银行卡测试攻击是指欺诈分子通过支付系统运行小额交易来验证被盗卡信息（例如卡号、过期日期和 CVC），以确认该卡处于活跃状态。

这种类型的欺诈使用合法的交易流程以防止被发现。欺诈分子经常将目标锁定在已知处理大量低额交易的网站上，因为这些网站不太可能触发警报。一旦一张卡通过了最初的“测试”阶段并被视为活跃和未被冻结，它对欺诈分子的价值就会大幅增加。他们可能接着会自己使用该卡进行大宗采购，或者在黑市上出售该卡信息。

银行卡欺诈正在加速发生，而银行卡测试攻击是最常见的切入点之一。仅在 2025 年的前三个季度，向联邦贸易委员会报告的信用卡欺诈案件就超过 50 万 起——比 2024 年同期多出近 18 万起。预计到 2030 年，全球银行卡欺诈损失将达到410.6 亿美元。这些交易的数字属性还意味着可以在任何地方进行，从而使执法工作复杂化，并增加了试图保护其客户财务信息的商家和金融机构面临的挑战。

下面，我们将解释商家需要了解的关于这种类型的欺诈的知识，以及如何保护自己免受其害。

本文内容

• 什么是银行卡测试攻击？
  
• 银行卡测试攻击欺诈是如何运作的？
  
• 银行卡测试攻击欺诈如何影响商家和客户
  
• 银行卡测试攻击欺诈的迹象
  
• Stripe 会关注什么？
  
• 如何保护您的商家免受银行卡测试攻击欺诈
  
• 如何应对银行卡测试攻击欺诈
  
• Stripe Radar 如何提供帮助
  

什么是银行卡测试攻击？

银行卡测试攻击是指不良行为者试图通过在缺乏适当验证控制的支付系统上使用被盗卡信息（如卡号、到期日期或卡安全码 (CVC)）来验证它们是否有效。如果扣款成功（甚至是以特定的原因代码被拒绝），他们就知道该卡是真实的。

银行卡测试欺诈是如何运作的？

银行卡测试攻击欺诈的运作过程相对简单。进行银行卡测试攻击欺诈主要有两种方式：

• 人工测试：欺诈分子手动尝试卡信息，并根据拒绝代码进行调整。它的体量小、影响低，但仍然是一个信号。

• 枚举：更为复杂的恶意行为者使用自动化脚本和机器人程序来一次性识别许多信用卡。这尤其危险。

欺诈分子获取被盗卡号，对其进行测试以确保可以使用，然后使用它们。以下是关于该过程如何展开的更多细节：

1. 欺诈分子获取被盗卡号：恶意行为者获取来自数据泄露、网络钓鱼诈骗或暗网市场的被盗信用卡号。

2. 他们进行低额的测试交易：测试阶段包括进行小额网站上的交易。恶意行为者经常瞄准以小额交易闻名的平台（例如数字服务或慈善捐款页面），那里的欺诈检测不那么严格。

3. 他们确认哪些卡是活跃的：对欺诈分子的关键是确认信用卡活跃且尚未被挂失，且已获批准的交易发出了这个信号。在未严格验证开单地址等额外信息的网站上，该过程变得更容易。

4. 他们使用或出售已验证的卡：一旦卡经过验证，它在黑市上的价值就会提高。欺诈分子现在可以放心地使用它进行金额更大的未经授权的购买，或将卡信息出售给他人。

银行卡测试攻击通常是更广泛欺诈攻击的领先指标，但实际的欺诈活动可能数月后才发生或被发现，且经常发生在一个完全不同的商家处。这使其尤其难以追踪。

银行卡测试欺诈如何影响企业和客户

银行卡测试攻击会给商家带来各种挑战。以下是最常发生损害的地方：

对企业的影响

• 财务损失：当客户对未经授权的扣款提出争议时，商家需承担交易争议的费用。

• 运营成本增加：维护欺诈检测系统及处理欺诈善后工作需要额外的开支。

• 声誉受损：反复发生的事件会削弱客户的信任度，并可能降低销售额。

• 发卡行和处理商的审查更加严格：高水平的欺诈可能导致信用卡发卡行和处理商加大审查力度并实施制裁，提高处理费，或者在极端情况下，丧失处理信用卡支付的能力。

对客户的影响

• 财务上的不便：银行卡测试攻击欺诈的受害者面临着对扣款提出争议以及补发新卡的麻烦。尽管客户通常无需对欺诈性扣款负责，但解决这些问题可能十分耗时。

• 隐私担忧：意识到自己的卡信息被盗用和滥用会导致对隐私和安全产生焦虑。

• 潜在的更大财务危害：尽管银行卡测试攻击涉及的金额很小，但它可能是可能影响客户信用评分的更大未经授权交易的前兆。一旦卡信息被验证为有效，它们就可能被用于更严重的欺诈或在黑市上出售。

银行卡测试欺诈攻击的迹象

识别和应对银行卡测试攻击对于企业保护自身及客户至关重要。了解这些迹象并实施有效的监测系统是这一过程中的关键步骤。以下是一些银行卡测试攻击的常见迹象：

• 多笔小额交易：一系列通常连续发生的小额交易，可能是银行卡测试攻击的强烈指标。这些金额通常低到足以避免被发现。Stripe 监控此类验证扣款。

• 使用多张卡：从同一 IP 地址或设备多次尝试使用不同的卡号是一个危险信号。这表明有人正在测试一批卡号。

• 失败的交易：大量被拒绝的交易也可能表明存在银行卡测试攻击，因为欺诈分子经常使用无效或过期银行卡的卡号。Stripe 监控没有过往 Stripe 历史记录的商家的拒付率较高的情况。Stripe 还会关注由于过期日期不正确或未识别的主账号 (PAN) 导致的拒绝，这些拒绝不是发生在月底开单周期结束时（此时这些拒绝更典型）。这些因素表明恶意行为者正在循环尝试各种组合。

• 开单信息不一致：提供的开单信息与卡信息不匹配的交易可能表明存在欺诈活动。

及早发现取决于知道要寻找什么，并在出现信号时迅速采取行动。

Stripe 会关注什么？

Stripe 使用一系列信号来识别银行卡测试攻击事件。以下是我们监控的一些关键指标：

• 拒绝激增：验证卡片的欺诈分子经常输入错误的信息，导致拒绝授权的情况增加。某些特定的拒绝原因通常表明遭受了银行卡测试攻击：

  • 无卡片记录：在尝试识别卡信息时，恶意行为者可能会输入未分配给任何持卡人但关联到银行识别码 (BIN) 且可在我们的系统中找到的卡信息。用户无法看到此信息，因为这些卡并未链接到他们。这些卡开始被拒绝可能暗示着正在进行银行卡测试攻击。
    
  • 不正确的过期日期：通常情况下，欺诈分子缺乏过期日期和卡安全码 (CVC) 等精确细节，因此他们尝试各种组合。这些拒绝表明恶意行为者已识别出一个有效的 PAN——且他们根据拒绝原因知道了这一点。
    

• 账户验证激增：账户验证是商家确认交易所使用的信用卡是否有效的过程。在此过程中，会进行一笔小额（通常是临时的）“验证扣款”，以确保卡有效并有可用余额。账户验证突然激增可能是银行卡测试攻击的指标。

• 新收单商家的授权和拒绝：我们会监控过往从未在 Stripe 见过的收单商家的活动。如果发现新商家的因过期日期不匹配或卡不存在导致的拒绝量极高，我们就会采取行动以防止优秀商家被利用，以及不良商家进行欺诈。

如何保护您的企业免受银行卡测试欺诈

保护您的商家免受银行卡测试攻击涉及结合有效的安全措施、高级工具、在支付处理中的最佳实践，并确保您的员工了解在发现银行卡测试攻击的迹象时该如何应对。这些策略旨在识别并减轻欺诈活动的风险，同时为合法客户提供顺畅的体验。

有效的安全措施和工具

• 地址验证系统 (AVS)： AVS 会比较用户提供的账单地址和存档在信用卡公司系统中的账单地址。不一致的情况可能标志着潜在的欺诈行为。

• CVV 验证： 要求为交易提供 CVV，有助于确保购买者实际拥有这张银行卡，从而降低网上获取的卡号被欺诈使用的风险。

• 设置交易限制： 确定特定时间范围内每张卡允许的交易数量或总金额的限制，以防止多次欺诈尝试。阻止在您预计您的用户不会进行交互的国家/地区进行交易，并阻止在您预计您的用户不会使用的类别（例如数字商品或广告平台）内进行交易。如果一张银行卡信息遭到泄露，请立即使用 Cards API 或 Tokens API 取消或冻结它。

• 安装高级欺诈检测工具： 投资能够利用机器学习 (ML) 和人工智能来分析交易模式，并标记出指示银行卡测试攻击的异常情况的工具。

• 多因素身份验证 (MFA)： 对于看起来可疑的交易，实施额外的身份验证层可以威慑欺诈行为者。

支付处理中的最佳实践

• 监控拒绝次数的激增和低金额审批的情况： 留意在当月或结算周期内出乎意料的时间点由于到期日或卡安全码 (CVC) 不正确而发生的拒绝情况。对于与订阅关联的银行卡，此类拒绝的增加往往在月末很常见，但如果发生在其他时间点，这往往就是警示信号。通常，欺诈者在拒绝次数激增之后，会尝试提高低额度交易的审批率。

• 注意消费模式的变化： 大额采购、突然在国外进行消费，以及在几秒钟内在同一商家处进行多次消费的情况都值得深入调查。

如何应对银行卡测试欺诈攻击

如果检测到银行卡测试攻击，请迅速采取行动。

检测到银行卡测试欺诈时应采取的步骤

• 立即冻结可疑交易： 一旦怀疑出现银行卡测试攻击，请检查相关的交易。冻结任何与疑似欺诈活动相关正在进行的交易，以防止发生进一步的未经授权的活动。

• 对处于临界状态的交易进行强化验证： 如果某些交易引起怀疑，但不能最终判定为欺诈，请实施强化 验证流程。这可能包括联系客户进行确认或要求额外的身份验证。

• 分析攻击范围： 对交易模式进行全面分析，以了解攻击的范围和方法。这有助于识别源头和系统中的潜在弱点。

• 收紧欺诈检测参数： 根据分析，调整您的欺诈检测参数，使其对事件期间观察到的那种活动更加敏感。这可能涉及收紧交易限制或修改警报触发器。

受影响企业的报告程序和恢复措施

• 通知您的金融合作伙伴： 立即通知您的金融合作伙伴，包括银行和银行卡处理机构有关该事件的信息。他们可以帮助监测进一步的可疑活动，并在他们那边采取必要的行动。

• 向执法部门报告大规模事件： 在大规模欺诈事件中，建议向执法部门报告。当局可能会展开调查并努力抓捕肇事者。

• 如有必要请引入网络安全专业人员： 如果攻击很复杂，或者如果您担心系统漏洞，那么与网络安全专家合作可以帮助确定攻击是如何发生的以及如何防止此类事件发生。

• 迅速与受影响的客户沟通： 与受影响的客户保持透明的沟通。通知他们此事件，并建议他们应该采取哪些步骤，例如监控他们的信用报告或更换银行卡。让他们了解最新的安全措施，并鼓励他们报告任何与其交易相关的可疑活动。

• 事件发生后审查并加强您的防御措施： 在事件发生后，对您的安全措施进行全面审查。加强您的防御措施可能包括更新软件、修改协议或对员工进行新的安全实践培训。

• 记录发生的事情并进行调整： 将此事件作为学习的机会。分析发生了什么，您的应对措施中哪些有效，哪些地方需要改进。相应地调整您的策略，以更好地应对威胁。

详细了解 Stripe 如何帮助保护商家免受银行卡测试攻击。

Stripe Radar 如何提供帮助

Stripe Radar 使用 AI 模型来检测和预防欺诈，这些模型基于 Stripe 全球网络的数据进行训练。随着欺诈手段的不断演变，它会根据最新的欺诈趋势不断更新模型，从而保护您的业务。

Stripe 还提供 Radar 风控团队版，该版本允许用户添加自定义规则，以应对特定于其业务的欺诈情境，并支持获得高级欺诈洞察。

Radar 可以帮助您的企业：

• 防止欺诈损失：Stripe 每年处理超过 1 万亿美元的支付。这种规模独特地使 Radar 能够帮助检测并防止欺诈，从而为您省钱。

• 增加收入：Radar 的 AI 模型基于真实的争议数据、用户信息、浏览数据等多维度信息进行训练。赋予 Radar 识别高风险交易并减少误报的能力，从而增加您的收入。

• 节省时间：Radar 内置在 Stripe 中，无需编写任何代码即可启用。您还可以在同一个平台上监控反欺诈表现、编写规则等，从而提高效率。

了解更多 Stripe Radar 信息，或立即开始使用。