Qu’est-ce que le piratage de cartes bancaires et le carding ? Comment éviter ces menaces ?

Le « card cracking », également appelé « card testing » et apparenté au « carding », est un type d’attaque par force brute qui consiste à utiliser des bots pour deviner les valeurs manquantes dans les données de cartes de crédit ou de débit volées sur l’interface de paiement d’une plateforme de commerce électronique. Si toutes les données de la carte sont présentes, les bots peuvent vérifier la validité des informations de paiement volées en effectuant de petites transactions. Par conséquent, il est important d’éviter les attaques par force brute pour éviter des conséquences désastreuses.

La fraude est un problème très répandu dans le commerce électronique. Et aujourd’hui, les fraudeurs agissent rarement seuls : la majorité des menaces pesant sur votre point de vente proviennent désormais de puissants réseaux d’attaquants automatisés, les bots.

Le carding et le card cracking sont deux exemples courants de fraude à la carte orchestrée par des bots. Les cybercriminels exploitent la puissance des bots de cartes de crédit pour tester les données de cartes volées sur vos processus de paiement afin d’identifier les informations de carte valides ou les valeurs manquantes des informations de cartes de paiement volées, dans le but de commettre des fraudes par carding.

Dans cet article, nous examinons comment les cybercriminels mènent des attaques automatisées de cracking et de carding de cartes de crédit, comment ces attaques se déroulent, quelles sont les stratégies de défense les plus courantes, et comment vous pouvez éviter les attaques de carding et de cracking de cartes grâce à une solution de protection contre les bots en temps réel.

Principaux enseignements

• Le « card cracking » est une attaque par force brute dans laquelle des bots tentent de deviner les valeurs manquantes des données de cartes de crédit ou de débit volées, telles que les dates d’expiration et les codes CVV, sur les interfaces de paiement des sites de commerce électronique.
• Les attaques de « carding » utilisent des bots pour tester des ensembles complets de données de cartes volées au moyen de petites transactions, afin de vérifier quelles cartes sont valides et disposent de fonds disponibles.
• Le « carding » et le « card cracking » entraînent des pertes financières sous forme de frais d’authentification des paiements, d’une forte consommation de ressources serveur, de plaintes de clients et d’une grave atteinte à la réputation des marques.
• Les approches traditionnelles de sécurité basées sur l’adresse IP ne sont plus efficaces, car les acteurs malveillants utilisent désormais des proxys résidentiels et des plateformes de bots-as-a-service qui font passer les requêtes malveillantes pour des requêtes légitimes.
• Le Rapport mondial 2025 sur la sécurité face aux bots de DataDome a révélé que 61,2 % des sites web ne sont absolument pas protégés contre les attaques simples de bots, exposant ainsi leurs points de paiement au carding, au credential stuffing, à la création de faux comptes, et plus encore.

Qu’est-ce que le piratage de cartes ?

Le piratage de cartes (OAT-010), également connu sous le nom de card cracking ou card testing, est une menace automatisée qui vise les sites de commerce électronique. Des bots malveillants sont utilisés pour exécuter des attaques par force brute contre l’interface de paiement d’un commerçant en ligne afin d’identifier les valeurs manquantes des données des cartes de crédit ou de débit volées, telles que la date d’expiration, le cryptogramme visuel (CVC) ou le numéro d’identification de carte, par exemple.

Une fois qu’ils ont identifié des cartes valides, les fraudeurs vendent les coordonnées bancaires compromises via des sites de carding sur le dark web, ou encaissent eux-mêmes les fonds.

Qu’est-ce que le carding ?

Dans les attaques de carding (OAT-001), les cybercriminels utilisent des bots pour tester la validité des données de cartes volées, souvent avec de petites transactions afin de ne pas attirer l’attention. Une attaque de test de cartes permet à un bot de cartes de crédit de tester un grand nombre de cartes en peu de temps. Cette méthode est utilisée pour tester non seulement les cartes de paiement, mais aussi les cartes-cadeaux et les bons d’achat.

L’impact du piratage de cartes bancaires et du carding sur le commerce électronique

Le piratage de cartes bancaires et le carding ont de nombreuses conséquences néfastes pour les commerçants en ligne.

Comment fonctionnent les attaques de piratage de cartes bancaires ?

Les attaques de piratage de cartes bancaires suivent globalement le processus suivant :

1. Données partielles de titulaires de carte volées et attaque par force brute : une fois que les fraudeurs ont obtenu des numéros de carte de paiement partiels, ils tentent de trouver les valeurs manquantes, telles que la date d’expiration, en utilisant des outils automatisés de piratage par force brute qui testent différentes combinaisons pour obtenir l’ensemble complet des données.
2. Processus de paiement par carte : les cybercriminels ciblent les processus de paiement des commerçants afin de tester en continu, par force brute, les solutions potentielles pour les valeurs inconnues des cartes de paiement.
3. Données complètes du titulaire de la carte : en cas de succès, les cybercriminels identifient des ensembles complets de données valides du titulaire de la carte afin de les utiliser pour des activités malveillantes ou de les vendre en ligne.

Image 1 : OWASP, OAT-010 Processus d’attaque de piratage de cartes automatisée par bot

Comment détecter et éviter les attaques de carding et de piratage de cartes ?

1. Surveillez les volumes élevés de petites commandes

Un signe fréquent d’une attaque de carding est la présence d’un volume élevé de commandes de faible montant. Les fraudeurs utilisent leurs bots de cartes de crédit pour tenter d’acheter des services ou des biens peu coûteux en utilisant différentes informations de carte de crédit. Si une commande aboutit, le fraudeur ne se verra facturer qu’une petite somme d’argent. Surveillez donc toujours les pics inhabituels de tentatives d’achats à bas prix.

2. Surveillez les commandes dont les frais de port sont élevés

De même, surveillez les petites commandes provenant de l’étranger dont les frais de port dépassent le prix du produit. Une personne de bonne foi souhaite rarement payer plus cher pour les frais de port que pour le produit lui-même. Même en petits volumes, ces commandes méritent d’être examinées.

3. Vérifiez que l’adresse IP correspond à l’adresse de facturation

Utilisez des vérifications de géolocalisation IP pour vous assurer que l’adresse IP d’un utilisateur correspond à son adresse de facturation sur la page de paiement. Si ce n’est pas le cas, l’utilisateur pourrait effectuer ses achats depuis un endroit différent de l’adresse figurant sur sa carte de crédit. Bien que cela ne soit pas immédiatement un indicateur de fraude, car de nombreux utilisateurs naviguent via un VPN pour plus de confidentialité, cela peut être utilisé en combinaison avec les autres conseils de cet article pour déterminer s’il s’agit d’une attaque par carding.

4. Créez une liste noire de clients

Toute personne connue pour avoir commis des fraudes doit être placée sur une liste noire et ne plus pouvoir effectuer d’achats sur vos boutiques en ligne. Une politique de tolérance zéro permettra d’écarter les personnes qui ont tenté d’attaquer votre boutique et servira d’avertissement à toute autre personne envisageant de lancer une attaque de piratage de carte.

5. Autorisez les cartes

L’autorisation et la capture sont un mécanisme qui vous permet d’autoriser d’abord la carte de crédit d’un utilisateur, de vérifier si les détails de la carte sont valides et si la carte dispose de fonds suffisants avant d’accepter le paiement. Cela vous permet d’examiner toute transaction suspecte qui aurait pu être effectuée lors d’une attaque de carding avant que le paiement ne soit validé.

6. Vérifiez la vitesse d’achat

Surveillez toujours la rapidité avec laquelle un utilisateur tente d’acheter vos produits ou services. Les utilisateurs légitimes n’effectuent généralement pas plusieurs transactions par minute, mais un bot de carte de crédit peut en effectuer plusieurs par seconde. Surveillez la vitesse de vos transactions de la manière qui vous convient le mieux : par montant en dollars, adresse IP, adresse de facturation, appareil utilisé, etc.

7. Utilisez l’AVS et le CVV

Le système de vérification d’adresse (AVS) et le code de vérification de la carte (CVV) sont deux fonctionnalités simples permettant de confirmer que l’adresse figurant sur la carte et le code CVV à trois chiffres au dos de la carte correspondent bien aux informations enregistrées par la banque émettrice. Utilisez ces fonctionnalités dans votre passerelle de paiement afin de compliquer considérablement la tâche des fraudeurs qui tentent de mener des attaques de carding.

8. Utilisez des outils automatisés pour éviter la fraude et protéger contre les bots

Les solutions de sécurité traditionnelles ont tendance à s’appuyer fortement sur la réputation des adresses IP, en partant du principe que toute activité malveillante provenant d’une adresse IP signifie que toutes les activités de cette IP sont susceptibles d’être hostiles. Aujourd’hui, les acteurs malveillants distribuent des bots via des adresses IP résidentielles, qui bénéficient d’une excellente réputation. Les requêtes qu’ils envoient sont souvent impossibles à distinguer de celles générées par des utilisateurs ordinaires. Les approches basées sur les adresses IP ne sont donc plus efficaces.

Pour éviter la fraude en ligne, ainsi que d’autres attaques automatisées par des bots, une solution de protection contre les bots dotée de capacités de détection comportementale en temps réel est cruciale.

Une plateforme de gestion de la confiance des bots et des agents basée sur l’intention analyse des milliers de signaux comportementaux en temps réel pour détecter avec une grande précision les tentatives de piratage et de carding. Le moteur de détection multicouche de DataDome affiche un taux de faux positifs inférieur à 0,01 %, bloquant les bots malveillants et les agents d’IA malveillants avant qu’ils n’exécutent des transactions frauduleuses, sans perturber les utilisateurs légitimes.