Votre carte de paiement a-t-elle atterri dans le portefeuille numérique d’un criminel ?
-
Les discussions concernant l’ajout de cartes volées aux portefeuilles mobiles ont presque triplé au cours de l’année.
-
Le prix médian d’une carte volée est de 10 dollars, mais les cartes « prêtes à l’emploi » sont bien plus chères.
-
La combinaison des données de la carte avec des informations personnelles peut faire plus que doubler le prix.
À propos de l’étude
Les cartes de paiement volées restent le produit le plus échangé sur le dark web, mais pour quoi les criminels sont-ils réellement prêts à payer ? Quelles sont les cartes considérées comme sans valeur et vendues en lots, et lesquelles se vendent à prix d’or ?
Pour répondre à ces questions, les chercheurs de NordVPN et de NordLayer Intelligence par NordStellar ont analysé des places de marché clandestines très fréquentées et examiné des années de discussions criminelles sur des forums de hackers et des chaînes Telegram. Notre étude révèle l’évolution du marché des cartes volées et ses perspectives d’avenir.
Évolution des tendances en matière de fraude à la carte bancaire
La dernière analyse des places de marché du dark web réalisée par les chercheurs de NordVPN et de NordLayer Intelligence a révélé un changement d’habitudes chez les criminels. Les discussions sur les forums du dark web et sur Telegram portant sur l’ajout de cartes volées dans des portefeuilles mobiles ont presque triplé par rapport à l’année dernière.
Ces discussions ne se résument pas à des paroles. Les annonces proposant des cartes « prêtes à l’emploi » et les services associés, tels que le vol de codes de sécurité à usage unique ou la vente d’outils permettant de mettre des téléphones sur écoute, sont en augmentation. En revanche, les anciennes cartes de paiement perdent la majeure partie de leur valeur, car elles sont répertoriées dans les systèmes de détection des fraudes bancaires, tandis que le clonage classique de la bande magnétique s’avère très inefficace face à la plupart des lecteurs de puces.
Nouvelle tendance : l’utilisation de cartes volées dans les portefeuilles numériques
L’ajout d’une carte dans le portefeuille Apple Pay ou Google Pay transfère une partie de la charge de sécurité des systèmes de la banque vers le téléphone de l’utilisateur. Les criminels peuvent en tirer parti en quelques étapes :
01
Le criminel tente d’ajouter une carte achetée sur le dark web à son portefeuille Apple Pay ou Google Pay.
02
La banque tente de vérifier l’identité du titulaire de la carte, généralement en émettant un code à usage unique.
03
Le criminel compromet le processus de vérification, par exemple en utilisant un logiciel malveillant installé précédemment ou en recourant à des techniques de phishing.
04
Une fois la carte chargée, le criminel agit rapidement pour maximiser sa valeur en effectuant des achats sans contact, en achetant des cartes cadeaux ou en retirant de l’argent.
D’après les discussions entre criminels, 60 à 70 % des cartes accessibles au public peuvent faire l’objet d’un refus temporaire ou être bloquées dans les 15 à 90 minutes suivant leur première utilisation. Mais, selon les propres termes des criminels, c’est « [l]e moyen le plus simple d’encaisser de l’argent en 2026. Pas de 3DS à craindre… Une fois ajoutée à Google ou Apple Pay, on peut dépenser la totalité du solde. »
Que recherchent les hackers ?
En analysant les données issues des places de marché du dark web, on constate clairement que les criminels privilégient de plus en plus la facilité d’utilisation plutôt que les simples chiffres. Les annonces les plus chères ne proposent pas nécessairement le plus grand nombre de cartes ou les soldes de comptes bancaires les plus élevés : elles mettent plutôt en avant des cartes qui fonctionnent, tout simplement.
Les vendeurs du dark web classent leur stock en fonction des taux de réussite d’activation prévus, en utilisant des termes tels que « fish-grade » pour les cartes ayant 30 à 60 % de chances d’être activées et « standard-grade » pour les cartes dont l’activation est presque garantie. Paradoxalement, ils semblent également prendre la satisfaction client très au sérieux : environ 80 % des vendeurs étudiés proposaient une forme de remboursement ou de remplacement pour les cartes inutilisables.
Ces captures d’écran provenant du dark web ont été partiellement masquées et sont présentées à des fins informatives uniquement.
Qu’est-ce qui détermine le prix d’une carte ?
Les cartes volées semblent être soumises aux mêmes lois du marché que les biens ordinaires. Le prix médian des cartes sur les places de marché du dark web surveillées s’élevait à 10 dollars.
Validité de la carte
Le prix médian des cartes présentées comme étant de « très haute qualité » s’élève à 22 dollars, ce qui s’explique probablement par le fait que les malfaiteurs estiment que ce sont celles qui ont le plus de chances de fonctionner. En général, les cartes « prêtes à l’emploi » se vendent pour 3 à 5 % du solde restant sur le compte associé. En revanche, les cartes plus anciennes (qui ont probablement déjà été annulées) peuvent être vendues en lot pour environ 2 $.
Pays et disponibilité
Les prix des cartes varient considérablement d’un pays à l’autre. Plus de 70 % de toutes les annonces de cartes figurant dans l’étude provenaient des États-Unis, créant une forte concurrence entre les vendeurs et maintenu les prix habituels à un niveau relativement bas (environ 10 à 12 $). Les lots de cartes provenant d’autres pays riches étaient plus rares et plus chers, tandis que les cartes provenant d’Afrique se vendaient à des prix particulièrement bas.
Informations personnelles ajoutées
Les informations personnelles ont de la valeur : nos chercheurs ont constaté que les cartes contenant des données personnelles se vendaient plus cher que celles qui n’en comportaient pas.
Par exemple, sur la plus grande place de marché analysée, une carte accompagnée du numéro de sécurité sociale et de la date de naissance de son titulaire était proposée à 18,15 $, contre un prix médian de 11,70 $ pour les cartes ne comportant pas ces informations. Une autre carte contenant encore plus d’informations d’identité était vendue 23 $.
Données zombies : donner une seconde vie aux cartes inutilisées
Les cartes annulées (ou « mortes ») ne disparaissent pas nécessairement des marchés criminels. Même si elles ne peuvent pas être utilisées pour commettre des fraudes liées aux portefeuilles électroniques ou aux paiements en ligne, les cartes inactives peuvent contenir des informations personnelles précieuses, susceptibles d’être exploitées à des fins d’hameçonnage ou de diverses formes d’usurpation d’identité.
Nos recherches ont révélé que les « dead fullz » (cartes inutilisables vendues accompagnées d’informations d’identité intactes) étaient vendues à environ 1 $ par dossier. Pour mettre en perspective la valeur des informations personnelles, on peut comparer les « dead fullz » aux lots de cartes plus anciennes, vraisemblablement retirées de la circulation, qui se vendent en vrac à environ 2 $ le lot.
Méthodologie
Le présent rapport expose les conclusions de deux études : une analyse des annonces de cartes bancaires publiées sur neuf places de marché du dark web et une analyse des discussions menées sur des forums criminels et des chaînes Telegram.
Travaillez, naviguez et faites vos achats en ligne en toute sécurité avec NordVPN
Protégez vos informations de paiement et vos données personnelles des hackers grâce aux fonctionnalités de sécurité avancées de NordVPN.