Zit jouw betaalkaart in een criminele wallet?
-
Het aantal online discussies over het toevoegen van gestolen betaalkaarten aan digitale portemonnees is in een jaar tijd bijna verdrievoudigd.
-
De mediaanprijs van een gestolen betaalkaart is $ 10, maar kaarten die direct aan een digitale portemonnee kunnen worden toegevoegd, zijn een stuk duurder.
-
Als betaalkaartgegevens worden gecombineerd met persoonlijke informatie, kan de prijs meer dan verdubbelen.
Over het onderzoek
Gestolen betaalkaarten zijn nog altijd het meest verhandelde product op het dark web – maar waar betalen criminelen nu écht het meest voor? Welke kaarten worden als waardeloos beschouwd en in grote partijen verkocht en voor welke kaarten wordt de hoofdprijs gevraagd?
Om deze vragen te beantwoorden, onderzochten de onderzoekers van NordVPN en NordLayer Intelligence by NordStellar populaire marktplaatsen op het dark web en analyseerden ze jaren aan gevoerde discussies tussen cybercriminelen op hackersfora en in Telegram-kanalen. Ons onderzoek laat zien hoe de handel in gestolen betaalkaarten verandert en welke kant die opgaat.
Veranderende trends in betaalkaartfraude
Uit de nieuwste analyse van marktplaatsen op het dark web door onderzoekers van NordVPN en NordLayer Intelligence blijkt dat criminelen hun werkwijze veranderen. Het aantal discussies op darkwebfora en Telegram over het toevoegen van gestolen betaalkaarten aan digitale portemonnees is ten opzichte van vorig jaar bijna verdrievoudigd.
En het blijft niet alleen bij woorden. Er worden steeds meer betaalkaarten aangeboden die direct aan een digitale portemonnee kunnen worden toegevoegd, evenals bijbehorende diensten en tools, zoals het onderscheppen van eenmalige beveiligingscodes en hulpmiddelen om contactloze betalingen via een telefoon door te sturen. Oudere betaalkaarten worden daarentegen steeds minder waard, omdat ze vaak al bekend zijn bij de fraudedetectiesystemen van banken, terwijl het kopiëren van gegevens van magneetstrips bij de meeste chipkaartlezers nauwelijks nog werkt.
Nieuwe trend: gestolen betaalkaarten gebruiken in digitale portemonnees
Door een betaalkaart aan Apple Pay of Google Pay toe te voegen, verschuift een deel van de beveiliging van de systemen van de bank naar de telefoon van de gebruiker. Criminelen kunnen hier in een paar stappen misbruik van maken:
01
De crimineel probeert een op het dark web gekochte betaalkaart toe te voegen aan zijn digitale portemonnee van Apple Pay of Google Pay.
02
De bank probeert de identiteit van de kaarthouder te controleren, meestal door een eenmalige verificatiecode te versturen.
03
De crimineel omzeilt het verificatieproces, bijvoorbeeld met eerder geïnstalleerde malware of door het slachtoffer via phishing te misleiden.
04
Zodra de betaalkaart is toegevoegd, probeert de crimineel er zo snel mogelijk zo veel mogelijk geld uit te halen door contactloos te betalen, cadeaubonnen te kopen of contant geld op te nemen.
Volgens discussies tussen criminelen kan 60 tot 70% van de openbaar aangeboden betaalkaarten binnen 15 tot 90 minuten na het eerste gebruik tijdelijk worden geweigerd of geblokkeerd. Maar volgens criminelen zelf is het "de makkelijkste manier om in 2026 gestolen geld te verzilveren. Je hoeft je geen zorgen te maken over 3D Secure… Zodra de kaart aan Google Pay of Apple Pay is toegevoegd, kun je het volledige saldo uitgeven".
Waar zijn hackers naar op zoek?
Uit de analyse van gegevens van marktplaatsen op het dark web blijkt dat criminelen steeds meer waarde hechten aan gebruiksgemak en minder aan grote hoeveelheden gestolen gegevens. De duurste aanbiedingen bevatten niet per se de meeste betaalkaarten of kaarten met het hoogste banksaldo, maar juist kaarten die volgens de verkopers "gewoon werken".
Verkopers op het dark web delen hun gestolen betaalkaarten in op basis van de kans op succesvolle activering, waarbij ze termen als ‘fish-grade’ gebruiken voor kaarten met een slagingskans van 30 tot 60% en ‘standard-grade’ voor kaarten waarvan de activering vrijwel gegarandeerd is. Opvallend genoeg lijken ze ook klanttevredenheid belangrijk te vinden: ongeveer 80% van de onderzochte verkopers bood een vorm van terugbetaling of vervanging aan voor kaarten die niet werkten.
Deze screenshots van het dark web zijn deels onherkenbaar gemaakt en worden uitsluitend ter informatie getoond.
Wat bepaalt de prijs van een kaart?
Voor gestolen betaalkaarten lijken dezelfde marktprincipes te gelden als voor gewone producten. De mediaanprijs van gestolen betaalkaarten op de onderzochte marktplaatsen op het dark web was $ 10.
Geldigheid van de kaart
De mediaanprijs van betaalkaarten die als ‘zeer hoge kwaliteit’ worden aangeboden is $ 22 – waarschijnlijk omdat criminelen denken dat de kans het grootst is dat deze kaarten daadwerkelijk werken. Over het algemeen worden betaalkaarten die direct aan een digitale portemonnee kunnen worden toegevoegd, verkocht voor 3 tot 5% van het resterende saldo op de bijbehorende bankrekening. Oudere betaalkaarten, die waarschijnlijk al zijn geblokkeerd, worden daarentegen in grote partijen verkocht voor ongeveer $ 2 per kaart.
Regio en beschikbaarheid
De prijzen van de kaarten lopen per regio enorm uiteen. Meer dan 70% van alle aangeboden kaarten in het onderzoek kwam uit de Verenigde Staten, wat de concurrentie tussen verkopers vergroot en de prijzen relatief laag houdt (rond de $ 10 tot $ 12). Betaalkaarten uit andere welvarende regio’s waren schaarser en duurder, terwijl kaarten uit Afrika juist voor opvallend lage prijzen werden verkocht.
Toegevoegde persoonlijke gegevens
Persoonlijke gegevens zijn waardevol – uit ons onderzoek blijkt dat betaalkaarten die samen met persoonlijke gegevens worden verkocht, duurder zijn dan kaarten zonder die gegevens.
Op de grootste onderzochte marktplaats werd bijvoorbeeld een betaalkaart met het Amerikaanse burgerservicenummer (Social Security number) en de geboortedatum van de kaarthouder aangeboden voor $ 18,15, terwijl kaarten zonder deze gegevens een mediaanprijs van $ 11,70 hadden. Een andere betaalkaart, met nog meer persoonlijke gegevens, kostte $ 23.
Zombiedata: zo krijgen onbruikbare betaalkaarten een tweede leven
Geblokkeerde (of ‘dode’) betaalkaarten verdwijnen niet per se van criminele marktplaatsen. Ook als geblokkeerde betaalkaarten niet meer kunnen worden gebruikt voor fraude met digitale portemonnees of online betalingen, kunnen de bijbehorende persoonlijke gegevens nog gebruikt worden voor phishing of verschillende vormen van identiteitsfraude.
Uit ons onderzoek blijkt dat ‘dead fullz’ (onbruikbare betaalkaarten die samen met volledige identiteitsgegevens worden verkocht) voor ongeveer $ 1 per set gegevens werden aangeboden. Om de waarde van persoonlijke gegevens in perspectief te plaatsen, kunnen we ‘dead fullz’ vergelijken met oudere, vermoedelijk geblokkeerde betaalkaarten, die in partijen voor ongeveer $ 2 per partij worden verkocht.
Methodologie
Dit rapport bevat de resultaten van twee onderzoeken: een analyse van advertenties voor gestolen betaalkaarten op negen marktplaatsen op het dark web en een analyse van discussies op criminele fora en Telegram-kanalen.
Werk, surf en shop veiliger online met NordVPN
Houd je betaalgegevens en persoonlijke informatie uit handen van hackers met de geavanceerde beveiligingsfuncties van NordVPN.