Le carding est une pratique illégale qui consiste à obtenir, à trafiquer ou à utiliser des informations de carte bancaire sans autorisation, souvent pour acheter des cartes cadeaux ou des cartes prépayées. Le carding est synonyme d'usurpation d'identité, de pertes financières pour les particuliers et les entreprises ainsi que de nombreux autres cybercrimes.

Les pertes liées à la fraude à la carte dans le monde ont dépassé les 43 milliards de dollars en 2026. Pour lutter contre le carding, les organisations utilisent des mesures de sécurité telles que la tokenisation, le chiffrement, l'authentification à plusieurs facteurs et les systèmes de surveillance anti-fraude. Ce guide à destination des entreprises rassemble toutes les informations utiles sur le carding, notamment concernant son fonctionnement et les moyens de s'en protéger.

Sommaire

• Fonctionnement du carding
  
• Conseils aux entreprises pour se protéger du carding
  
• Rôle du dark web dans le carding
  
• Conséquences du carding sur les entreprises et les consommateurs
  
• Brève histoire du carding
  
• Comment Stripe Radar peut vous aider
  

Fonctionnement du carding

Vol des informations de carte bancaire

Le processus de carding est initié par des acteurs malveillants, ou « carders », qui dérobent les informations des cartes bancaires, notamment par le biais de l'hameçonnage, du skimming, des violations de données ou de l'enregistrement de frappes.

Voici quelques méthodes courantes pour voler les informations de carte :

• Hameçonnage : utilisation d'e-mails, de sites Web ou de messages trompeurs pour inciter les particuliers à révéler des informations relatives à leur carte bancaire. Pour ce faire, ces acteurs malveillants se font souvent passer pour des entreprises ou des services légitimes.

• Skimming : installation de dispositifs appelés « skimmers » sur les distributeurs automatiques de billets, les pompes des stations-service ou les terminaux de points de vente (PDV) pour capturer les informations des cartes bancaires physiques.

• Piratage informatique : utilisation de logiciels malveillants, de ransomwares ou d'accès non autorisés pour infiltrer des systèmes informatiques ou des bases de données et voler des informations de cartes bancaires.

• Enregistrement de frappes : utilisation d'un logiciel ou de matériel dédié pour enregistrer les frappes réalisées sur l'appareil d'une victime de façon à obtenir des informations de carte bancaire et d'autres données sensibles.

• Injection SQL : insertion de code SQL malveillant dans la base de données d'un site Web afin d'extraire des informations sensibles, notamment les informations de cartes bancaires.

• Shoulder surfing : arnaque qui consiste à voler les informations de carte bancaire en observant par-dessus l'épaule des victimes les données qu'elles saisissent aux distributeurs automatiques de billets et aux caisses des magasins.

• Détournement de formulaires : compromission par des acteurs malveillants de formulaires en ligne se trouvant sur des sites Web légitimes et destinés à recueillir les informations relatives aux cartes bancaires des utilisateurs.

• Fausses applications et faux sites Web : création de fausses applications ou de faux sites Web qui semblent légitimes et incitent les utilisateurs à fournir leurs informations de carte bancaire.

• Attaques par force brute : utilisation de logiciels automatisés pour deviner les numéros de cartes bancaires, souvent en essayant différentes combinaisons numériques jusqu'à en trouver une valide.

Les informations de cartes bancaires volées sont souvent revendues sur des marchés clandestins sur lesquels les acheteurs peuvent se procurer les numéros des cartes, leur date d'expiration, leur code CVV et les adresses de facturation associées.

Test de la validité des cartes

Une fois les informations de carte bancaire volées achetées, les acteurs malveillants utilisent des bots pour valider ces données. Ces agents logiciels automatisent le processus de réalisation de petites transactions sur les sites e-commerce afin de vérifier si la carte associée est active et peut être utilisée sans déclencher d'alerte à la fraude.

Réalisation de transactions frauduleuses

Après avoir validé la légitimité d'une carte, les acteurs malveillants utilisent les informations associées pour réaliser des achats non autorisés. Ils ciblent souvent des articles de grande valeur ou des cartes cadeaux qui peuvent être revendus moyennant un paiement en espèces ou être utilisés à des fins personnelles. Les bots permettent aux acteurs malveillants d'automatiser et d'étendre ce processus, en ciblant plusieurs sites Web et en effectuant de nombreuses transactions dans un court laps de temps.

Contournement des détections

Les carders utilisent toute une gamme d'outils et de tactiques pour échapper à la détection lorsqu'ils commettent des fraudes. Ils ont souvent recours à des proxys et à des VPN pour masquer leur véritable emplacement, ce qui rend plus difficile pour les plateformes d'e-commerce de signaler les activités suspectes. Les carders utilisent également des bots aléatoires pour imiter le comportement humain et contourner la détection des fraudes, tandis que les réseaux distribués de bots répartissent les attaques pour éviter d'attirer l'attention. De plus, les fraudeurs convertissent rapidement les biens volés en espèces en les revendant en ligne ou via des réseaux locaux, ce qui complique encore davantage les efforts visant à retracer leurs actions.

Conseils aux entreprises pour se protéger du carding

Les systèmes sophistiqués de détection des fraudes utilisent l'intelligence artificielle pour identifier les comportements et les habitudes d'achat inhabituels. Voici comment les entreprises peuvent utiliser ces technologies et d'autres pratiques pour se protéger.

• Système de vérification d’adresse (AVS) : l’AVS compare l’adresse de facturation fournie par l’utilisateur à celle enregistrée auprès de l’émetteur de la carte. Il s’agit d’un outil de prévention de la fraude basique mais efficace.

• Analyse comportementale : analysez le comportement des utilisateurs sur votre plateforme pour identifier les anomalies telles que les transactions rapides, les tentatives répétées avec des numéros de carte différents ou les schémas de géolocalisation inhabituels.

• Notation dynamique des risques et authentification à plusieurs facteurs : attribuez des scores de risque aux transactions en fonction de plusieurs facteurs, notamment la prise d'empreinte d'appareil, l'adresse IP, la géolocalisation et les données historiques. Une authentification à plusieurs facteurs pourra être déclenchée par les transactions à haut risque.

• Code de vérification de carte (CVV) : exiger des clients qu’ils saisissent leur CVV permet de confirmer que l'acheteur est physiquement en possession de la carte, ce qui réduit le risque d'utilisation non autorisée de numéros de carte volés.

• Tokenisation : convertissez les informations sensibles relatives aux cartes bancaires en jetons sécurisés lorsque vous les utilisez en interne, de façon à limiter l'exposition des données brutes des cartes et à réduire le risque de vol.

• Chiffrement de bout en bout : chiffrez les informations sensibles de leur capture à leur stockage en passant par leur traitement afin de réduire le risque d'interception et d'accès non autorisé.

• Stockage sécurisé des données : stockez les informations relatives aux cartes bancaires dans des bases de données chiffrées dont l'accès est limité. Mettez en place un contrôle des accès basé sur les rôles et assurez-vous que seul le personnel autorisé peut consulter les données sensibles.

• Surveillance des transactions en temps réel : surveillez les transactions en temps réel de façon à identifier les activités potentiellement frauduleuses. Appuyez-vous sur les alertes automatisées pour permettre aux équipes de sécurité d'intervenir sans délai.

• Équipes d'intervention en cas d'incident : créez des équipes spécialisées de réponse aux incidents et des protocoles clairs pour traiter les événements liés au carding.

• Partage de renseignements sur les menaces : adhérez à des programmes de partage d'informations sur les menaces afin de rester informé des nouvelles tendances et techniques de carding.

• Collaboration avec les forces de l'ordre : collaborez avec les organismes d'application de la loi spécialisés dans la cybercriminalité afin de faciliter les enquêtes et le démantèlement des opérations de carding.

• Solutions CAPTCHA : utilisez des solutions CAPTCHA avancées ou des options de substitution telles que reCAPTCHA v3 qui ne requièrent aucune interaction de la part de l'utilisateur, mais qui peuvent détecter les comportements comparables à ceux de bots.

• Limite d'appels et de débit : mettez en place des limites de débit ou des contrôles de vitesse pour restreindre le nombre de transactions ou de tentatives provenant d'une seule adresse IP ou d'un seul utilisateur dans un laps de temps donné.

• Prise d'empreinte d'appareil : identifiez les caractéristiques uniques des appareils de façon à détecter l'activité automatisée des bots. Vous éviterez ainsi que ces derniers ne testent un grand nombre d'informations de carte bancaire volées.

• Alertes et notifications de fraude : envoyez des alertes aux clients dès qu'une activité suspecte est détectée afin de leur permettre de confirmer ou de refuser rapidement les transactions.

• Éducation de la clientèle : sensibilisez les clients aux risques liés au carding et aux bonnes pratiques en matière de protection des informations relatives à leurs cartes bancaires. Vous contribuerez ainsi à réduire la probabilité de réussite des attaques par hameçonnage ou par ingénierie sociale.

Rôle du dark web dans le carding

Le dark web permet des transactions anonymes difficiles à tracer ou à intercepter pour les forces de l'ordre. La plupart des paiements utilisent des cryptomonnaies telles que le bitcoin, qui masquent l'identité des acheteurs et des vendeurs.

Les marketplaces reposent sur le chiffrement, les services cachés et une infrastructure distribuée pour protéger leurs utilisateurs et rester en ligne malgré les efforts visant à les faire fermer. Même lorsque ces sites sont fermés, les communautés dynamiques telles que les forums de carding réapparaissent souvent sous de nouveaux noms, ce qui les rend difficiles à éliminer complètement.

Les marketplaces du dark web sont des plateformes centrales pour le commerce de biens et de services illicites, en particulier liés à la fraude financière. Elles proposent des données de carte de crédit volées, souvent organisées par type ou pays, ainsi que des outils de carte tels que des robots et des logiciels malveillants qui aident à automatiser la fraude. Ces marketplaces fournissent également des services connexes tels que la validation des cartes de crédit, l'assistance aux encaissements et la création de fausses pièces d'identité.

Les communautés du dark web sont des pôles de connaissances où les carders expérimentés partagent des techniques, des guides et des conseils avec les nouveaux venus. Ces plateformes permettent également de créer des réseaux et de collaborer, facilitant ainsi la coordination d’opérations de fraude plus sophistiquées.

Conséquences du carding sur les entreprises et les consommateurs

Conséquences pour les entreprises

• Pertes financières : en cas de transactions frauduleuses, les entreprises prennent souvent en charge le coût des contestations de paiement et des remboursements. Cela peut avoir un impact sur leurs résultats, en particulier pour les petites et moyennes entreprises (PME).

• Atteinte à la réputation : les incidents liés au carding peuvent nuire à la réputation des entreprises. En effet, les clients victimes de fraude sur leurs plateformes risquent d'être échaudés et de laisser des commentaires négatifs.

• Coûts opérationnels : la lutte contre le carding implique d'investir dans des mesures de sécurité, des systèmes de détection de la fraude et une assistance à la clientèle efficaces pour traiter les problèmes liés à la fraude. Les coûts induits peuvent être considérables.

• Surveillance accrue : les taux élevés de fraude peuvent entraîner une surveillance accrue de la part des prestataires de services de paiement, susceptible de se traduire par des frais plus importants, des exigences plus strictes, voire la clôture des comptes marchands.

• Risques liés à la conformité réglementaire : les entreprises sont tenues de se conformer à des réglementations telles que la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS). Le non-respect de cette conformité à la suite d'incidents liés au carding peut entraîner des amendes et des répercussions juridiques.

Conséquences pour les clients

• Compromission de compte : les consommateurs dont les informations de carte bancaire ont été volées peuvent se rendre compte que des frais non autorisés ont été prélevés sur leur compte. Une telle situation les oblige à consacrer du temps et des efforts pour collaborer avec leurs banques et les sociétés émettrices de cartes bancaires afin d'annuler les paiements frauduleux et de récupérer leurs fonds, ce qui peut constituer un processus long et source de frustrations.

• Usurpation d'identité : le carding peut conduire à des usurpations d'identité plus larges, dans le cadre desquelles les acteurs malveillants utilisent les informations des cartes bancaires volées pour ouvrir de nouveaux comptes, souscrire des prêts ou commettre d'autres formes de fraude.

• Détresse émotionnelle : la découverte de frais non autorisés et la gestion des conséquences du carding peuvent provoquer une détresse émotionnelle et de l'anxiété chez les victimes.

• Impact sur la solvabilité : dans certains cas, la fraude liée au carding peut affecter la cote de solvabilité des consommateurs, en particulier si elle entraîne des retards ou des défauts de paiement.

Brève histoire du carding

Les débuts et l’essor d’Internet

À l'origine, le carding s'appuyait principalement sur des méthodes physiques pour obtenir les informations des cartes bancaires. Les acteurs malveillants passaient par le vol de portefeuilles ou de sacs à main pour se procurer les cartes ou plaçaient des dispositifs sur les distributeurs automatiques de billets ou sur les terminaux de point de vente pour capturer les informations lors de l'introduction des cartes. L'existence de skimmers a été révélée vers 2002.

Avec le développement d'Internet, le carding s'est déplacé en ligne, donnant lieu à de nouvelles techniques telles que l'hameçonnage et le piratage des bases de données des entreprises pour voler de grandes quantités d'informations de cartes bancaires. Bien que l'hameçonnage existe depuis les années 1990, cette pratique est devenue plus courante au début des années 2000 à mesure qu'Internet a gagné en popularité.

De nouvelles technologies émergent

L'essor de l'automatisation et des logiciels avancés a conduit à la sophistication des techniques de carding. Les bots ont automatisé le processus de test et de validation des cartes, permettant aux acteurs malveillants d'étendre leurs opérations et d'intensifier la fraude. En parallèle, le recours aux réseaux distribués de bots pour tester de grandes quantités de données de cartes de crédit volées a permis de réduire le risque de détection en répartissant l'activité sur plusieurs sites et adresses IP.

Les mesures de sécurité ont également évolué à mesure que les cartes ont gagné en sophistication. La technologie de carte à puce associée d'un code PIN est devenue la norme dans les années 2010, avec pour objectif de rendre plus difficile le clonage des cartes physiques, ce qui a obligé les acteurs malveillants à se tourner davantage vers les arnaques en ligne. Les plateformes e-commerce ont commencé à mettre en œuvre des systèmes de détection des fraudes basés sur l'apprentissage automatique et l'IA pour identifier les transactions et les mécanismes suspects. Les CAPTCHA et l'authentification à plusieurs facteurs ont été introduits pour empêcher les bots d'exploiter les systèmes en ligne.

Les carders continuent de s'adapter aux nouvelles mesures et technologies de sécurité en apportant leurs propres innovations. Ces nouvelles techniques incluent le « détournement de formulaires » (insertion d'un code malveillant dans des formulaires en ligne pour capturer les informations des cartes bancaires), la fraude à l'identité synthétique (création de fausses identités à l'aide de données volées pour ouvrir des comptes de crédit) et la prise de contrôle de comptes (utilisation d'informations volées sur les cartes pour obtenir un accès non autorisé à des comptes existants).

Comment Stripe Radar peut vous aider

Stripe Radar forme des modèles d'IA pour détecter et prévenir la fraude, en utilisant des données du réseau mondial de Stripe. Il met continuellement à jour ces modèles en fonction des dernières tendances de fraude, et protège ainsi votre entreprise à mesure que la fraude évolue.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d'ajouter des règles personnalisées pour traiter des scénarios de fraude propres à leurs entreprises et d'accéder à des informations avancées sur la fraude.

Radar peut aider votre entreprise à :

• prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements chaque année. Ce volume considérable permet à Radar de détecter et de prévenir la fraude avec précision, et de vous faire économiser de l'argent.
  
• augmenter les revenus : les modèles d'IA de Radar sont formés sur des données de litiges, des informations clients, des données de navigation, et d’autres données réelles. Cela permet à Radar d'identifier les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.
  
• gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances en matière de fraude, rédiger des règles, etc. sur la même plateforme, et gagner ainsi en efficacité.
  

En savoir plus sur Stripe Radar, ou commencer dès aujourd'hui.