La tua carta di pagamento si trova nel portafoglio digitale di un criminale?
-
Le conversazioni sull’aggiunta di carte rubate ai portafogli digitali sono quasi triplicate nel corso dell’anno.
-
Il prezzo mediano di una carta rubata è di 10 $, ma le carte già predisposte per l’uso nei wallet digitali costano molto di più.
-
Se ai dati della carta si aggiungono le informazioni personali del titolare, il prezzo può più che raddoppiare.
Informazioni sulla ricerca
Le carte di pagamento rubate continuano a essere l’articolo più compravenduto sul dark web, ma per cosa sono davvero disposti a pagare i criminali? Quali carte sono considerate prive di valore, e quindi vendute in blocco, e quali hanno invece prezzi elevati?
Per rispondere a queste domande, i ricercatori di NordVPN e NordLayer Intelligence di NordStellar hanno analizzato i principali marketplace illegali ed esaminato anni di discussioni di stampo criminale su forum di hacker e canali Telegram. Dal nostro studio è emerso come sta cambiando il mercato delle carte di pagamento rubate e in quale direzione si sta muovendo.
Frodi con carte: le nuove tendenze
L’ultima analisi sui marketplace del dark web condotta dai ricercatori di NordVPN e NordLayer Intelligence ha rivelato che le abitudini dei criminali informatici stanno cambiando. Le discussioni sui forum del dark web e su Telegram riguardanti l’inserimento di carte rubate nei portafogli digitali mobili sono quasi triplicate rispetto allo scorso anno.
Questi confronti non sono semplici chiacchiere. Sono infatti in aumento gli annunci di carte già predisposte per essere aggiunte ai wallet digitali e dei servizi illegali collegati, come il furto dei codici di sicurezza monouso o la vendita di strumenti che ritrasmettono a distanza i pagamenti contactless effettuati con lo smartphone. Le carte di pagamento più datate, invece, stanno progressivamente perdendo valore, poiché i sistemi antifrode delle banche ne riconoscono ormai i dati. Anche la tradizionale clonazione della banda magnetica è diventata sempre meno efficace, vista la diffusione dei lettori basati sulla tecnologia a chip.
Una minaccia emergente: l’utilizzo di carte rubate nei portafogli digitali
L’inserimento di una carta nei wallet mobili Apple Pay o Google Pay sposta in parte la responsabilità della sicurezza dai sistemi della banca al telefono dell’utente. Ai cybercriminali bastano pochi passaggi per approfittarne:
01
Il cybercrimi{shy]nale tenta di caricare nel suo portafoglio Apple Pay o Google Pay una carta acquistata sul dark web.
02
La banca cerca di verificare l’identità del titolare della carta, di solito inviando un codice monouso.
03
Il criminale compromette il processo di verifica, per esempio sfruttando un malware installato in precedenza o ricorrendo a tecniche di phishing.
04
Una volta caricata la carta, l’autore della frode si affretta a rubare quanto più denaro possibile, ad esempio effettuando transazioni contactless, acquistando buoni regalo o prelevando contanti.
Stando alle informazioni che circolano negli ambienti criminali, per il 60-70% delle carte disponibili pubblicamente, le transazioni possono essere rifiutate in via temporanea o bloccate entro 15-90 minuti dal primo utilizzo. Eppure, stando alle parole degli stessi hacker, si tratta del "[m]odo più semplice per fare soldi nel 2026. Nessun controllo 3D Secure di cui preoccuparsi… una volta aggiunta a Google o Apple Pay, si può tranquillamente prosciugare l’intero saldo".
Cosa cercano gli hacker?
L’analisi dei dati raccolti sui marketplace del dark web evidenzia una tendenza chiara: i cybercriminali attribuiscono sempre più valore alla praticità, piuttosto che ai numeri in sé. Le inserzioni più care non sono necessariamente quelle col maggior numero di carte o i saldi bancari più sostanziosi: al contrario, sono quelle che pubblicizzano carte che "funzionano e basta".
I venditori attivi sul dark web classificano i loro prodotti in vendita in base alle percentuali di successo previste per l’attivazione, utilizzando termini come "fish-grade" per le carte con una probabilità di attivazione del 30–60% e "standard-grade" per le carte con attivazione pressoché garantita. Paradossalmente, sembrano anche prendere sul serio la soddisfazione della clientela: circa l’80% dei venditori esaminati offriva una qualche forma di rimborso o sostituzione per le carte non funzionanti.
Questi screenshot acquisiti sul dark web sono stati parzialmente oscurati e vengono presentati esclusivamente a scopo didattico.
Cosa determina il prezzo di una carta?
Le carte rubate sembrano essere soggette alle stesse dinamiche di mercato dei normali beni di consumo. Sui marketplace del dark web monitorati, il prezzo mediano delle carte era di 10 $.
Validità della carta
Con un prezzo mediano di 22 $, le carte pubblicizzate come "di altissima qualità" riflettono con ogni probabilità la convinzione dei cybercriminali che siano le più affidabili. In genere, le carte già predisposte per l’utilizzo nei wallet digitali vengono vendute a un prezzo pari al 3–5% del saldo disponibile sul conto associato. Per contro, le carte più vecchie (che probabilmente sono già state annullate) possono essere vendute in blocco a circa 2 $.
Area geografica e disponibilità
I prezzi delle carte variano in modo significativo da un’area geografica all’altra. Nello studio, oltre il 70% di tutte le inserzioni si riferiva a carte degli Stati Uniti; ciò crea una forte concorrenza tra i venditori, mantenendo i prezzi medi relativamente bassi (tra 10 e 12 $ circa). Le carte di altre aree geografiche ad alto reddito erano più rare e costose, mentre quelle provenienti dall’Africa avevano prezzi particolarmente bassi.
Dati personali inclusi
I dati degli utenti sono preziosi: i nostri ricercatori hanno scoperto che le carte corredate di informazioni personali costano di più rispetto a quelle che ne sono prive.
Nel più grande marketplace analizzato, ad esempio, una carta corredata del numero di previdenza sociale e della data di nascita del titolare era in vendita a 18,15 $, un prezzo nettamente superiore a quello mediano delle carte prive di queste informazioni, pari a 11,70 $. Un’altra carta, corredata di ulteriori dati personali, era in vendita a 23 $.
Dati zombie: la seconda vita delle carte annullate
Le carte annullate (dette anche "morte") non scompaiono necessariamente dai marketplace illegali. Pur non potendo più essere utilizzate per transazioni fraudolente tramite wallet digitali o pagamenti online, queste carte possono comunque contenere dati personali preziosi, sfruttabili per campagne di phishing e altre frodi basate sul furto d’identità.
La nostra ricerca ha rilevato che i cosiddetti "dead fullz", ovvero profili con i dati completi del titolare abbinati a carte non più utilizzabili, erano in vendita a circa 1 $ ciascuno. Per capire meglio l’effettivo valore dei dati personali, possiamo paragonare le "dead fullz" agli annunci di vendita di carte più vecchie, presumibilmente annullate, disponibili in blocco a circa 2 $ per lotto.
Metodologia
Questo report illustra i risultati di due studi: un’analisi degli annunci relativi a carte rubate su nove marketplace del dark web e un esame delle discussioni su forum criminali e canali Telegram.
Lavora, naviga e fai shopping online in tutta sicurezza con NordVPN
Proteggi i tuoi dati di pagamento e le tue informazioni personali dagli hacker con le funzionalità di sicurezza avanzate di NordVPN.