Kort samengevat: detectie van BIN-aanvallen op de browserlaag
- Waarom controles falen: IP-rotatie en goedkope CAPTCHA-uitdagingen worden gepresenteerd als het antwoord op BIN-enumeratie, maar Visa schrijft zo'n 1,1 miljard dollar aan ecosysteemverliezen aan deze aanval toe in één jaar, dus de standaardcontroles doen hun werk duidelijk niet.
- Wat cside doet: cside legt de device fingerprint, gedragsscore en scriptactiviteit van elke checkout-sessie vast en markeert vlakke scores, ontbrekende cursorbeweging en bovenmenselijke formulier-submits voordat de transactie de browser richting de gateway verlaat.
- Check je logs: Als je laatste 30 dagen sessies bevatten met meer dan vijf verschillende kaartnummers en een weigeringsratio boven de 90%, factureert je gateway autorisatiepogingen op een aanval die pas wordt opgemerkt nadat je geld al uitgegeven is.
Weinig tijd? Bekijk cside's chargeback-bewijstooling. Dit dekt alles hieronder in één deployment.
Aanvallers testen gestolen kaarten niet met de hand. Ze draaien een geautomatiseerd script dat de checkout van een merchant in een paar minuten bestookt met duizenden transacties van lage waarde. Elke geslaagde goedkeuring levert de crimineel een gevalideerd kaartnummer op dat de moeite waard is om door te verkopen of opnieuw te gebruiken. Ziet je acquirer een piek van weigeringen van lage waarde vanuit een beperkte set sessies? Dan ben je het doelwit van een BIN-aanval.
Wat een BIN-aanval precies is
Een Bank Identification Number bestaat uit de eerste zes tot acht cijfers van een credit- of debitcard en identificeert de uitgevende bank en het kaartschema. Aanvallers die kaartnummers binnen een geldig BIN-bereik bemachtigen of algoritmisch genereren, gebruiken automatisering om te achterhalen welke nummers actief zijn.
De werkwijze is bij elke aanval die we in de browserlaag hebben gezien hetzelfde:
- Een script doorloopt kandidaat-kaartnummers binnen een geldig BIN-bereik.
- Elke kandidaat wordt als kleine transactie, vaak $0,01 tot $1,00, ingediend op de checkout van een merchant.
- Elke kaart die als goedgekeurd terugkomt, wordt gemarkeerd voor hergebruik in een hoogwaardigere fraudepoging verderop in de keten.
Visa volgt dezelfde aanval onder de naam enumeration attack en schrijft er in één jaar ongeveer $1,1 miljard aan ecosysteemverliezen aan toe. Mastercard signaleert de aanval in zijn Fraud and Chargeback Reduction-rapportage en rolt Fraud Protection Technologies uit die specifiek gericht zijn op het tegengaan van enumeration.
Waarom merchants worden uitgekozen
BIN-aanvallers kiezen checkouts waar automatisering goedkoop kan draaien. Drie eigenschappen zetten een merchant meestal bovenaan die lijst:
- Gastcheckout zonder inlogdrempel
- Weinig tot geen botweerstand naast een simpele CAPTCHA
- Een zeer laag minimumtransactiebedrag, waardoor de pogingen onder de fraudedrempels door glippen
Kleine merchants vangen het grootste deel van het volume op omdat hun controles lichter zijn. Grote merchants betalen alsnog een reële prijs: gatewaykosten op elke poging, chargebacks op de geslaagde pogingen en boetes op netwerkniveau als het aandeel enumeration-verkeer hoog genoeg oploopt.
De signatuur in de browserlaag
Een BIN-aanval is onmiskenbaar als je de sessie kunt zien, en niet alleen de transactie. Zes patronen komen samen naar voren:
- Tientallen tot honderden verzendpogingen vanuit één sessie, device of IP binnen een kort tijdsbestek
- Opeenvolgende kaartnummers binnen één BIN-bereik
- Verhoudingen tussen weigeringen en goedkeuringen boven de 90%
- Dezelfde device fingerprint die veel verschillende kaarten probeert
- Geen cursorbeweging, geen scrollen, geen wijzigingen in de winkelwagen, alleen puur formulierverzending
- Timing die regelmatiger is dan een mens ooit kan produceren
Server-side fraudetools die alleen de transactiestroom zien, betrappen deze aanval pas achteraf. De browserlaag ziet de automatiseringssignatuur voordat de transactie de gateway bereikt. Dit is hetzelfde signaal dat AI-gestuurde card testing-agents betrapt. Lees onze gids over hoe je AI-agents voor het testen van creditcards blokkeert voor het geval waarin de automatisering een LLM-gestuurde agent is in plaats van een gescripte bot.
Maatregelen die echt werken
| Maatregel | Wat het tegenhoudt | Realistisch effect |
|---|---|---|
| Device fingerprinting | Herhaalde pogingen vanaf hetzelfde device, ook bij IP-rotatie | Hoog |
| Gedragsscoring | Gescripte versus menselijke interactie op de checkout | Hoog |
| Velocity-limieten in de browserlaag | Snelle verzendingen vanaf één device of sessie | Gemiddeld |
| Rate-limieten per IP op de gateway | Rechttoe-rechtaan IP-flooding | Laag; aanvallers roteren IP's |
| CAPTCHA | Basale automatisering | Laag; moderne bots omzeilen reCAPTCHA goedkoop |
| BIN-blokkeerlijst | Bekende misbruikte BIN-bereiken | Gemiddeld en reactief |
Device fingerprinting staat bovenaan omdat BIN-aanvallen afhankelijk zijn van een stabiele device-identiteit om op grote schaal te draaien. IP's roteren is triviaal voor een aanvaller. Device fingerprints roteren op een manier die ook gedragsmodellen misleidt, is dat niet.
Waar cside past
cside legt device fingerprint, gedragssignalen en scriptactiviteit vast vanuit de browser bij elke checkout-sessie. Wanneer een sessie automatiseringspatronen vertoont (vlakke gedragsscoring, geen natuurlijke muisbeweging, formulierverzendingen sneller dan een mens kan typen), kan cside die markeren voordat de transactie de browser verlaat.
Diezelfde device fingerprint wordt ook bruikbaar bewijs voor het kleine percentage BIN-aanvaltransacties dat wel slaagt en wordt aangevochten. Bekijk hoe device fingerprinting voor card testing werkt wanneer disputes binnenkomen.
Wat je deze week kunt doen
Weet je niet zeker of een BIN-aanval je checkout al heeft geraakt? Drie controles geven je snel uitsluitsel:
- Haal de autorisatiegegevens van de laatste 30 dagen uit je gateway en tel de sessies waarin meer dan vijf verschillende kaartnummers zijn geprobeerd. Dat is je volume aan enumeration-pogingen.
- Vergelijk de weigeringsverhouding van die sessies met het gemiddelde van je site. Alles boven de 90% is enumeration.
- Controleer of een van die sessies een transactie succesvol heeft verwerkt. Zo ja, verwacht dan binnen 30 tot 60 dagen een chargeback.
Zijn de eerste twee cijfers hoog en kun je het browserlaag-signaal niet zien? Dan vertrouw je volledig op de frauderegels van je gateway, en je gateway ziet de aanval pas nadat die je geld heeft uitgegeven.
