O seu cartão de pagamento está na carteira digital de um criminoso?
-
As discussões sobre como adicionar cartões roubados a carteiras digitais quase triplicaram ao longo do ano.
-
O preço médio de um cartão roubado é de 10 dólares, mas os cartões "prontos para carteiras digitais" são muito mais caros.
-
Combinar os dados do cartão com informações pessoais pode mais do que duplicar o preço.
Sobre a investigação
Os cartões roubados continuam a ser o artigo mais comercializado na dark web, mas quais são as coisas pelas quais os criminosos estão realmente dispostos a pagar? Que cartões são vendidos a granel a preços baixos e que cartões atingem o valor mais elevado?
Para responder a estas questões, os investigadores da NordVPN e da NordLayer Intelligence by NordStellar analisaram mercados clandestinos populares e examinaram anos de discussões de cibercriminosos em fóruns de piratas informáticos e canais do Telegram. O nosso estudo revela a forma como o comércio de cartões roubados está a mudar e para onde se dirige.
Novas tendências na fraude com cartões
A mais recente análise ao mercado da dark web realizada pelos investigadores da NordVPN e da NordLayer revelou que os criminosos estão a mudar de hábitos. As discussões nos fóruns da dark web e no Telegram que falam sobre introduzir cartões roubados em carteiras móveis quase triplicaram em comparação com o ano passado.
Estas conversas não são apenas palavras vazias. Estão em crescimento os anúncios de cartões "prontos para carteiras digitais" e de serviços associados, como o roubo de códigos de segurança de utilização única ou a venda de ferramentas para intercetar sinais de pagamento por aproximação com telemóvel. Por outro lado, os cartões de pagamento mais antigos estão a perder uma boa parte do seu valor por estarem registados nos sistemas antifraude dos bancos, enquanto a clonagem clássica da banda magnética revela-se muito ineficaz contra a maioria dos leitores de chip.
Novo foco: utilização de cartões roubados em carteiras digitais
Ao adicionar um cartão à carteira Apple Pay ou Google Pay, parte da responsabilidade da segurança passa dos sistemas do próprio banco para o telemóvel do utilizador. Os criminosos podem explorar isso em poucos passos:
01
O criminoso tenta adicionar um cartão adquirido na dark web à sua carteira Apple Pay ou Google Pay.
02
O banco procura verificar a identidade do titular do cartão, normalmente através da emissão de um código de utilização única.
03
Para contornar o processo de verificação, o criminoso utiliza, por exemplo, malware instalado anteriormente ou táticas de phishing.
04
Depois de carregar o cartão, o criminoso age rapidamente para maximizar os ganhos, através de pagamentos sem contacto, aquisição de cartões de oferta ou levantamentos de dinheiro.
De acordo com conversas captadas no meio criminoso, 60% a 70% dos cartões disponíveis ao público podem ser recusados temporariamente ou bloqueados no prazo de 15 a 90 minutos após a primeira utilização. Mas, segundo as próprias palavras dos criminosos, é a "forma mais fácil de obter dinheiro em 2026. Sem preocupações com o protocolo 3DS… Depois de adicionado ao Google ou Apple Pay, é possível gastar o saldo completo.”
O que procuram os cibercriminosos?
Ao analisar os dados obtidos nos mercados da dark web, torna-se evidente que os criminosos valorizam cada vez mais a conveniência em detrimento dos números em bruto. Os anúncios mais caros não têm necessariamente o maior número de cartões nem os saldos bancários mais elevados; em vez disso, promovem cartões que "simplesmente funcionam".
Os vendedores da dark web classificam os seus produtos de acordo com as taxas de sucesso previstas para a ativação, utilizando termos como "fish-grade" para cartões com probabilidade de ativação de 30% a 60%, ou "standard-grade" para cartões cuja ativação é praticamente garantida. Curiosamente, parecem levar muito a sério a satisfação dos clientes: cerca de 80% dos vendedores analisados ofereciam alguma forma de reembolso ou substituição para cartões que não funcionassem.
Estas capturas de ecrã provenientes da dark web foram parcialmente ocultadas e são apresentadas exclusivamente para fins educacionais.
O que determina o preço de um cartão?
Os cartões roubados parecem estar sujeitos às mesmas forças de mercado dos bens comuns. O preço médio dos cartões nos mercados da dark web analisados era de 10 dólares.
Validade do cartão
O preço médio dos cartões anunciados como sendo de "qualidade muito elevada" é de 22 dólares, sendo provavelmente o resultado de os criminosos acreditarem que são os que têm maior probabilidade de funcionar. Em geral, os cartões "prontos para carteiras digitais" são vendidos por um valor equivalente a 3%-5% do saldo remanescente na conta associada. Por outro lado, os cartões mais antigos (que provavelmente já foram cancelados) podem ser vendidos a granel por cerca de 2 dólares.
Região e disponibilidade
Os preços dos cartões variam drasticamente consoante a região. Mais de 70% dos anúncios de cartões abrangidos pelo estudo provinham dos Estados Unidos, gerando uma forte concorrência entre os vendedores que mantém os preços relativamente baixos (normalmente, cerca de 10 a 12 dólares). Os anúncios de cartões provenientes de outras regiões ricas eram mais raros e mais caros, enquanto os cartões provenientes de África atingiam preços particularmente baixos.
Dados pessoais adicionados
As informações pessoais têm valor: os nossos investigadores descobriram que os cartões que incluem dados pessoais custam mais do que os que não incluem.
Por exemplo, no maior mercado analisado, um cartão vendido com o número da Segurança Social e a data de nascimento do titular apresentava um preço de 18,15 dólares, em comparação com o preço médio de 11,70 dólares para cartões sem essas informações. Outro cartão, que continha ainda mais dados de identificação, estava à venda por 23 dólares.
Dados zombie: uma segunda vida para os cartões invalidados
Os cartões cancelados (ou "invalidados") não desaparecem necessariamente dos mercados negros. Mesmo que já não possam ser utilizados para fraudes com carteiras digitais ou pagamentos online, os cartões invalidados podem conter informações pessoais valiosas, que podem ser utilizadas para phishing ou para várias formas de fraude baseadas na identidade.
A nossa investigação revelou que os "dead fullz" (cartões inutilizáveis vendidos em conjunto com informações de identidade intactas) estavam a ser vendidos por cerca de 1 dólar cada. Para pôr em perspetiva o valor das informações pessoais, podemos comparar os "dead fullz" com os anúncios de cartões mais antigos, presumivelmente já cancelados, que são vendidos a granel por cerca de 2 dólares o lote.
Metodologia
O presente relatório apresenta as conclusões de dois estudos: uma análise de listagens de cartões provenientes de nove mercados da dark web e uma análise de discussões em fóruns de cibercriminosos e canais do Telegram.
Trabalhe, navegue e compre online com mais segurança com a NordVPN
Mantenha os seus dados de pagamento e dados pessoais a salvo dos piratas informáticos com as funcionalidades de segurança avançadas da NordVPN.