En bref : défense contre le carding au niveau du navigateur
- Le coût caché : Les équipes de lutte contre la fraude comptabilisent d'ordinaire les pertes de carding comme les transactions frauduleuses réussies, mais une seule attaque produisant 5 000 refus et 50 approbations peut déclencher des frais de passerelle à cinq chiffres avant même le tout premier chargeback.
- Ce que fait cside : cside tourne sur le checkout, capture l'empreinte de l'appareil ainsi que les signaux comportementaux et de scripts par session, et signale les champs de carte remplis par collage ou script, les délais inférieurs à la seconde entre chargement et envoi, et les soumissions répétées avec des cartes différentes depuis un même appareil.
- Quand c'est urgent : Si votre acquéreur engage la conversation sur l'Excessive Chargeback Program ou le Fraud Monitoring Program, il vous reste des jours et non des mois pour ajouter du signal au niveau du navigateur avant que la vague suivante n'arrive d'un lot d'IP renouvelé.
Peu de temps ? Découvrez les outils de preuve de chargeback de cside. Elle couvre tout ce qui suit en un seul déploiement.
Une attaque par carding survient lorsqu'une personne disposant d'un lot de numéros de carte veut savoir lesquels fonctionnent encore. Elle dirige un système automatisé vers la page de paiement d'un marchand et la bombarde de transactions de faible montant jusqu'à ce que les bons numéros ressortent. Chaque transaction acceptée est signalée pour la revente ou une fraude plus importante en aval. Chaque transaction refusée coûte quand même au marchand des frais de passerelle.
À quoi ressemble une attaque par carding
La boucle de base est simple. Un attaquant charge une liste de numéros de carte dans un script, dirige ce script vers une page de paiement et attend les autorisations. Les numéros de carte proviennent d'une fuite de données, d'un achat sur le dark web ou d'une génération algorithmique à l'intérieur d'une plage de BIN valide. Les pages de paiement sont choisies parce qu'elles sont peu coûteuses à attaquer : paiement en tant qu'invité, protection anti-bot faible, montant minimum de transaction bas.
Deux variantes comptent sur le plan opérationnel :
- Le test de cartes (card testing) sur un marchand légitime, où l'attaquant veut seulement valider des cartes et se moque du produit du marchand
- Le carding pour des biens, où l'attaquant utilise des cartes validées pour acheter des articles revendables comme des cartes cadeaux, de l'électronique et des références à forte liquidité
Le premier schéma inonde votre page de paiement de transactions minuscules. Le second se sert de votre inventaire comme d'un mécanisme de blanchiment. Lorsque l'automatisation est pilotée par une IA plutôt que scriptée, les défenses restent les mêmes mais l'attaque paraît plus humaine. Consultez notre guide sur comment bloquer les agents IA de test de cartes bancaires.
Le coût ne se limite pas à la fraude
Les marchands sous-estiment souvent les dommages totaux du carding parce qu'ils ne comptabilisent que les transactions frauduleuses réussies. Le véritable empilement des coûts est le suivant :
| Coût | Où il frappe |
|---|---|
| Frais d'autorisation de la passerelle à chaque tentative | Relevé bancaire, chaque mois |
| Rétrofacturations sur la fraude réussie | 30 à 120 jours après l'attaque |
| Frais de rétrofacturation par litige | En plus de la transaction annulée |
| Programmes de surveillance des réseaux de cartes | Excessive Chargeback Program, Fraud Monitoring Program |
| Perte du compte marchand | Si les ratios restent trop longtemps au-dessus du seuil |
| Atteinte à la réputation auprès de l'acquéreur | Taux de traitement plus élevés lors des négociations |
Une attaque par carding qui produit 5 000 refus et 50 acceptations peut déclencher des frais de passerelle à cinq chiffres avant même l'arrivée de la première rétrofacturation. C'est pourquoi l'indemnisation des rétrofacturations avec le nouveau ratio VAMP ne remplace pas le fait de stopper l'attaque au niveau du navigateur.
Comment détecter le carding côté navigateur
Les outils antifraude côté serveur voient le flux des transactions. C'est trop tard. L'attaque possède une signature bien plus précoce au niveau du navigateur, et elle est presque identique à chaque fois :
- Session ouverte, page de paiement chargée, aucune navigation organique au préalable
- Champs de carte remplis par collage ou par script, pas par frappe au clavier
- Aucun mouvement du curseur entre les champs
- Moins d'une seconde entre le chargement de la page et la soumission
- Soumissions répétées depuis la même empreinte d'appareil avec des numéros de carte différents
- Ratio acceptations/refus inversé par rapport à la normale (généralement 90 % de refus ou plus)
Un seul de ces signaux ne suffit pas. Deux ou trois ensemble, maintenus tout au long d'une session, constituent une attaque par carding. C'est le même profil de signaux qui permet de détecter les attaques par BIN et d'autres abus par énumération.
Comment stopper la fraude par test de cartes : l'empilement des contrôles
La fraude par test de cartes et le carding sont la même attaque, donc la défense est la même. Les contrôles anti-carding se répartissent en trois niveaux :
- Réduire la récompense. Augmentez le montant minimum de transaction. Restreignez le paiement en tant qu'invité pour les catégories de produits les plus utilisées dans le carding (cartes cadeaux, références à forte liquidité). Exigez la création d'un compte pour les transactions à plus haut risque.
- Ajouter de la friction à l'automatisation. Le scoring comportemental, l'empreinte d'appareil et les limites de vitesse côté navigateur détectent l'automatisation sans pénaliser les vrais clients.
- Limiter le débit au niveau de la passerelle. Ce n'est pas une défense de première ligne, mais c'est utile comme filet de sécurité. Les attaquants font tourner les adresses IP à faible coût, donc les limites de débit basées sur l'IP ne suffisent pas à elles seules.
La 3-D Secure aide pour certains types de cartes en transférant la responsabilité à l'émetteur, mais elle ne réduit ni le volume de trafic sur votre page de paiement ni vos frais de passerelle. Les signaux comportementaux et d'appareil réduisent les deux.
La place de cside
cside s'exécute sur la page de paiement et capture l'empreinte d'appareil, les signaux comportementaux et l'activité des scripts pour chaque session. Lorsqu'un profil de session correspond au carding (soumission automatisée, aucune interaction humaine, tentatives répétées sur plusieurs cartes), cside peut signaler la session avant que la transaction ne soit soumise.
La même empreinte d'appareil continue de fonctionner après l'attaque. Chaque transaction d'un vrai client est identifiée et mémorisée, de sorte que les clients qui reviennent ne subissent aucune friction et que les nouveaux appareils qui tentent des numéros de carte connus comme valides sont signalés. Lorsque les attaquants passent au travers, l'empreinte d'appareil comme preuve solide pour contester les rétrofacturations utilise le même signal comme preuve de litige.
Le tri après l'attaque
Si votre page de paiement a déjà été touchée par une attaque par carding, trois actions dans les 72 premières heures limitent les dégâts :
- Activez le suivi de session côté navigateur sur la page de paiement afin de pouvoir identifier les sessions du même attaquant s'il revient.
- Extrayez la liste des transactions qui ont réussi pendant la fenêtre de l'attaque et marquez-les pour une surveillance renforcée des rétrofacturations pendant les 90 jours suivants.
- Parlez à votre acquéreur. Certains proposeront de réexaminer la fenêtre de l'attaque et de réduire le ratio de transactions excessives si vous pouvez prouver qu'il s'agissait d'une attaque et non d'un trafic normal.
L'attaque reviendra probablement en quelques jours sur un autre ensemble d'adresses IP. Les contrôles que vous ajoutez pendant cette fenêtre sont ceux qui stopperont la prochaine vague.
