários cartões de uma única origem. Tentativas com números de cartão diferentes a partir do mesmo endereço IP, impressão digital do dispositivo ou assinatura do navegador. Um cliente legítimo não alterna entre vários cartões em um único dispositivo, o que torna esse um dos indicadores mais evidentes de testes em lote.
• Dados de clientes suspeitos ou inconsistentes. Endereços de e-mail genéricos ou descartáveis, informações de cobrança que não correspondem aos registros do emissor do cartão e endereços de cobrança e entrega incompatíveis. Fique especialmente atento a tentativas repetidas que compartilhem o mesmo intervalo de Números de Identificação Bancária (NIB), um forte indício de que os cartões provêm da mesma violação de dados ou conjunto de dados.
• Anomalias geográficas. Transações originadas em regiões fora da sua base de clientes habitual ou a partir de endereços IP associados a VPNs ou proxies. O volume proveniente dessas fontes que não se correlacione com nenhum segmento de clientes reconhecível justifica uma análise imediata.

Behavioral Signals

• Velocidade excessiva de transações. Dezenas de tentativas por minuto a partir de um único endereço IP, e-mail ou dispositivo, muito acima de qualquer limite que possa ser explicado pelo comportamento normal de um usuário. Os picos de velocidade são particularmente significativos no âmbito das microtransações, onde as regras básicas de detecção de fraudes, ajustadas para compras de grande valor, muitas vezes não são acionadas.
• Tentativas repetidas com pequenas variações. Os fraudadores tentam sistematicamente novamente com pequenas alterações, alternando entre valores de CVV, datas de validade ou campos de endereço, mantendo o número principal do cartão inalterado. Grupos de tentativas quase idênticas são um indício confiável da utilização de ferramentas de teste automatizadas.
• Anomalias nos padrões de comportamento. As ferramentas de análise comportamental podem sinalizar padrões de interação não humanos, como velocidades de digitação anormalmente consistentes, ausência de movimentos do mouse ou preenchimento de formulários que ocorrem mais rapidamente do que qualquer ser humano seria capaz. Esses sinais complementam os dados de transações e são cada vez mais comuns nas estruturas modernas de combate à fraude.

Como esses sinais se conectam

Uma onda de tentativas de transações de baixo valor provenientes de um único endereço IP, resultando em altas taxas de rejeição com falhas repetidas no AVS e intervalos de BIN compartilhados, raramente é uma coincidência. Cada um desses sinais, por si só, já pode justificar uma análise mais aprofundada. Juntos, eles constituem um indicador quase certo de uma campanha ativa de teste de cartões.

A detecção precoce depende de ferramentas que analisam padrões interligados — e não apenas transações individuais — em dados de IP, dispositivos, e-mail e comportamento, em tempo real. A maioria das plataformas modernas de combate à fraude sinaliza essas combinações automaticamente. Isso permite que os comerciantes tomem medidas antes que uma tentativa de teste se transforme em uma fraude de alto valor ou em estornos.

Como prevenir fraudes envolvendo testes de cartões

Os controles básicos de AVS, verificação do CVV, 3DS e limites de velocidade são requisitos mínimos. O que faz toda a diferença hoje é como você utiliza os sinais de teste de cartões antes que o ataque se concretize e com que cuidado aumenta o custo das tentativas de fraude sem prejudicar as taxas de aprovação para clientes legítimos.

Aqui estão algumas recomendações:

Trate a atividade de teste de cartões como informação preliminar

O teste de cartões é uma forma de reconhecimento. Um conjunto de falhas em microautorizações provenientes de intervalos de BIN associados e impressões digitais de dispositivos compartilhadas é um sinal do que está por vir. Os mesmos agentes, com cartões validados, estão retornando para realizar compras de maior valor em questão de horas ou dias. Insira esses sinais diretamente em seu mecanismo de risco como regras de supressão temporária para restringir os limites do intervalo de BIN, do conjunto de IPs ou do grupo de dispositivos dos testadores antes que o ataque subsequente ocorra.

Isso requer dados de recusa que possam ser consultados quase em tempo real, e não agrupados em um relatório matinal. Para equipes em que a transmissão de registros completos de transações tem um custo proibitivo, um fluxo paralelo contendo apenas metadados — que rastreia IP, BIN e carimbo de data/hora — oferece a mesma capacidade de detecção por uma fração do custo de infraestrutura.

Os feeds do Indicador de Tipo de Cliente (CTI) que monitoram campanhas de testes de cartões podem fornecer sinais horas antes de uma onda de tráfego chegar. Mas o valor deles depende inteiramente da rapidez com que sua equipe consegue transformar um sinal em uma regra ativa. Uma integração que exija a abertura de um ticket e um ciclo de implantação não é útil.

Limite o que os invasores podem descobrir a partir das suas respostas

Cada resposta de recusa é um feedback. Mensagens genéricas que não permitem distinguir entre um CVV inválido, um cartão vencido ou uma falha no AVS obrigam os invasores a realizar mais tentativas para avaliar a qualidade de seus próprios dados. Esse atrito se agrava em grande escala.

Considere combinar isso com latência aleatória em sessões suspeitas. Os scripts de teste são otimizados para velocidade. Um atraso de dois ou quatro segundos em sessões sinalizadas prejudica a taxa de processamento sem afetar os usuários legítimos. Utilize desafios progressivos acionados especificamente por sinais de velocidade ou de ligação, e não CAPTCHAs genéricos, que prejudicam a conversão de forma indiscriminada.

Feche primeiro a área de superfície de alto risco

O checkout para visitantes, os formulários de doação e os fluxos de salvamento de cartão são alvos desproporcionalmente frequentes, pois não exigem contexto de conta e geram sinais de autorização claros. Esses pontos de extremidade exigem seus próprios conjuntos de regras. Estabeleça regras como limites de velocidade mais rígidos, aplique a validação de sessão e realize auditorias regulares quando seus padrões de resposta revelarem, sem intenção, a diferença entre autorizações bem-sucedidas e malsucedidas. Isso ocorre com frequência.

Lidar explicitamente com o problema dos falsos positivos

Defesas agressivas bloqueiam transações legítimas. Uma regra que bloqueia um intervalo de BINs em fase de testes ativos também impedirá os titulares de cartões legítimos desse emissor de realizar transações. O bloqueio temporário com expiração automática pode lidar com a parte das regras. No entanto, sua equipe de atendimento ao cliente também precisa ter autoridade para colocar um usuário verificado na lista de permissões em tempo real, sem passar pelo mesmo mecanismo de regras que o sinalizou. Se essa capacidade não existir, todo grande ataque se tornará um problema de retenção de clientes.

A biometria comportamental pode minimizar o problema dos falsos positivos ao distinguir sessões humanas das automatizadas, sem depender de dados de cartões ou de identidade. Ela não elimina os falsos positivos, e é por isso que o fluxo de escalonamento continua sendo importante. Acompanhe a taxa de falsos positivos como uma métrica de primeira linha, juntamente com as taxas de rejeição.

Meça o que realmente importa

Quatro indicadores revelam se as defesas estão funcionando:

• Índice de autorização de venda. Um índice em alta indica que o volume de testes está aumentando em relação às compras efetivas, independentemente do número de transações bloqueadas.
• Taxas por transações recusadas. Os processadores cobram entre US$ 0,05 e US$ 0,15 por transação recusada. Um ataque com 50.000 tentativas, mesmo que totalmente bloqueado, pode gerar mais de US$ 5.000 em taxas antes que qualquer fraude seja concretizada. Interromper as sessões antes que elas cheguem ao gateway é uma questão financeira tanto quanto uma questão de prevenção de fraudes.
• Impacto da conversão nos segmentos de baixo risco. Se as taxas de fraude caírem ao mesmo tempo que a conversão legítima, o resultado líquido não será positivo.
• Tempo decorrido entre o primeiro sinal e a ativação da regra. Se essa medida for expressa em horas, você estará sempre reagindo a um ataque ocorrido ontem.

A lacuna organizacional que vale a pena destacar

A resposta a testes de cartões abrange as áreas de fraude, engenharia e operações de pagamento, e normalmente nenhuma delas assume a responsabilidade total pelo assunto. Os programas que respondem mais rapidamente contam com um único responsável e um manual de procedimentos pré-aprovado para padrões comuns de ataque. Não precisa ser algo sofisticado. O importante é que exista e possa ser executado sob pressão, sem exigir consenso entre equipes durante uma campanha em andamento.

Ferramentas de detecção e prevenção de fraudes com cartões

A estrutura acima (consulta de sinais em tempo real, supressão de pré-autorizações, gerenciamento de falsos positivos e clareza na atribuição de responsabilidades) descreve como uma defesa madura se apresenta na prática. A questão mais complexa é decidir o que deve ser desenvolvido internamente e em que áreas as ferramentas externas ampliam significativamente suas capacidades.

A maioria das equipes enfrenta dificuldades porque seus sistemas não conseguem interligar sinais com rapidez suficiente, agir sem atrasos causados pela falta de coordenação ou resolver falsos positivos de forma eficaz. Qualquer ferramenta que valha a pena avaliar deve ser analisada à luz dessas três limitações.

Uma abordagem que se alinha a esse modelo é o Chargeflow Prevent. É importante definir com precisão em que aspectos ele se encaixa e em que aspectos não:

1) Eliminar gargalos de coordenação nos fluxos de trabalho de resposta

Em muitas organizações, a resposta a testes com cartões exige uma sequência de ações: a equipe de fraude identifica um padrão, a equipe de engenharia implementa uma regra e a equipe de operações monitora o impacto. É nesse atraso, muitas vezes medido em horas, que as campanhas de teste obtêm sucesso.

Um ponto de decisão que executa ações como cancelar, verificar ou aprovar em tempo real elimina essa dependência. Em vez de passar de uma equipe para outra, as regras são aplicadas imediatamente no nível da transação. O impacto prático é a redução do tempo de resposta, que é o único fator que realmente atrapalha os testes ativos.

2) Vinculação de sinais de identidade entre lojas

A maioria das plataformas internas trata sinais como IP, impressão digital do dispositivo, e-mail e dados do cartão como entradas independentes, avaliadas individualmente por transação. Isso funciona no caso de fraudes isoladas, mas não para grupos organizados que reutilizam a mesma infraestrutura em vários comerciantes.

Os sistemas em nível de rede tentam resolver isso ao integrar esses sinais em um gráfico de identidade compartilhado. Nesse modelo, um dispositivo ou padrão de comportamento associado a fraudes em outros lugares pode ser reconhecido antes que uma transação seja concluída, mesmo que o próprio cartão seja novo no seu sistema.

O que importa aqui não é o tamanho da rede, mas a capacidade de transferência dos sinais de risco. Trata-se da confiabilidade com que o comportamento observado em um ambiente permite prever abusos em outro, e da rapidez com que essas informações são aplicadas.

3) Resolvendo o dilema dos falsos positivos sem intervenção manual

Bloquear de forma agressiva é fácil. Recuperar clientes legítimos, não.

A maioria das equipes se limita à detecção e deixa a resolução a cargo do suporte ao cliente (o que resulta em revisões manuais, filas de tickets e atrasos nas intervenções). Isso não é escalável durante um ataque em andamento.

Um modelo mais eficaz introduz uma etapa de verificação estruturada no ponto de atrito. Quando uma transação é sinalizada, o comprador confirma a titularidade por meio de um fluxo simplificado vinculado ao contexto do titular do cartão. Se projetado corretamente, isso:

• Preserva a conversão para usuários legítimos
• Gera registros de auditoria verificáveis para contestações
• Elimina a necessidade de substituir regras manualmente

A diferença importante, além de reduzir os falsos positivos, é criar um caminho de resolução que funcione na mesma velocidade que o mecanismo de regras.

Quando essa abordagem não se aplica

Os testes de cartão geralmente começam na fase inicial, na etapa de verificação. Os bots enviam tentativas de autorização antes mesmo de qualquer compra ser concluída. É nessa fase que as taxas de recusa se acumulam e que os invasores aprendem com as respostas do gateway.

Os controles nesse ponto de contato, como limitação de taxa, bloqueio no nível da sessão, ofuscação de respostas e injeção de latência, devem ser implementados no gateway ou na borda. Nenhum sistema pós-autorização pode impedir que essas solicitações cheguem ao seu processador.

Isso cria uma separação clara de responsabilidades:

• Pré-autorização: bloquear e reduzir as tentativas de teste antes que elas cheguem ao gateway
• Pós-autorização: avaliar, vincular e tomar medidas em relação às transações que passam nas verificações iniciais

O Chargeflow Prevent opera na segunda abordagem. Ele é eficaz nesse contexto, mas não substitui a necessidade de fortalecer a primeira interface.

Como avaliar na prática

Uma avaliação significativa das ferramentas de prevenção contra fraudes com cartões não se baseia no número de transações bloqueadas. Tudo se resume a duas perguntas:

• A interface do sistema apresenta atores ou comportamentos interligados que faltam na sua pilha atual?
• É possível reduzir os falsos positivos em pedidos legítimos sem aumentar a carga de trabalho da revisão manual?

Se a resposta para ambas as perguntas for sim, a ferramenta está preenchendo uma lacuna real. Caso contrário, trata-se apenas de mais um painel de controle.

Considerações finais sobre ataques de teste de cartões

O teste de cartões é um problema operacional com uma lógica econômica simples: os invasores continuam tentando até que o custo dessas tentativas exceda o ganho. A maioria dos comerciantes torna essa equação matemática fácil demais para os fraudadores. Por quê? Ter pontos de acesso abertos, respostas específicas em caso de recusa, ciclos de resposta lentos e falta de compartilhamento de informações significa que o custo dos testes é efetivamente zero até que o dano já esteja feito.

Os programas que lidam bem com isso fazem duas coisas corretamente. São mais rápidos e mais criteriosos. Eles tratam o primeiro sinal como o ataque, e não como o estorno que ocorre semanas depois. Isso significa que resolveram a ambiguidade organizacional antes que um incidente forçasse a questão. E aceitaram que o problema dos falsos positivos é tão real quanto o da fraude, e se prepararam para ambos.

Os testes de cartões continuarão a evoluir. Dados provenientes de programas de roubo de informações, enumeração assistida por IA e plataformas de testes como serviço reduzem as barreiras para os invasores mais rapidamente do que a maioria dos controles internos consegue se atualizar. A vantagem defensiva, portanto, reside na velocidade com que seu sistema aprende e responde em relação à velocidade com que os invasores se adaptam.

Se este guia ajudar você a preencher as lacunas no ciclo pós-autorização, ele terá cumprido seu papel. Adquira o Chargeflow Prevent hoje mesmo.