Per anni abbiamo pensato alle frodi con carta di credito come a un problema “a valle”: una transazione anomala, un chargeback, una carta da bloccare. Oggi, sempre più spesso, il furto di dati di pagamento nasce a monte e si muove dentro un’economia sotterranea organizzata come un vero marketplace.
È qui che entra in gioco il Carding-as-a-Service (CaaS): un modello in cui dati rubati, strumenti e (talvolta) supporto vengono confezionati e venduti in modo accessibile, con logiche molto simili a quelle dell’e-commerce legittimo. E il rischio non è solo economico: i dati di pagamento vengono spesso “arricchiti” con informazioni personali e di contatto, aumentando le probabilità di furto d’identità, impersonificazione e takeover di account.
Cosa viene venduto (in parole semplici)
Sui mercati di carding circolano tipicamente:
dati carta “base” (numero, scadenza, intestatario e codici),
informazioni per frodi “fisiche” legate a dati di striscia magnetica,
profili più completi del titolare (“fullz”), dove il valore cresce perché crescono gli usi fraudolenti possibili.
I canali ricorrenti restano tre:
phishing sempre più industrializzato (kit e piattaforme pronte all’uso),
malware/infostealer che raccolgono dati e credenziali insieme,
compromissioni di pagine di pagamento (attacchi lato client) e ambienti POS, dove l’obiettivo è intercettare i dati quando vengono inseriti.
Perché alle aziende non basta “fare antifrode”
Il punto è la filiera: anche se issuer e circuiti sono bravi a fermare alcune transazioni sospette, il CaaS monetizza prima e meglio, sfruttando la combinazione di fattore umano, credenziali riutilizzate, scarsa visibilità esterna e tempi di reazione.
Cosa fare, in pratica
Se gestisci pagamenti (o customer account legati a metodi di pagamento), la difesa più efficace è “a strati”:
Riduci l’esposizione: MFA dove ha senso, patching regolare, hardening delle pagine di pagamento e controllo delle dipendenze/script di terze parti.
Aumenta la capacità di rilevare presto: monitoraggio di segnali di esposizione (anche esterni), alert su credenziali leakate e indicatori di compromissione.
Accelera la risposta: playbook chiari (reset credenziali, riemissioni/rotazioni, monitoraggio antifrode rafforzato) per ridurre la finestra di abuso.
Approfondisci
Per maggiori dettagli, visita la pagina di Rapid7 sul sito DotForce.
Foto di CardMapr.nl su Unsplash
