En bref : détection d'attaques BIN au niveau du navigateur
- Pourquoi les contrôles échouent : La rotation d'IP et les CAPTCHA bon marché sont présentés comme la réponse à l'énumération BIN, mais Visa attribue environ 1,1 milliard de dollars de pertes de l'écosystème à cette attaque en une seule année, donc les contrôles standards ne font clairement pas le travail.
- Ce que fait cside : cside capture l'empreinte de l'appareil, le score comportemental et l'activité des scripts de chaque session de checkout, et signale les scores plats, l'absence de mouvement de curseur et les envois de formulaire à vitesse surhumaine avant que la transaction ne quitte le navigateur vers la passerelle.
- Vérifiez vos journaux : Si vos 30 derniers jours comportent des sessions avec plus de cinq numéros de carte distincts et un taux de refus au-delà de 90%, votre passerelle vous facture des tentatives d'autorisation sur une attaque qu'elle ne détecte qu'après avoir dépensé votre argent.
Peu de temps ? Découvrez les outils de preuve de chargeback de cside. Elle couvre tout ce qui suit en un seul déploiement.
Les attaquants ne testent pas les cartes volées à la main. Ils lancent un script automatisé qui bombarde la page de paiement d'un marchand de milliers de transactions de faible montant en quelques minutes. Chaque autorisation réussie remet au criminel un numéro de carte validé qu'il peut revendre ou réutiliser. Si votre acquéreur constate un pic de refus de faible montant provenant d'un ensemble restreint de sessions, vous êtes la cible d'une attaque BIN.
Ce qu'est réellement une attaque BIN
Un Bank Identification Number correspond aux six à huit premiers chiffres d'une carte de crédit ou de débit, et il identifie la banque émettrice et le réseau de la carte. Les attaquants qui obtiennent ou génèrent par algorithme des numéros de carte à l'intérieur d'une plage BIN valide utilisent l'automatisation pour déterminer quels numéros sont actifs.
Le fonctionnement est le même dans toutes les attaques que nous avons observées au niveau du navigateur :
- Un script parcourt des numéros de carte candidats à l'intérieur d'une plage BIN valide.
- Chaque candidat est soumis sous la forme d'une petite transaction, souvent de 0,01 $ à 1,00 $, à la page de paiement d'un marchand.
- Toute carte qui renvoie une autorisation est marquée pour être réutilisée plus tard dans une tentative de fraude de plus grande valeur.
Visa suit la même attaque sous le nom d'attaque par énumération et lui a attribué environ 1,1 milliard de dollars de pertes pour l'écosystème en une seule année. Mastercard la signale dans ses rapports Fraud and Chargeback Reduction et déploie ses Fraud Protection Technologies spécifiquement pour contrer l'énumération.
Pourquoi certains marchands sont ciblés
Les auteurs d'attaques BIN choisissent les pages de paiement où l'automatisation peut tourner à moindre coût. Trois caractéristiques placent généralement un marchand en tête de liste :
- Le paiement en tant qu'invité sans barrière de connexion
- Peu ou pas de friction anti-bot au-delà d'un CAPTCHA basique
- Un montant de transaction minimum très bas, si bien que les tentatives passent sous le radar des règles anti-fraude
Les petits marchands absorbent l'essentiel du volume car leurs contrôles sont plus légers. Les grands marchands paient tout de même un prix bien réel : des frais de passerelle sur chaque tentative, des rétrofacturations sur les tentatives réussies et des amendes au niveau des réseaux si la part de trafic d'énumération devient suffisamment élevée.
La signature côté navigateur
Une attaque BIN est impossible à confondre si vous pouvez voir la session, et pas seulement la transaction. Six schémas apparaissent ensemble :
- Des dizaines ou des centaines de tentatives de soumission depuis une seule session, un seul appareil ou une seule IP en un court laps de temps
- Des numéros de carte séquentiels au sein d'une même plage BIN
- Des ratios de refus par rapport aux autorisations supérieurs à 90 %
- La même empreinte d'appareil qui tente de nombreuses cartes différentes
- Aucun mouvement du curseur, aucun défilement, aucune modification du panier, juste de la soumission de formulaire pure
- Un rythme plus régulier que ce qu'un humain pourrait produire
Les outils de détection de fraude côté serveur qui ne voient que le flux de transactions repèrent cette attaque après coup. La couche navigateur voit la signature d'automatisation avant que la transaction n'atteigne la passerelle. C'est le même signal qui permet de repérer les agents de test de cartes pilotés par IA. Consultez notre guide sur comment bloquer les agents de test de carte bancaire par IA pour le cas où l'automatisation est un agent piloté par LLM plutôt qu'un bot scripté.
Les contrôles qui fonctionnent vraiment
| Contrôle | Ce qu'il stoppe | Impact réaliste |
|---|---|---|
| Empreinte d'appareil | Les tentatives répétées depuis le même appareil, même avec rotation des IP | Élevé |
| Scoring comportemental | Interaction scriptée ou humaine sur la page de paiement | Élevé |
| Limites de vélocité au niveau du navigateur | Les soumissions rapides depuis un même appareil ou une même session | Moyen |
| Limites de débit par IP au niveau de la passerelle | Le flood d'IP en ligne droite | Faible ; les attaquants font tourner les IP |
| CAPTCHA | L'automatisation basique | Faible ; les bots modernes contournent reCAPTCHA à moindre coût |
| Liste de blocage BIN | Les plages BIN connues pour être abusées | Moyen et réactif |
L'empreinte d'appareil arrive en tête car les attaques BIN reposent sur une identité d'appareil stable pour fonctionner à grande échelle. Faire tourner les adresses IP est trivial pour un attaquant. Faire tourner les empreintes d'appareil d'une manière qui trompe aussi les modèles comportementaux ne l'est pas.
Le rôle de cside
cside capture l'empreinte d'appareil, les signaux comportementaux et l'activité des scripts depuis le navigateur à chaque session de paiement. Lorsqu'une session présente des schémas d'automatisation (scoring comportemental plat, aucun mouvement de pointeur naturel, soumissions de formulaire plus rapides qu'un humain ne pourrait taper), cside peut la signaler avant que la transaction ne quitte le navigateur.
La même empreinte d'appareil devient aussi une preuve exploitable sur le faible pourcentage de transactions d'attaque BIN qui réussissent et sont contestées. Découvrez comment l'empreinte d'appareil pour le test de cartes fonctionne lorsque les litiges arrivent.
Ce qu'il faut faire cette semaine
Si vous ne savez pas avec certitude si une attaque BIN a déjà touché votre page de paiement, trois vérifications vous le diront rapidement :
- Extrayez les 30 derniers jours de données d'autorisation de votre passerelle et comptez les sessions ayant tenté plus de cinq numéros de carte distincts. C'est votre volume de tentatives d'énumération.
- Comparez le taux de refus de ces sessions à la moyenne du site. Tout ce qui dépasse 90 % relève de l'énumération.
- Vérifiez si l'une de ces sessions a traité une transaction avec succès. Si oui, attendez-vous à une rétrofacturation dans les 30 à 60 jours qui suivent.
Si les deux premiers chiffres sont élevés et que vous ne pouvez pas voir le signal côté navigateur, vous vous reposez entièrement sur les règles anti-fraude de votre passerelle, et votre passerelle ne voit l'attaque qu'après avoir dépensé votre argent.
