Resumo: deteção de ataques BIN na camada do browser
- Porque os controlos falham: A rotação de IPs e desafios CAPTCHA baratos são apresentados como a resposta à enumeração BIN, mas a Visa atribui cerca de 1,1 mil milhões de dólares em perdas do ecossistema a este ataque num único ano, por isso os controlos padrão claramente não estão a resolver o problema.
- O que a cside faz: A cside captura a impressão digital do dispositivo, a pontuação comportamental e a atividade de scripts de cada sessão de checkout e sinaliza pontuações planas, ausência de movimento do cursor e envios de formulários a velocidade sobre-humana antes de a transação sair do browser para o gateway.
- Verifica os teus registos: Se os seus últimos 30 dias incluem sessões com mais de cinco números de cartão distintos e uma taxa de recusa acima de 90%, o seu gateway está a faturar tentativas de autorização de um ataque que só deteta depois de o seu dinheiro já estar gasto.
Sem tempo? Veja as ferramentas de prova de chargeback da cside. Cobre tudo o que se segue numa única implementação.
Os atacantes não testam cartões roubados à mão. Executam um script automatizado que bombardeia o checkout de um comerciante com milhares de transações de baixo valor em poucos minutos. Cada aprovação bem-sucedida entrega ao criminoso um número de cartão validado que vale a pena revender ou reutilizar. Se o seu adquirente vê um pico de recusas de baixo valor a partir de um conjunto restrito de sessões, é alvo de um ataque BIN.
O que é realmente um ataque BIN
Um Bank Identification Number (BIN) são os primeiros seis a oito dígitos de um cartão de crédito ou débito e identifica o banco emissor e o esquema do cartão. Os atacantes que obtêm ou geram algoritmicamente números de cartão dentro de um intervalo de BIN válido usam automação para descobrir quais os números que estão ativos.
A mecânica é consistente em todos os ataques que vimos na camada do browser:
- Um script percorre números de cartão candidatos dentro de um intervalo de BIN válido.
- Cada candidato é submetido como uma pequena transação, muitas vezes de $0.01 a $1.00, contra o checkout de um comerciante.
- Qualquer cartão que devolve aprovado é sinalizado para reutilização numa tentativa de fraude de maior valor mais adiante.
A Visa acompanha o mesmo ataque com o nome ataque de enumeração e atribuiu-lhe cerca de 1,1 mil milhões de dólares em perdas para o ecossistema num único ano. A Mastercard sinaliza-o no seu relatório de Fraud and Chargeback Reduction e tem vindo a implementar as Fraud Protection Technologies especificamente para combater a enumeração.
Porque é que os comerciantes são escolhidos
Os atacantes de BIN escolhem checkouts que permitem que a automação corra de forma barata. Três propriedades costumam colocar um comerciante no topo dessa lista:
- Checkout de convidado sem barreira de início de sessão
- Pouca ou nenhuma fricção anti-bot além de um CAPTCHA básico
- Valor mínimo de transação definido muito baixo, para que as tentativas passem despercebidas às regras de fraude
Os pequenos comerciantes absorvem a maior parte do volume porque os seus controlos são mais ligeiros. Os grandes comerciantes ainda assim pagam um preço real: taxas de gateway em cada tentativa, chargebacks nas tentativas bem-sucedidas e multas ao nível da rede se o rácio de tráfego de enumeração ficar suficientemente alto.
A assinatura na camada do browser
Um ataque BIN parece inconfundível se conseguir ver a sessão, e não apenas a transação. Seis padrões surgem em conjunto:
- Dezenas ou centenas de tentativas de submissão a partir de uma sessão, dispositivo ou IP numa janela curta
- Números de cartão sequenciais dentro de um único intervalo de BIN
- Rácios de recusa para aprovação acima de 90%
- A mesma fingerprint de dispositivo a tentar muitos cartões diferentes
- Nenhum movimento do cursor, nenhum scroll, nenhuma edição do carrinho, apenas submissão pura de formulários
- Um ritmo mais regular do que qualquer humano conseguiria produzir
As ferramentas de fraude do lado do servidor que só veem o fluxo de transações apanham este ataque depois de acontecer. A camada do browser vê a assinatura da automação antes de a transação chegar ao gateway. Este é o mesmo sinal que apanha os agentes de teste de cartões guiados por IA. Consulte o nosso guia sobre como bloquear agentes de teste de cartões de crédito com IA para o caso em que a automação é um agente guiado por LLM em vez de um bot com script.
Controlos que realmente funcionam
| Controlo | O que trava | Impacto realista |
|---|---|---|
| Fingerprinting de dispositivo | Tentativas repetidas do mesmo dispositivo, mesmo com rotação de IP | Alto |
| Pontuação comportamental | Interação com script versus humana no checkout | Alto |
| Limites de velocidade na camada do browser | Submissões rápidas a partir de um único dispositivo ou sessão | Médio |
| Limites de taxa do gateway por IP | Inundação direta de IP | Baixo; os atacantes fazem rotação de IPs |
| CAPTCHA | Automação básica | Baixo; os bots modernos contornam o reCAPTCHA de forma barata |
| Lista de bloqueio de BIN | Intervalos de BIN sabidamente abusados | Médio e reativo |
O fingerprinting de dispositivo fica no topo porque os ataques BIN dependem de uma identidade de dispositivo estável para funcionarem em escala. Rodar IPs é trivial para um atacante. Rodar as fingerprints de dispositivo de uma forma que também engane os modelos comportamentais não é.
Onde é que a cside encaixa
A cside captura a fingerprint de dispositivo, sinais comportamentais e atividade de scripts a partir do browser em cada sessão de checkout. Quando uma sessão mostra padrões de automação (pontuação comportamental plana, nenhum movimento natural do ponteiro, submissões de formulário mais rápidas do que um humano conseguiria digitar), a cside consegue sinalizá-la antes de a transação sair do browser.
A mesma fingerprint de dispositivo também se torna prova utilizável na pequena percentagem de transações de ataque BIN que têm sucesso e acabam contestadas. Veja como o fingerprinting de dispositivo para o teste de cartões funciona quando chegam as contestações.
O que fazer esta semana
Se não tem a certeza se um ataque BIN já atingiu o seu checkout, três verificações dizem-lhe rapidamente:
- Extraia os últimos 30 dias de dados de autorização do seu gateway e conte as sessões com mais de cinco números de cartão distintos tentados. Esse é o seu volume de tentativas de enumeração.
- Compare o rácio de recusas dessas sessões com a média do site. Tudo acima de 90% é enumeração.
- Verifique se alguma dessas sessões processou uma transação com sucesso. Em caso afirmativo, espere um chargeback nos próximos 30 a 60 dias.
Se os dois primeiros números forem altos e não conseguir ver o sinal na camada do browser, está a depender inteiramente das regras de fraude do seu gateway, e o seu gateway só vê o ataque depois de já ter gasto o seu dinheiro.
