Осторожно, мошенники!: что такое "кардинг" и с чем его едят. Путь новичка, или с чего начать в кардинге

Вы наверняка встречали в интернете кучу объявлений о продаже новых вещей или техники из США, Европы и так далее. Но вряд ли догадывались, что весомая их часть публикуется кардерами .

Рассказываем, что это за тёмный бизнес, и как кардеры работают.

Предупреждение: статья носит исключительно информационный характер. Кража и мошенничество преследуются законом.

Что такое кардинг?

По большому счёту, кардинг – это кража денег с карты на свою карту , счет, аккаунт в платёжной системе, а также покупка товаров с использованием чужой кредитной карты. Чаще всего кардеры используют снятие наличных, покупку брендовой одежды или электроники.

Раньше многие кардеры работали с американским eBay через PayPal, к которому была привязана чужая карта. Теперь eBay в США и PayPal ужесточили правила, но кардеры никуда не делись – перешли на работу с другими странами, к примеру, Германией, Францией, Италией и т.д.

У кардеров есть свои гуру, каналы в Telegram и обучающие курсы, где учат правильно проворачивать чёрные схемы. И это также приносит доход, порой больший, чем непосредственно от кардинга. В общем, индустрия в тренде.

Как работают кардеры?

Прежде всего, им нужен номер карты и данные для аутентификации (пароль от банковского аккаунта, VDV для карт с 3D Secure, CVV2/CVC2 и т.п.). Часто кардеры покупают базу данных и проверяют актуальность информации в ней или же подбирают пароли с помощью брутфорса или других методов.

В даркнете купить данные карты можно за 300-500 рублей . Кроме того, кардеры оплачивают VPN с возможностью выбора сервера (желательно с точностью до штата или хотя бы до страны) и другие средства анонимизации.

Другой вариант – организация фишинговой кампании . Копируется страница банка с формой для входа в аккаунт или создаётся фальшивое приложение, с помощью спама распространяется ссылка на него.

Пользователь, обеспокоенный тем, что его карту могут заблокировать; банк просит подтвердить операцию; поступил перевод неизвестно от кого – идёт на фальшивый сайт или запускает поддельное приложение. Кардер забирает введённые данные и переводит все деньги себе. Или ждёт больших поступлений, чтобы выгрести по максимуму.

Судя по обсуждениям в даркнете, кардер на старте тратит 5-10 тыс. рублей . Это оплата VPN, туннелей ipsocks, взломанных аккаунтов и доступов к компьютерам, услуг «прозвонщиков», которые общаются с продавцами или службой поддержки банка на нужном языке, сканов документов для посредников. А также «набивание шишек» – далеко не с первой карты всё идёт гладко.

Что такое вбив?

Это процесс ввода данных карты в форму на сайте магазина или платёжной системы. Чтобы не рисковать, кардеры используют для вбива взломанные компьютеры рядовых пользователей. Затем их чистят от логов или избавляются от железа.

Другой вариант – работа с эмулятора Android-смартфона или виртуальной машины. После вбива достаточно удалить программное обеспечение, чтобы замести следы.

Как заказывают товары с чужой карты

Американские и европейские магазины часто не отправляют товар покупателю в Россию, Украину, Казахстан и другие страны бывшего СССР, если он был заказан с привязанного к карте PayPal, который принадлежит гражданину США, Канады или европейских стран. В крупных магазинах и платёжных системах есть системы антифрода, которые блокируют подозрительные транзакции.

Но мошенников это не останавливает.

Они заказывают с карты жертвы подарочную карту (e-gift) , а затем со взломанной почты жертвы получают код этой подарочной карты. Непосредственно заказ осуществляется со своего аккаунта, но по коду подарочной карты.

Кроме того, кардеры создают «самореги» . Покупается взломанный банковский аккаунт, на него регистрируется PayPal, указывается свой номер телефона, адрес и почта. На такой аккаунт часто можно взять кредит, а не только расходовать доступный положительный баланс.

Однако в последнее время этот вариант практически не используют, потому что PayPal в большинстве случаев отклоняет регистрацию и привязку банковского аккаунта.

Ещё один вариант – использовать посредника .

Конечно, теоретически посредник может развернуть посылку обратно, если магазин ему позвонит и укажет, что имеет место кардинг. Но можно нечаянно ошибиться в номере телефона посредника. Это повышает шанс прохода посылки.

Крупные магазины стали бороться с кардерами, но магазины помельче не так активно противостоят мошенникам. Под ударом фактически все магазины, в которых предлагаются подарочные карты или сертификаты. Заказ вещей и техники напрямую с чужого аккаунта с большей вероятностью «завернут».

Кардеры не только заказывают вещи

С карт можно не только заказать физические товары, но и вывести деньги. Есть казино, онлайн-игры и другие варианты виртуальной передачи денег.

Наконец, есть криптовалютные биржи, которые позволяют относительно анонимно купить монеты, затем их продать и вывести деньги на свою карту. Транзакции в криптовалюте невозвратные, так что система не сможет автоматически вернуть деньги держателю карты.

Кассир в супермаркете тоже может быть кардером

Кассиры в супермаркетах и продавцы в магазинах обычно не могут похвастаться высокой зарплатой. Но если они занимаются кардингом, то получают в 5-10 раз больше денег.

Когда вы проводите оплату картой, кассир или продавец может незаметно посмотреть и запомнить данные . Для некоторых сайтов при заказе товаров достаточно номера карты и CVV2, который написан на обороте. Но кардер может пойти дальше и поставить собственный «ридер» для считывания всех данных карты.

Так что если у вас внезапно через несколько часов или дней после посещения магазина с карты вдруг пропадут деньги, на кого вы подумаете? Уж точно не на кассира или продавца…

А что думает полиция?

Обычно полноценное расследование начинается, только если кардер украл значительную сумму средств – более 1000 долларов. Обычно после этого ФРБ направляет запрос полиции. И в запросе содержатся IP-адреса, имена, адреса отправки и другая информация о потенциальном преступнике.

Для этого кардеры используют дропов . Это люди, которые стоят на низшей ступени в цепочке и выполняют самую грязную работу: обналичивают деньги, предоставляют свои данные для получения посылок, отправляют посылки кардерам и т.д.

Кардеры дают дропам минимум информации и практически не контактируют с ними. Так что даже если дропа выследят, у него будет алиби на момент взлома банковского аккаунта или снятия денег с карты. Да и о кардере он ничего не сможет рассказать. В итоге преступление останется нераскрытым.

Почему кардеры избегают наказания

Практика показывает, что если кардер работает через VPN, прокси и другие сервисы, а также соблюдает правила безопасности в интернете, доказать его вину практически нереально. Но ошибаются все…

Однако даже если полиция нагрянет домой к кардеру, сотрудникам ещё придётся доказать факт совершения компьютерного преступления . А если следов нет, то на нет и суда нет.

Ловят чаще всего на переписке в мессенджерах, наличии данных чужих карт и аккаунтов, сборок вредоносного программного обеспечения и т.п. Но если использовать portable-софт, средства анонимизации, самоуничтожающиеся сообщения и криптозащищенные мессенджеры, доказать что-то будет сложно.

Российские покупатели часто и охотно делают заказы в магазинах США. Это удобно, выгодно и просто. При этом половина (если не больше) товаров идёт через майл-форвардеров. Такие компании помогают сэкономить на доставке или получить вещь, которую не шлют за пределы Соединённых Штатов. Но в идиллической картине зарубежного шопинга практически сразу появилось некрасивое пятно. Имеются в виду мошенники, которые всегда крутятся вокруг сферы услуг. Они быстро оценили преимущества американского шопинга и стали искать способы лёгкой поживы. Так появилось кардерство.

Кардеры (фродеры, фраудеры) - это люди, которые оплачивают свои покупки чужой банковской картой, платёжными реквизитами которой они смогли завладеть. Кардеров можно условно разделить на две категории. Первая - это те, кто покупает для себя, вторая - те, кто зарабатывает на перепродаже товаров. На продажу идут телефоны, планшеты, фотоаппараты, другая электроника, дорогие наборы Lego. Очень популярны сейчас камеры GoPro. Для себя же кардеры стараются заказывать элитную одежду, обувь, аксессуары. Вот, к примеру, куртка за $1100, которую мы относительно недавно вернули в магазин. А где-то по ту сторону монитора, читая эти строки, плачет её несостоявшийся обладатель.

Стоит понимать, что кардеры - фактически воры, финансовые мошенники. Fishisfast сталкивается преимущественно с теми, кто живёт в России и странах СНГ. Эти люди стараются работать с банковскими картами иностранцев. Ведь в противном случае вероятность личной встречи с людьми в форме увеличивается в несколько раз. А кардеры по своей натуре очень застенчивы, и этих встреч чрезвычайно стесняются.

Карты жителей США пользуются особой любовью у русскоязычных кардеров. Они даже позиционируют себя чуть ли не Робин Гудами. Дескать, воруют у богатых в пользу бедных. Но в последнее время всё активнее развивается европейское направление кардинга.

Не стоит думать, что в других странах нет проблемы фрода. Буквально неделю назад мы выявили кардера из ОАЭ, который заказал себе несколько игр для Xbox. Случай нетипичный, но и такое бывает.

Существуют большие форумы кардеров, на которых они обмениваются полезной информацией, ищут подставных лиц для получения и пересылки товаров (дропов), предлагают свои услуги и незаконно купленный товар. Значительная доля таких форумов находится *.onion-зоне, часть закрыта от поиска, но некоторые можно найти и через обычный поисковик.

Как действуют кардеры?

Есть множество схем получения фродерским сообществом платёжной информации. И неудивительно, ведь над этим вопросом трудится немало людей. Существует целая подпольная индустрия по добыче данных. Чаще всего используется скимминг (кража данных карты при помощи специального считывающего устройства) и банальное воровство. Встречаются даже поддельные банкоматы. Хорошо развита и сетевая отрасль этого бизнеса. В интернете нужная информация добывается следующим образом:

Фишинг
Используя поддельные сайты (например, копии PayPal), мошенники получают много ценных данных. Отсюда стоит сделать вывод: не верьте глазам своим, проверяйте адресную строку.

Взлом
Интернет-магазины и другие сайты с большой базой платёжеспособных пользователей взламываются, и данные утекают в руки злоумышленников. Можно обойтись и без взлома, если подкупить одного из сотрудников сайта. Альтернативный вариант: покупка умирающего магазина с базой всех покупателей, после чего магазин отправляется на свалку истории, а база идёт по рукам.

Использование служебного положения
Сотрудники процессингового центра могут передавать информацию сообщнику в большом объёме. А если этот сотрудник работает в банке, то становится настоящей золотой жилой. Поэтому их усердно ищут кардеры. И, как ни странно, находят. В качестве рекомендации по защите можем посоветовать не пользоваться услугами микрофинансовых организаций. Их сотрудники вполне могут продавать третьим лицам регулярно пополняемые базы данных.

Социальная инженерия
Поддельные письма, имитирующие официальные банковские уведомления, сообщения от платёжных систем и напоминание об оплате услуг - всё это добро приходит на почту большинству активных интернет-пользователей. И некоторые до сих пор ведутся. Впрочем, социальная инженерия тем и славится, что всегда можно придумать новый способ получить нужную информацию у любого человека. Так что просто стоит быть внимательнее.

Особо хочется отметить опасность взлома сайтов. Наглядный пример: недавний взлом fl.ru . Если хакеру удалось слить базу данных, почти наверняка кардеры получили много новых материалов. По причине слабой защиты небольших сайтов мы не рекомендуем новичкам совершать покупки в непроверенных интернет-магазинах. Потом их данные могут оказаться в интернете. Стоят они, кстати, не так уж дорого.


Набрав себе достаточно платёжной информации, кардер приступает к покупкам (так называемому «вбиву»). Он вбивает информацию с карты при оплате заказа в разных магазинах, через разные прокси. Успешность операции зависит от качества карты, интенсивности её использования, правильности настройки системы и ряда других факторов. Цель проста - заказать товар/товары на нужную сумму. Если на одном из сайтов оплата проходит, заказ отправляется на адрес подставного лица (дропа-посредника) или к майл-форвардеру. Данный этап - самый нервный для любого человека, занимающегося фродом. Подставные нередко оставляют вещи себе, а форвардеры регулярно заворачивают посылки. Тут никаких нервов не хватит. Но если звёзды сложились, и вещи приходят на склад, кардер немедленно оформляет их доставку к себе. Немедленно, потому что любая задержка увеличивает риск быть пойманным за руку.

Нередко кардеры пытаются оплачивать с чужих карт и услуги форвардера, но это считается дурным тоном. Опытные фродеры часто ругают новичков за подобную деятельность.


Большие магазины из-за большого объёма продаж не слишком внимательно отслеживают транзакции, поэтому часто отсылают товар, купленный кардером. Маленькие интернет-магазины дотошнее. Они чаще связываются с нами/полицией/владельцем карты, если возникают сомнения в законности покупки. В этом случае посылка задерживается на складе магазина или же у нас.

Ещё один интересный способ заработка связан с fishisfast весьма опосредованно. Кардер публикует на форуме свои объявления о выкупе вещей с популярных американских сайтов с 30–50% скидкой (мол, такая скидка за объёмы). Обычные люди, доверчиво хлопая глазками, начинают пользоваться его услугами. Они заводят аккаунт у посредника, платят кардеру, а тот отправляет заказ на их имя.

То есть по сути, сам кардер не пользуется нашими услугами, он находит неосторожных людей, которые чересчур сильно хотят сэкономить, а потому верят в бесплатный сыр. Потом, когда эта схема вскрывается, люди совершенно искренне не понимают, в чём они провинились и почему их вещи возвращаются в магазин (они-то за них заплатили, хоть и с 30–50% скидкой). Когда они начинают писать тому человеку, он благополучно пропадает, удаляет свою тему на форуме и появляется на следующем в поиске таких же наивных людей.

Обратите внимание, есть даже целые фейковые форумы, где одним из пользователей предлагается техника Apple за 40% от стоимости (поищите, таких сайтов много). На самом деле форум мёртвый, и единственный его пользователь - тот самый продавец, он же админ, он же гарант, выступающий в роли независимого посредника. Разумеется, наивный покупатель товар не получит, ведь его просто не вышлют. А деньги вернуть почти невозможно.

Последний защитник

Fishisfast , как и любой другой ответственный mail-forwarder, выступает в качестве последнего рубежа обороны. Нет, в ряде случаев удаётся вернуть даже отправленную посылку. Но это трудно и долго. Проще и эффективнее не дать ей покинуть склад. И это главная задача антифрод-системы. Она у нас, кстати сказать, многоуровневая. Все секреты поведать не можем, но наиболее важные этапы опишем.

Первый этап: программный. По особому алгоритму система просчитывает вероятность того, что посылка принадлежит кардеру.
Второй этап: сотрудники склада. Их наметанный глаз и большой опыт позволяет обнаруживать подозрительные посылки.
Третий этап: специалист по антифроду. Особенный человек с необычайным чутьём! Работая не хуже Великого китайского файервола, он отсекает 95% кардерских посылок. Его реально боятся все кардеры. И это хорошо.

Если вы думаете, что отслеживать тех,кто занимается фродом, легко, то вот вам фотография зала для посылок. Они только что поступили и были зарегистрированы сотрудниками склада. Вполне возможно, что где-то здесь стыдливо прячется и кардерская посылка.


Когда у нас возникают подозрения относительно одного из пользователей, то мы проводим предварительную проверку аккаунта. Она безвредна и незаметна. Необходимость подобных проверок возникает часто. Дело в том, что имена известных людей активно используются кардерами. Например, некий Сергей Зверев из Москвы даже не подозревает, что его аккаунт проверялся, когда на адрес Локера пришли расчёски. Слишком уж громкое имя. Оказалось, реально совпадение.

Похожая ситуация была, когда нам пришла посылка от мистера Брюса Ли.


Мы решили связаться с отправителем. Он оказался совершенно обычным человеком, даже не родственником знаменитого мастера боевых искусств. Но зато теперь мы можем утверждать, что с нами общался Брюс Ли.

Впрочем, всё это лирика. Когда попадается кардер, противостояние получается эпичным. Но об этом чуть позже.

Крушение надежд: на чём прокалываются кардеры?

На орфографии . Казалось бы, какая мелочь! Однако неумение писать на русском/английском языке очень часто портит карму даже опытным фродерам. Хотя встречаются и феноменальные ляпы, вроде Julie Julie Marie Bartlett. Нет-нет, это не опечатка. Если верить присланному скану, человека действительно так зовут. А на всякие мелочи вроде надписи Expired on вместо Expires on («истёк» вместо «истекает») она на ломанном английском просила не обращать внимания. Привет тебе, Julie! Надеемся, что ты завязала с воровством.


Быстрая реакция продавцов , получивших уведомление о chargeback, тоже позволяет поймать кардера за руку. С нами нередко связываются частники, желающие сообщить про очередного мошенника.

Недоработанность «легенды» . Когда в аккаунте указано одно имя, посылка приходит на другое, а оплата за доставку проходит через третье лицо - это закономерно вызывает подозрения.

Реже поступают письма из интернет-магазинов . Но если такие приходят, то их внимательно изучают. Вся информация проверяется, и зачастую после таких проверок на кардерских форумах поднимается горестный вой. Аж слёзы наворачиваются.

Нервозность - ещё одна отличительная черта всех, кто причастен к фроду. Вероятность быть обнаруженным пугает кардера. Да и деньги за информацию о чужих банковских картах он тоже почти наверняка платил. И в случае любых задержек или непонятных ему ситуаций начинается онлайн-терроризм. Саппорту постоянно задаётся один и тот же вопрос: «где посылка?».

На глупости прокалывается больше половины кардеров. К примеру, к нам в офис приходит письмо из банка/PayPal, в котором сообщается: «Извините, Джон Сноу, мы не можем открыть счёт для вас». В письме указан адрес Локера этого Джона, и мы с удивлением видим, что Локер зарегистрирован на Васисуалия Лоханкина. «Лёд тронулся, господа присяжные заседатели!», - восклицаем мы, и блокируем аккаунт.


Нередко кардеры пытаются использовать упоминавшуюся выше социальную инженерию. Они пишут нашим сотрудникам техподдержки в социальных сетях, задают разные вопросы. Один из них «палит контору» со 100% вероятностью. Этот вопрос в разных вариациях звучит так: «можно ли отправлять посылки на склад не на свое имя, а на имя американского друга?». Три раза ха. Иногда так и хочется ответить: ребят, вы там совсем?

Ещё одна забавная ситуация приключилась, когда один незадачливый парень завёл себе новый «чистый» аккаунт, но зачем-то решил пообщаться с техподдержкой. И всё бы ничего, вот только письмо он написал с того email’а, на который был оформлен заблокированный ранее аккаунт.

Плач Ярославны: как реагируют пойманные кардеры

Когда появляются серьёзные вопросы по той или ной посылке, мы просим человека подтвердить свою личность и факт покупки. Обычные люди видны сразу. Во-первых, у них совершенно другой стиль общения. Во-вторых, присылаемые ими фотографии и описания ситуации - естественные. Они не стесняются звонков, пытаясь решить вопрос.

Кардеры же начинают истерить, ругаясь порой со всеми сотрудниками компании одновременно.

Они грозят нам карами небесными. Причём список этих кар очень короток: прокуратура российская, полиция американская, да ФБР. Особо ушлые идут на форумы, где начинают вещать о мировом заговоре вообще и ущемлении их прав в частности. Владимир Ульянов-Ленин с его знаменитой речью на броневике нервно курит в сторонке, глядя на эти проповеди.

Главная задача кардера в данной ситуации - склонить мнение общественности в свою сторону. Для этого обживаются даже специальные сайты вроде «интернет-полиции», где публикуется информация о мошенниках. Вот только удивительным образом мошенниками там оказываются обычные компании. Мы тоже там есть. А кто бы сомневался?


Иногда ребята форумом не ограничиваются. Они ищут аккаунты сотрудников fishisfast в соцсетях, и пишут туда всякие гадости. Тоже, надо сказать, однотипные. Один очень сильно обидевшийся товарищ даже стал жаловаться на свою горькую долю на нашей странице ВКонтакте. Но его быстро вывели на чистую воду обычные наши клиенты. Мы даже не вмешивались, настолько это было забавно.

Порой кардеры выбирают другой способ общения. Они начинают слезливо просить отправить им посылку. Мол, случайно вышло, в следующий раз со своей карты заказ оплачивать будут, а в этот раз друг помог. Каких-то слезливых историй не придумывают, ух. Жалобного кота из «Шрек 2» помните? Вот, один в один.

Бывают и забавные личности. Признаются, что они действительно кардеры, после чего предлагают «договориться». Например, поделить посылку. Что и говорить, наглости им не занимать.

Был случай, который можно назвать исключением из правил. Один кардер до того на нас обиделся, что сначала завалил угрозами скайп каждого сотрудника саппорта, а потом организовал DDoS. Это было неожиданно, ибо такая атака стоит дорого. Но мы быстро включили защиту, и DDoS заглох. Кстати, этого же кардера, по всей видимости, ловили и некоторые наши коллеги. Потому что их сайты тоже пытались «уронить».

Обмани меня, если сможешь

На этапе запроса документов отсеивается много кардеров. В основном - новички и те, чья посылка с вещами не слишком дорого стоит. Остальные же начинают мухлёж с документами. Кто-то рисует их сам, кто-то заказывает у коллег.


Кто-то шлёт документы посредника-дропа. А кто-то покупает реальные сканы документов. Вариантов хватает.


Подделывают, как правило, обычные сканы паспорта. Это проще всего, и мастера фотошопа хорошо набили руку. Многие подделки выглядят очень натурально.

Наиболее матёрые спецы обещают даже нарисовать нужный документ для тех, у кого просят фотографию лица вместе с паспортом. Также находятся особо одарённые индивидуумы, которые пытаются прислать левые документы (штрафы, например). И возмущаются, когда их не принимают. Но зачастую пакет документов готовится в спешке, тяп-ляп. И это хорошо заметно.

Встречаются и серьёзные мошенники. Были ребята, которые сделали копию нашего сайта, поменяли название и запустили рекламу в США, что нанимают людей на работу «пересыльщиками» почты. Люди устраивались на работу, а впоследствии попадали в серьёзную переделку. Ведь магазины вместе с полицией начинали искать, куда уехали товары, оплаченные ворованными картами.

Впрочем, эти же ребята оказались чересчур самонадеянными. Они не убрали наш номер телефона из FAQ. И один из потенциальных сотрудников решил по нему позвонить. Так мы быстро узнали про всю эту схему. И строго погрозили им пальцем. Ребята исчезли.

Про магазины

Поскольку мы останавливаем посылки, купленные на ворованные деньги, то совершенно очевидно, что за возврат отвечаем тоже мы. Казалось бы, магазины должны быть благодарны нам, ведь мы возвращаем им товар, который не будет оплачен (chargeback вернёт деньги владельцу карты). Однако на деле ситуация совершенно иная. Сотрудник fishisfast , работающий с возвратами, тратит на это очень много времени и сил.

Дело в том, что далеко не всегда сотрудники магазина вообще понимают, о чём идёт речь. Слова типа «фрод» или «скарженный товар» для них звучат неприятно и страшно. И нам приходится убеждать(!) магазин получить товар назад. Хотя это в их интересах, чтобы товар вернулся обратно, ведь в противном случае они останутся без товара и без денег, которые вернутся на карту пострадавшего человека. А нам, в свою очередь, придётся выделять место на складе под товар, ожидающий возврата.

Как правило, проще всего объясниться с небольшими магазинами. Они быстрее вникают в ситуацию и даже могут прислать благодарственное письмо, когда получат товар обратно. С крупными маркетами сложнее. Их система слабо приспособлена к возвратам, поэтому процесс этот небыстрый. Он затягивается ещё сильнее по той причине, что для возврата заказа магазин должен прислать нам предоплаченный почтовый ярлык.

Показательна ситуация с одним элитным канадским магазином ювелирных украшений. Один из кардеров заказал там прекрасный золотой браслет с камнем за $237. Вот такой:


Заказ был доставлен к нам, но на складе выяснилось, что покупка совершалась по чужой карте. Мы заблокировали аккаунт и незамедлительно связались с магазином. А вместо почтового ярлыка на обратную доставку они прислали запрос на подтверждение сохранности украшения. Уточняли даже, все ли камни на месте, в каком они состоянии. Не вопрос - наши сотрудники подготовили все необходимые документы и отправили в магазин. А в ответ - тишина. Теперь этот браслет лежит на складе в ожидании возврата.


А вот этот замечательный квадрокоптер Phantom 2 Vision+ мы уже вернули.


Знаете, сколько он стоит? Почти $1400! В магазине нашего сотрудника искренне благодарили.


Кстати, у опытных кардеров средний «чек» составляет как раз 1200-1400 долларов.

Но не стоит думать, что интернет-магазины никак не борются с фродом. О, ещё как борются! Специально для этих целей они внедряют систему CCFDs (Credit Card Fraud Detection service). Используя особые алгоритмы, система определяет вероятность фрода (Fraud Score). И если заказ набирает Fraud Score выше определённой величины, магазин получает рекомендацию обратить внимание на конкретный заказ. Его замораживают, а покупателю предлагают Telephone Verification (общение по телефону) или другой вариант подтверждения личности. Кстати, аналогичная антифрод-система есть и у банков, это Fair Issac или FICO.

Fraud Score высчитывается на основе нескольких факторов. Мы приведём основные:

1. IP диапазон. Проверяется географическое местоположение покупателя, соответствие IP держателя карты/интернет-магазина IP покупателя.
2. Email. Подозрения вызывают бесплатные почтовые адреса, а также находящиеся в чёрном списке или не соответствующие стране держателя карты.
3. Proxy. Бесплатные прокси часто дают IP из чёрного списка. Это обязательно учитывается.
4. Опасность страны. Есть страны с высоким уровнем фрода. Например, Россия, Украина, Молдова, Беларусь, Филиппины, Гонконг, Египет, Индонезия, Ливан, Македония. Но у каждого банка и магазина есть свой список таких стран.
5. Дальность. Высчитывается расстояние между IP покупателя и адресом доставки.
6. BIN банка. Идёт проверка по номеру карты на соответствие IP покупателя и страны банка, выпустившего карту.
7. Http-заголовки. Некоторые браузеры предоставляют открытую информацию о локализации покупателя, используемой операционной системе и пр. Эти данные тоже анализируются.

Вот хороший пример формулы расчёта Fraud Score. У покупателя найден используемый ранее электронный ящик (2.5% риска), большая удалённость IP (4.3%), не закрытые заголовки (5.5%).

Соответственно, FS = 2.5 x 4.3 x 5.5 = 59.12%. Критический порог покупки обычно не превышает 40%, так что данный платёж, скорее всего, будет отклонён.

Антифрод в MySQL одного из магазинов выглядит так:

Код: table=algzone_fraud_queries order_id ip_address last_date_queried fraud_level err_message distance_m distance_k country_code is_country_match is_free_email is_customer_phone_inloc proxy_level spam_level is_high_risk_country is_anonymous_proxy ip_city ip_region ip_isp ip_org ip_latitude ip_longitude bin_country_code is_bin_match is_bank_name_match bank_name is_bank_phone_match bank_phone

На страже закона

А что же бравые американские полицейские, способные в одиночку спасти мир от зомби-апокалипсиса? Неужели они не борются с фродом?

Борются. Конечно, они не сидят сложа руки. Этими вопросами занимаются аж три разных организации. Собственно полиция, ФБР и Секретная служба США (USSS). Получив запрос от пострадавшего владельца карты, они связываются с магазином, в котором была совершена покупка. Магазин сообщает адрес, куда был отправлен заказ. Если это адрес пересылочной компании, то органы отправляются туда «поговорить».

Прийти может как один простой полицейский, так и целая группа серьёзных людей в строгих костюмах. Они знакомятся с принципом работы компании и просят предоставить информацию о клиенте, подозреваемого во фроде. А дальше идёт уже работа по розыску человека и определение целесообразности его международного поиска.

Нам часто звонят из местного отделения полиции, так как пострадавшие стараются обращаться с жалобами именно туда. Сообщаются данные кардера, сумма покупки и другие нюансы. Иногда звоним уже мы, так как каждый выявленный случай фрода фиксируется и юридически оформляется, после чего отправляется на стол нашему куратору.

Вместо послесловия

Быть майл-форвардером непросто. Кардеры нас не любят, всячески пытаясь обмануть или напакостить. На нас обижаются магазины, которым мы возвращаем товар. Наших девочек из саппорта порой пытаются обидеть и оскорбить. Хотя чаще всего достаётся единственному парню из поддержки, Аяну.

Впрочем, они справляются с этим. Поэтому мы по-прежнему остаёмся серьёзным препятствием для любителей лёгкой поживы, одновременно с этим обеспечивая выгодный сервис для нормальных покупателей. Ведь их намного больше. И с ними у нас всегда хорошие отношения.

Статья написана с целью повысить уровень преступности в сети Интернет)))).

Когда-то давно, как только я заинтересовался заработком в интернете, мне стал интересен так называемый кардинг. И интерес этот проявился не потому, что я желал заняться мошенничеством, а просто открыть для себя что-то новое и понять, как оно работает. Поэтому сегодня я решил на писать о том самом процессе – бесплатный кардинг.

Кардинг - это мошенничество, посредством проведения неких операций с банковскими картами.

Ну а как вы поняли человек, который занимается кардингом – мошенник.

Если не ошибаюсь, то существует два вида этого рода мошенничества: реальный и виртуальный кардинг.

С реальным кардингом я малознаком, но, если я прав, он связан с использованием физической банковской карты (пластика). Как правило целью мошенников является воровство самой карты и пин-кода от нее.

Чтобы узнать пин-код могут использовать маленькие видеокамеры, накладные пленки для клавиатуры и, наверное, другие хитрости.

Чтобы получить карту они могут ее нагло своровать или «модернизировать» банкомат так, что тот заберет карту у владельца сам.

Также существуют специальные накладки на отверстие для пластиковых карт, проходя через которое злоумышленники считывают информацию с чипа и делаю дубликат карты.

Сюда же можно отнести оформление кредитов, звонки владельцу банковской карты с просьбой назвать пин-код или CVV-код карты, а также разные мошеннические действия с онлайн-банкингом.

Кардинг – это бизнес, причем не маленький… Даже кардинг новичкам будет под силу. Так, например, существует много кардинг форумов, как правило лучшие кардинг форумы являются закрытыми, а доступ можно получить только в двух случаях: хорошо заплатив либо найти поручителя, который уже зарегистрирован на форуме.

Виртуальный кардинг это более пассивное мошенничество, а том плане, что вору даже не придётся покидать кресло. Они начинают воровать в интернете, там и заканчивают.

Сколько зарабатывают кардеры?

Кардеров очень много, сейчас даже школьники занимаются подобными вещами, однако они ограничиваться покупкой парочки игр в Steam. Опытные кардеры в которых мошенничество является основным доходом, зарабатывают от $1000 до $50 000 в месяц, а то больше.

Кратко о сути виртуального кардига

Если говорить кратко, то принцип такой: вы берете взломанную карточку (картон или CC, как их называют) – ее можно купить либо даже найти бесплатно на специальных форумах.

Как правило источником карт являются хакеры, которые взламывают базы данных интернет-магазинов, где хранятся реквизиты покупателей. Это касается только мелких торговцев, ибо крупные проекты более защищенные.

Затем себя надо обеспечить безопасность, чтобы вас не вычислили по вашему IP. Для этого покупаем носки (соксы) или же пользуемся дедиком (удаленные компьютер). Это нужно и для скрытия своего IP-адреса и для имитации местонахождения владельца карты. То есть если картодержатель живет в США, штат Невада, а вы пытаетесь «вбить» карту с IP другой страны, или даже штата, то защитная система может и не пустить проплату.

Затем нужно найти интернет-магазин, где вы будете «вбивать» карты в товар. Если говорить о вещевухе (покупка вещей), то вам лучше найти дропера, он примет товар на свой адрес, также они принимает на себя и полицию. В таких случаях если вы скардили ноутбук стоимостью 1000$, то дропер может передать вам товар, но вы ему будете должны 500$, или же дропер оставляет себе ноутбук, а вам передает 500$ — половина товара.

Хотя возможно с того времени вся система изменилась и уже услуги дроперов стоят куда дороже, или может дешевле?

Как выглядит СС?

Когда вы расплачиваетесь в интернет-магазине чужой картой, вам нужно знать данные кредитки, они выглядят примерно так:

John ANDREWS 5178059860080466 06/13 007 14514 N CREEK DRMILL CREEK Washington 98012 425-268-1830

Теперь по порядку:

• John ANDREWS – имя фамилия владельца СС.
• 5178059860080466 – номер карты.
• 06/13 — «использовать до».
• 007 – CVV код.
• 14514 N CREEK DRMILL CREEK – адрес.
• Washington – город.
• 98012 – зип код (Аля индекс).
• 425-268-1830 – номер телефона владельца карты.

Наказание

Я не юрист, но вроде как за подобные мошеннические действия могут лишить до 8 лет свободы либо большой штраф, около 1 000 000 рублей. Однако стоит понимать, что школьника, который сидел на дедике и кого-то кинул на несколько сотен долларов, искать никто не станет. Ходят слухи, что некоторые люди заказывают товар на свой реальный адрес на сумы 5 000$ и свободно живут спокойно жизнью.

Основные понятия

• Дроп – человек, который являеться посредником в доставке товара. Например, вы кардите товар в США, следовательно доставка будет по это стране. Вам нужно найти человека, который проживаем в США и готов получить на свой адрес ворованый товар, отвечать на вопросы от менеджеров интернет-магазина и также готов к визиту полиции. Берет половину от стоимости товара.
• Вещевуха – вид виртуального кардинга, когда мошенники покупают не электронные товары (скрипты, ссылки, дизайны, игры, книги), а реальные физические вещи.
• CC – кредитная карта.
• Вбив – процес покупки используя чужую карту.
• Дамп кардинг – вид реального кардинга, когда мошенники создают дамп (копию) кредитных карт жертв.
• Шоп – интернет-магазин, который, как правило, слабо защищен.
• Носки – socks, прокси, помогут сменить IP адрес для подмены своего местонахождения.
• Дедик – удаленный компьютер, который нужен для для подмены своего местонахождения.

Кардинг

Мошенничество с платежными картами, кардинг (от англ. carding ) - вид мошенничества, при котором производится операция с использованием платежной карты или ее реквизитов, не инициированная или не подтвержденная ее держателем. Реквизиты платежных карт, как правило, берут со взломанных серверов интернет-магазинов , платежных и расчётных систем, а также с персональных компьютеров (либо непосредственно, либо через программы удаленного доступа, «трояны », «боты» с функцией формграббера). Кроме того, наиболее распространённым методом похищения номеров платежных карт на сегодня является фишинг (англ. phishing , искаженное «fishing» - «рыбалка») - создание мошенниками сайта, который будет пользоваться доверием у пользователя, например - сайт, похожий на сайт банка пользователя, через который и происходит похищение реквизитов платежных карт .

Одним из самых масштабных преступлений в области мошенничества с платежными картами считается взлом глобального процессинга кредитных карт Worldpay и кража с помощью его данных более 9 миллионов долларов США. В ноябре 2009 года по этому делу были предъявлены обвинения преступной группе, состоящей из граждан СНГ .

Скимминг

Частным случаем кардинга является скимминг (от англ. skim - снимать сливки), при котором используется скиммер - инструмент злоумышленника для считывания, например, магнитной дорожки платёжной карты . При осуществлении данной мошеннической операции используется комплекс скимминговых устройств:

• инструмент для считывания магнитной дорожки платёжной карты - представляет собой устройство, устанавливаемое в картоприёмник, и картридер на входной двери с зону обслуживания клиентов в помещении банка. Представляет собой устройство со считывающей магнитной головкой, усилителем - преобразователем, памятью и переходником для подключения к компьютеру. Скиммеры могут быть портативными, миниатюрными. Основная идея и задача скимминга - считать необходимые данные (содержимое дорожки/трека) магнитной полосы карты для последующего воспроизведения ее на поддельной. Таким образом, при оформлении операции по поддельной карте авторизационный запрос и списание денежных средств по мошеннической транзакции будут осуществлены со счета оригинальной, «скиммированной» карты.
• миниатюрная видеокамера, устанавливаемая на банкомат и направляемая на клавиатуру ввода в виде козырька банкомата либо посторонних накладок, например, рекламных материалов - используется вкупе со скиммером для получения ПИН держателя, что позволяет получать наличные в банкоматах по поддельной карте (имея данные дорожки и ПИН оригинальной).

Данные устройства питаются от автономных источников энергии - миниатюрных батарей электропитания, и, для затруднения обнаружения, как правило, изготавливаются и маскируются под цвет и форму банкомата.

Скиммеры могут накапливать украденную информацию о пластиковых картах, либо дистанционно передавать ее по радиоканалу злоумышленникам, находящимся поблизости. После копирования информации с карты, мошенники изготавливают дубликат карты и, зная ПИН, снимают все деньги в пределах лимита выдачи, как в России, так и за рубежом. Также мошенники могут использовать полученную информацию о банковской карте для совершения покупок в торговых точках.

Меры защиты

Для предотвращения незаконных списаний по банковской карте рекомендуется применять следующие меры безопасности:

• не передавать свою карту в чужие руки, следить за тем, чтобы карта использовалась лишь по назначению (дабы невозможно было применить портативное скимминговое устройство, спрятанное под одеждой, например, официанта, либо сотрудника автозаправочных станций, продавца магазина и т. д.).
• проявлять бдительность и внимательность при пользовании банкоматом, обращать внимание на нестандартные элементы конструкции - накладную клавиатуру, используемую для считывания PINа. В случае скимминга такая клавиатура располагается, как правило, выше уровня корпуса банкомата, легко от неё отделяется и, зачастую, под накладной виднеется часть оригинальной.
• обращать на установленные микро-видеокамеры на самом банкомате, которые могут быть смонтированы как в козырьке банкомата, так и замаскированы под сопутствующие банкомату предметы, например, рекламные материалы.
• минимизировать случаи использования банковской карты в местах, вызывающих подозрение; по возможности использовать банковскую карту в хорошо просматриваемых помещениях.
• снятие наличных средств и другие банковские операции, осуществляемые при помощи банкоматов, по возможности производить в одном и том же банкомате, запомнив его внешний вид. Как правило - стандартные технические модификации банкоматов одного банка редко отражаются на их внешнем виде.
• по возможности, набирать ПИН быстро, заученными движениями и, желательно, используя несколько пальцев руки сразу - так злоумышленникам будет сложнее распознать ваши движения. По возможности, прикрывать набирающую ПИН руку другой рукой, сумочкой или каким-либо иным предметом.
• если банк-эмитент банковской карты имеет в своём сервисе услугу быстрого оповещения владельца карты о фактах списания (смс-оповещения), подключить её для наиболее быстрого реагирования на незаконные списания
• использовать банковские карты с встроенным микрочипом, если это возможно.

Шимминг

Шимминг представляет собой разновидность скимминга. В этом случае в картридер банкомата помещается электронное устройство (шиммер ), позволяющее получить информацию о банковской карте. Толщина шиммера - порядка 0,2 мм. Внешнее определение использования шиммера крайне затруднено. Защитой от шиммера является только то, что шиммер не перехватывает PIN-код.

Примечания

См. также

Ссылки

В очередной раз просмотрел темы форума новичков и понял, что многие вопросы остаются без ответа. И не отвечают на них не потому, что нет желания дать информацию, а потому, что нет времени отвечать на нередко откровенно глупые вопросы. Поэтому я и решил написать определенное послание ко всем, кто только вступает на этот непростой путь кардера. Не знаю, насколько полезной получится эта статья, я не претендую на звание «нетленка года».
Итак, ты попал на сайт ccc.mn. Перед твоими глазами мелькают незнакомые слова – «дампы, пины, энролл, ваер, дроп, претензия на 3000 wmz», и ты понимаешь, что это - нечто тебе доселе невиданное, но, судя по всему, приносящее неплохие деньги… «Легкие деньги!» - скажешь ты. И очень сильно ошибешься. Когда-то, кардинг может быть и был легким способом обогащения, но сейчас это тяжелый, высокоинтеллектуальный труд, который не каждому под силу. И если ты решил обогатиться в считанные месяцы, и приобрести квартиру, машину, дачу, то я тебя сразу разочарую.
Я рассматриваю Кардинг как бизнес, и ни как иначе. А в чем сущность бизнеса? Она состоит в соединении материальных, финансовых, трудовых и информационных ресурсов в целях производства товаров, предназначенных для получения выгоды. Такое соединение может быть кратковременным или долговременным (это связано и со стабильностью спроса, и с возможностями отвлечения ресурсов и с другими аспектами).
То есть без этих составляющих бизнес работать не будет. И чем больше этих составляющих у тебя есть в количественном и качественном отношении, тем большую выгоду ты можешь извлечь.
Ты задумаешься: «А какими же ресурсами ты сейчас обладаешь?». Отвечаю, как минимум материальными и трудовыми. После прочтения тем форума, ты еще прибавишь информационный ресурс.
И тогда дело останется за малым – обрести финансовую составляющую.
Итак, начнем:
Первое, что тебе нужно сделать, это прочитать форум. ВЕСЬ. От «Вопросов новичков» до «Блэк листа». Заведи себе текстовый документ, и всю инфу, которая тебе покажется важной, скидывай туда. И помни: информация – валюта 21 века. Эта информация лежит у тебя под носом, но многие ее не замечают. Простой пример: прочитав весь блэк-лист с вложенными логами, я нашел два банка, которые очень неплохо льются))).
Прочитал? Все прочитал? Все осмыслил?
Тогда дальше мне писать нет смысла, ты и так очень много знаешь.
Переходим к этапу накопления финансовых ресурсов.
Тут все зависит от твоих способностей.
Если знаешь английский язык на уровне разговорного, устройся работать прозвонщиком, будешь получать 5 wmz за каждый совершенный звонок, плюс научишься выходить из нестандартных ситуаций, а самое главное - узнаешь список шлющих шопов и льющихся банков.
Помести объявление, что готов работать вбивалой за символическую плату. Ты набьешь руку на вбиве картона, познакомишься с различными биллинговыми системами, и опять же, если кто-то говорит тебе, что что-то нужно куда-то вбить, значит, это ему приносит деньги. Прочитай все об этом сайте и пойми способ, которым этот человек зарабатывает.
Итак, ты заработал свои первые копеечки при помощи кардинга. Теперь главное - их потратить с умом: купить картон, соксы и начать вбивать. Советую работать по нескольким фронтам:
1.Зарегистрироваться в Affiliate programs и немного вбить туда. Это до сих пор работает. Статей на эту тему написано много.
2.Найти дропа или взять его у дроповода и шипать на него недорогой стафф, который шлет на отличный от биллинга адрес. Чаще всего такие шопы просят прозвон, но разговаривать-то ты уже умеешь.
3.Разместить на аукционах и форумах объявления о продаже Steam, Skype, Rapidshare и т.п. аккунтов.
Можно еще купить 10-20 мб логов у селлеров. Конечно, хороших банковских счетов ты там не найдешь. Как бы мы все не клялись и не божились, мы просматриваем ВСЕ логи на наличие нескольких линков, которые мы ой как не хотим, чтобы ушли в паблик. Но, тем не менее, в этих логах очень много полезного. Если повезет, ты там найдешь несколько банк акков, пэйпал, ибей. Все эти акки советую немедленно продать, и не пытаться в них ковыряться или обналичить. Сейчас тебе нужны стабильные деньги. И риск тут ни к чему.
И вот прошло 2-3 недели, и у тебя на кошельке определенная сумма, которая позволит тебе двигаться дальше. Вот тут стоит задуматься, что тебе больше всего подходит. Я распишу основные направления, с плюсами и минусами.
1.Вещевуха
Плюсы: если заниматься ей определенное время, то это может дать тебе высокий процент дохода при низкой себестоимости. Если сдружишься с дроповодом и он согласится принимать не только электронику, но и другой стафф (50x50%),то у тебя дома появится много интересных и полезных вещей, на которые ты никогда бы не потратился в обычной жизни
Минусы: очень много проблем с доставкой посылки. Важно не только заставить шоп отослать товар, но и получить его. Дроп может кинуть, дроповод может кинуть, разводной дроп может отказать принимать товар на чужое имя, к нему может прийти полиция, почтальон может везти две посылки с одинаковым адресом, но с разными именами холдера, и не выдать их без предъявления ID и т.д.
2.Заливы
Плюсы: главный – это суммы. Даже при заливе в 1к ты получишь 400$, что очень даже неплохо. Это быстрые деньги – 1-3 дня и ты получил свою выплату.
Минусы: их много. Цена аккаунта: минимум акк стоит 40-50 wmz. Нечистый на руку продавец акков может продать акк в двое рук, холдер может заметить несанкционированный доступ к счету, банк может заподозрить фрауд-транзакцию, дроп может кинуть, у дропа могут локнуть счет, дроп не сможет выдать инфу о переводе, холдере или предоставить инвойс и т.д.
3.Казино
Плюсы: это интересно. Можно зарабатывать очень неплохие деньги. В отличие от шопов и банков, казино не может умереть полностью, а может просто ужесточить правила, но, тем не менее, можно работать по 2-3 общеизвестным румам и продолжать зарабатывать.
Минусы: нужно уметь играть. Потребуется очень много времени, чтобы найти баланс игры. Сливать деньги в кази - целое искусство. Тебе потребуется крупная сумма твоих денег на депозиты чистых аккаунтов, и нет гарантии, что казино не локнет твой аккаунт. И очень сложно будет до них достучаться, иногда они просто игнорируют твои сообщения. В итоге - затратный процесс верификации чистого акка.
4.Зевс. Создание ботнета.
Плюсы: «Приятно владеть маленькой армией зомби» (c.Бендер). Их много. У тебя будет много банковских аккаунтов, ты сможешь без особых финансовых затрат пробовать лить их. Сможешь продавать банк акки, различные аккаунты, продавать логи. Ты получишь свои собственные соксы.
Минусы: требует постоянных капиталовложений. Оплата трафика, хостинга, крипта, покупка новых связок. Могут налить плохой трафик и не получишь нормальных акков, постоянно будут лочить домен со связкой, боты умирают, не успев отослать всю инфу.
5.Работа в реале. Обналичка дампов в магазине.
Плюсы: это, пожалуй, единственное направление, в котором стабильно работает принцип выплаты день в день. С одной карты можно купить товара от 700 до 3-4 к $.
Минусы: главный минус – высокий риск быть пойманным. Очень крупные материальные затраты, для нормального старта тебе нужен принтер, голограммы, эмбоссер, лента для подписи, левые документы. Дампы часто «не выстреливают», а значит, можно остаться в минусе. Плюс ко всему, необходимо постоянно выезжать в другую страну. Обсуждение работы по РФ на форуме запрещено, и я тебе этого не советую делать. Можно найти много неприятностей. И я говорю не только об идее патриотизма и нашей доблестной милиции, есть еще службы безопасности банков и сетевых магазинов, которые, если тебя поймают, к твоему огромному сожалению, не будут передавать тебя в милицию, а решат вопрос на месте.
6.Датинг скам.
Плюсы: лохи не переведутся никогда.
Минусы: гемморой страшный. Очень долго. Можно раскручивать на 500$ целый месяц. Пристальный интерес милиции к этого рода мошенникам.

На этом, пожалуй, я закончу. И напоследок.
Когда что то покупаешь или продаешь, работай через ГАРАНТ или с кодом протекции. Не ведись на подозрительно низкую цену или на то, что продавец торопится.
Всегда думай о своей безопасности: не используй личный e-mail, номер телефона, icq при регистрации или общении на кардинг тематику. При входе на форумы чисти кукисы.
Используй VPN ВСЕГДА.
Не используй кошелек, по которому производишь расчеты с кардерами, в личных целях (оплата интернета, пополнение сотового, покупка товаров на свое имя).
И последнее. Если ты действительно решил зарабатывать на кардинге, то относись к нему как к работе. Установи для себя время, например 5 часов в день, и эти часы проводи именно в работе: поиске новых сайтов, проверке логов, поиске новых способов заработать.
Удачи и успехов.