Gestohlene Zahlungskartendaten erkennen

Bevor es für betrügerische Zwecke missbraucht wird

Zahlungskartendaten werden über drei Hauptangriffsvektoren abgegriffen. Infostealer-Malware infiziert Geräte und extrahiert alle im Browser gespeicherten Daten, einschließlich der Autovervollständigungsdaten, die gespeicherte Kartennummern, Gültigkeitsdaten, CVV-Codes und Rechnungsadressen enthalten. Mobile Malware auf kompromittierten Smartphones erfasst Kartendaten, die in Banking- und Zahlungs-Apps eingegeben werden. Phishing-Infrastrukturen erfassen Kartendaten, wenn Verbraucher dazu verleitet werden, diese auf gefälschten Checkout- oder Banking-Seiten einzugeben. Die daraus resultierenden gestohlenen Datensätze enthalten häufig weit mehr als nur die Kartennummer selbst. Ein typischer kompromittierter Kartendatensatz umfasst die vollständige PAN, das Ablaufdatum, den CVV, den Namen des Karteninhabers, die Rechnungsadresse, die zugehörige E-Mail-Adresse, die Telefonnummer sowie in vielen Fällen Bankkontonummern und Bankleitzahlen. Dieser zusätzliche Identitätskontext erhöht das nachgelagerte Betrugsrisiko erheblich, da er gezieltes Social Engineering, Betrug bei der Eröffnung neuer Konten und Angriffe auf Identitätsebene ermöglicht, die über die Kartentransaktion hinausgehen. SpyCloud Financial Threat Protection macht diesen vollständigen Datensatzkontext sichtbar – nicht nur die Kartennummer – und liefert Betrugsbekämpfungsteams damit aussagekräftigere Hinweise als reine Kartennummernlisten.

Telemetrie-Systeme zur Betrugsbekämpfung in Kartennetzwerken (Visa, Mastercard) und transaktionsbasierte Plattformen zur Betrugserkennung wie Sift und Forter arbeiten mit Signalen, die zum Zeitpunkt eines Transaktionsversuchs generiert werden. Sie erkennen Betrugsfälle entweder während des Vorfalls oder unmittelbar danach. SpyCloud Financial Threat Protection greift bereits im Vorfeld ein – zum Zeitpunkt der Datenexposition, noch bevor ein Betrugsversuch stattgefunden hat. SpyCloud gewinnt gestohlene Kartendaten direkt aus kriminellen Quellen zurück: Protokolle von Infostealer-Malware, Ausgaben von Phishing-Kits und Daten aus Sicherheitsverletzungen, die auf kriminellen Märkten im Umlauf sind. Diese Informationen liegen vor, bevor Kriminelle die Gelegenheit hatten, die gestohlenen Karten zu testen, zu verkaufen oder zu verwenden. Kartenaussteller und Betrugsbekämpfungsteams, die ihre BIN-Bereiche über SpyCloud überwachen, können kompromittierte Karten Tage bis Monate vor dem Versuch einer betrügerischen Transaktion identifizieren. So können sie proaktiv sperren und neue Karten ausstellen, anstatt erst reaktiv nach einer Rückbuchung zu reagieren. Die beiden Informationsquellen ergänzen sich. Netzwerktelemetrie und Transaktionssignale decken Betrugsfälle auf, die durch das Raster fallen. SpyCloud deckt die vorangegangene Gefährdung auf.

Eine Bankidentifikationsnummer (BIN) besteht aus den ersten sechs bis acht Ziffern einer Zahlungskartennummer und dient zur Identifizierung des Kartenausstellers und des Kartenprogramms. Die BIN-Überwachung bedeutet, dass die von SpyCloud erfassten Kartendaten gezielt nach Kartennummern durchsucht werden, deren BIN-Präfix mit Ihrem ausgegebenen Kartenportfolio übereinstimmt. Kartenaussteller und Betreiber von Kartenprogrammen nutzen die BIN-gezielte Überwachung, da sie ermitteln müssen, welche ihrer konkret ausgegebenen Karten kompromittiert wurden, und auf diese Sicherheitsrisiken über ihre eigenen Workflows zur Kartenverwaltung und Neuausstellung reagieren müssen. Die gezielte BIN-Abfrage von SpyCloud unterstützt bis zu 10 BINs pro API-Anfrage, liefert übereinstimmende Datensätze kompromittierter Karten, wobei die Kartennummern als SHA-1-Hashes für einen sicheren Abgleich bereitgestellt werden, und ist für die kontinuierliche automatisierte Überwachung von ausstellerspezifischen Portfolios konzipiert. Der vollständige Feed kompromittierter Karten dient einem anderen Anwendungsfall. Zahlungsabwickler, Acquirer und Einzelhändler mit firmeneigenen Kartenprogrammen nutzen den vollständigen Feed, um einen umfassenden Überblick über das gesamte Ökosystem kompromittierter Karten zu erhalten, ohne Abfragen auf bestimmte BINs beschränken zu müssen. Dies ist die richtige Lösung für Unternehmen, die eine umfassende Datenanreicherung für Risikobewertung, Analysen oder portfoliübergreifende Risikoanalysen benötigen, anstatt gezielte Abhilfemaßnahmen auf Emittentenebene zu ergreifen.

Wenn Kriminelle Zahlungskartendaten stehlen, beschränken sie sich selten nur auf die Kartennummer. Infostealer-Malware und Phishing-Angriffe erfassen alles, was der Nutzer eingegeben oder gespeichert hat: die Kartendaten sowie die E-Mail-Adresse, die Telefonnummer, die Privatadresse und in vielen Fällen auch die mit dieser Karte verknüpften Bankkontodaten. Diese damit verbundenen personenbezogenen Daten (PII) verwandeln einen einfachen Kartendatendiebstahl in einen vollständigen Identitätsdiebstahl. Ein Betrüger, der sowohl über die Kartennummer als auch über die E-Mail-Adresse des Karteninhabers verfügt, kann auf dem Portal des Kartenausstellers mithilfe von „Credential Stuffing“ versuchen, die Kontrolle über das Konto zu übernehmen, das Passwort zurückzusetzen und die Kontaktdaten der Karte zu ändern, bevor er sie nutzt. Mit der Telefonnummer kann er einen SIM-Swap-Betrug versuchen, um die Zwei-Faktor-Authentifizierung zu umgehen. Mit der Rechnungsadresse und der E-Mail-Adresse kann er bei neuen Kontoanträgen die Identitätsprüfung bestehen. SpyCloud Financial Threat Protection liefert, sofern verfügbar, neben den Kartendaten auch zugehörige personenbezogene Daten und Identitätskontext, sodass Betrugsbekämpfungsteams das gesamte nachgelagerte Risiko jedes einzelnen Kompromittierungsfalls einschätzen können, anstatt ihn als isolierten Kartenvorfall zu behandeln. Unternehmen, die Financial Threat Protection mit SpyCloud Consumer Threat Protection oder IDLink kombinieren, können Kartenkompromittierungen mit Identitätsrisiken auf Kontoebene korrelieren und so einen einheitlichen Überblick darüber gewinnen, welche Kunden dem höchsten kombinierten Betrugsrisiko ausgesetzt sind.

SpyCloud Financial Threat Protection ist eine Ebene zur Anreicherung von Informationen und keine Plattform zur Betrugsentscheidung. Es ersetzt weder bestehende Betrugserkennungssysteme noch Kartenverwaltungssysteme oder Tools zur Transaktionsüberwachung. Es speist Signale, die auf ein potenzielles Betrugsrisiko hinweisen, vorgelagert in diese Systeme ein. Die API liefert Informationen zu gestohlenen Karten über REST mit JSON-Ausgabe und unterstützt sowohl Inline-Abfragen in Echtzeit als auch die Stapelverarbeitung. Kartennummern werden standardmäßig als SHA-1-Hashes zurückgegeben, wobei auch SHA-256- und SHA-512-Optionen verfügbar sind. Dies ermöglicht den Abgleich mit bestehenden Hash-Datenbanken für Kartennummern, ohne dass die Rohdaten der PANs offengelegt werden. Die Daten können als Anreicherungsebene in Betrugsplattformen, Kartenverwaltungssysteme, Workflows zur Transaktionsüberwachung oder Risikobewertungsmodelle eingespeist werden. Ein gängiges Einsatzmuster ist die Überwachung auf BIN-Ebene, die zeitgesteuert ausgeführt wird, um neu kompromittierte Karten zu identifizieren und automatisierte Workflows zur Neuausstellung im Kartenverwaltungssystem auszulösen, während die Transaktionsüberwachungsplattform weiterhin die Autorisierungsentscheidungen in Echtzeit übernimmt. „Financial Threat Protection“ lässt sich zudem mit den anderen Verbraucher-APIs von SpyCloud – „Consumer Threat Protection“ und „Session Identity Protection“ – integrieren. Dies richtet sich an Unternehmen, die eine einheitliche Ebene für Identitäts- und Zahlungsrisikodaten in ihrem gesamten Betrugspräventionsprogramm wünschen.