Гайд

BIN-атака: як згенеровані номери карток б’ють по чекауту

Під час BIN-атаки шахраї беруть перші шість–вісім цифр картки (BIN), генерують тисячі номерів із терміном дії та CVV і перевіряють їх дрібними сумами.

Почати безкоштовно в shadow-режимі

Як розпізнати

Багато авторизацій з одним BIN за короткий час.
Висока частка відмов через невірний номер чи CVV.
Дрібні однакові суми.
Мало пристроїв чи IP на дуже багато карток.

Контрзаходи

Velocity-ліміти на BIN, пристрій, IP та e-mail.
Захист від ботів при аномаліях.
Мінімальна сума або обов’язковий вхід.
Звірка країни BIN і країни IP.

Як допомагає RiskCogs

RiskCogs використовує лише BIN-метадані картки й рахує спроби за карткою, пристроєм і e-mail.

Кожен платіж отримує через POST /v1/risk-score ризик-скор від 0 до 100 з причинами: менше 40 — пропустити, 40–69 — перевірити, від 70 — відхилити. У тіньовому режимі (тариф Shadow, 0 €) ви спершу бачите, що було б заблоковано, не зачіпаючи реальних клієнтів.

Схема BIN-атаки від вибору BIN до згенерованих номерів і автоматичних тестових платежів

Часті запитання

Що таке BIN?

Перші цифри номера картки: банк-емітент, країна, тип і платіжна система.

Чому це дорого?

Кожна авторизація коштує грошей, а висока частка відмов може призвести до санкцій від платіжного провайдера.

Чи допомагає 3-D Secure?

Ускладнює використання валідних карток, але проти перевірок ефективніші ліміти до авторизації.

Читайте також

Спершу виміряйте. Потім блокуйте.

Запустіть RiskCogs у shadow-режимі поруч із вашим поточним платіжним провайдером і перевірте рішення до того, як вони торкнуться бодай одного клієнта.

Почати безкоштовно в shadow-режимі