Carding adalah bentuk penipuan kartu kredit di mana kartu kredit yang dicuri digunakan untuk menagih kartu prabayar atau membeli kartu hadiah. Carding biasanya melibatkan pemegang kartu atau informasi kartu yang dicuri untuk membeli kartu hadiah bermerek toko, yang kemudian dapat dijual kepada orang lain atau digunakan untuk membeli barang lain yang dapat dijual dengan uang tunai. Pencuri kartu kredit yang terlibat dalam jenis penipuan ini disebut “carder”.
Amerika Serikat merupakan target signifikan untuk penipuan kartu kredit karena merupakan pasar yang besar di mana penggunaan kartu kredit dan kartu debit merupakan hal yang umum, dan karena jenis kartu yang digunakan di Amerika Serikat hanya berisi strip magnetik atau menggunakan teknologi chip dan tanda tangan, bukan teknologi chip dan nomor identifikasi pribadi (PIN) yang ditemukan di sebagian besar negara Eropa.
Cara Kerja Carding
Carding biasanya dimulai dengan peretas yang mendapatkan akses ke sistem pemrosesan kartu kredit toko atau situs web, dan peretas mendapatkan daftar kartu kredit atau debit yang baru-baru ini digunakan untuk melakukan pembelian. Peretas dapat mengeksploitasi kelemahan dalam perangkat lunak keamanan dan teknologi yang dimaksudkan untuk melindungi akun kartu kredit. Mereka juga dapat memperoleh informasi kartu kredit dengan menggunakan pemindai untuk menyalin kode dari strip magnetik.
Informasi kartu kredit juga dapat dikompromikan dengan mengakses informasi pribadi pemegang rekening lainnya, seperti rekening bank yang telah diakses oleh peretas, dengan menargetkan informasi pada sumbernya. Peretas kemudian menjual daftar nomor kartu kredit atau debit kepada pihak ketiga – carder – yang menggunakan informasi yang dicuri untuk membeli kartu hadiah.
Sebagian besar perusahaan kartu kredit menawarkan perlindungan kepada pemegang kartu dari tagihan yang dibuat jika kartu kredit atau debit dilaporkan dicuri, tetapi pada saat kartu dibatalkan, carder sering kali sudah melakukan pembelian. Kartu hadiah digunakan untuk membeli barang bernilai tinggi, seperti ponsel, televisi, dan komputer, karena barang-barang tersebut tidak memerlukan registrasi dan dapat dijual kembali di kemudian hari. Jika carder membeli kartu hadiah dari peritel elektronik, seperti Amazon, mereka dapat menggunakan pihak ketiga untuk menerima barang dan kemudian mengirimkannya ke lokasi lain. Hal ini membatasi risiko carder untuk menarik perhatian. Carder juga dapat menjual barang di situs web yang menawarkan tingkat anonimitas.
Karena kartu kredit sering kali dibatalkan dengan cepat setelah hilang, bagian utama dari carding adalah menguji informasi kartu yang dicuri untuk mengetahui apakah kartu tersebut masih berfungsi. Hal ini mungkin melibatkan pengiriman permintaan pembelian tanpa kartu di Internet.
Pertimbangan Khusus
Ada bahasa khusus dan situs web khusus yang digunakan oleh penipu kartu kredit. Beberapa di antaranya dibahas di bawah ini.
Forum Carding
Forum carding adalah situs web yang digunakan untuk pertukaran informasi dan keterampilan teknologi tentang perdagangan gelap kartu kredit atau informasi rekening kartu debit yang dicuri. Penipu menggunakan situs-situs ini untuk membeli dan menjual informasi yang diperoleh secara ilegal. Upaya perlindungan baru seperti PIN dan chip telah mempersulit penggunaan kartu curian dalam transaksi di tempat penjualan, tetapi penjualan tanpa kartu tetap menjadi andalan para pencuri kartu dan banyak dibahas di forum-forum carding.
Fullz
Fullz adalah istilah gaul untuk “informasi lengkap” dan digunakan oleh penjahat yang mencuri informasi kartu kredit. Istilah ini mengacu pada paket informasi yang berisi nama asli, alamat, dan bentuk identifikasi seseorang. Informasi tersebut digunakan untuk pencurian identitas dan penipuan keuangan. Orang yang “fullz”-nya dijual bukanlah pihak yang terlibat dalam transaksi.
Pembuangan Kartu Kredit
Pembobolan kartu kredit terjadi ketika penjahat membuat salinan digital yang tidak sah dari kartu kredit. Hal ini dilakukan dengan menyalin informasi secara fisik dari kartu atau meretas jaringan pembayaran penerbit. Meskipun teknik ini bukanlah hal baru, skalanya telah berkembang pesat dalam beberapa tahun terakhir, dengan beberapa serangan yang melibatkan jutaan korban.
Bagaimana Perusahaan Mencegah Penipuan Carding
Perusahaan menerapkan berbagai teknik untuk tetap berada di depan para pelaku penipuan kartu. Beberapa perubahan terbaru yang lebih menarik termasuk meminta lebih banyak informasi dari pengguna yang tidak mudah didapatkan oleh carder.
Sistem Verifikasi Alamat (AVS)
Sistem AVS membandingkan alamat penagihan yang diberikan pada saat pembayaran dalam pembelian online dengan alamat yang tercatat di perusahaan kartu kredit. Hasilnya segera dikembalikan ke penjual dengan hasil cocok, cocok dengan alamat, cocok dengan kode pos, dan tidak cocok sama sekali. Sistem AVS yang berfungsi dengan baik dapat menghentikan transaksi yang tidak cocok jika kartu dilaporkan hilang atau dicuri. Untuk kecocokan alamat saja atau ZIP saja, penjual memiliki keleluasaan untuk menerima atau tidak. AVS saat ini digunakan di Amerika Serikat, Kanada, dan Inggris.
Pemeriksaan Geolokasi IP
Sistem geolokasi IP membandingkan lokasi IP komputer pengguna dengan alamat tagihan yang dimasukkan pada halaman pembayaran. Jika tidak cocok, mungkin ada indikasi penipuan. Ada beberapa alasan yang sah, seperti perjalanan, untuk kegagalan pencocokan, tetapi umumnya memerlukan penyelidikan lebih lanjut.
Nilai Verifikasi Kartu (CVV)
Kode nilai verifikasi kartu (CVV) adalah tiga atau empat digit angka pada kartu kredit yang menambahkan lapisan keamanan ekstra untuk melakukan pembelian saat pembeli tidak hadir secara fisik. Karena kode ini ada di kartu itu sendiri, kode ini memverifikasi bahwa orang yang melakukan pembelian melalui telepon atau online benar-benar memiliki salinan fisik kartu tersebut.
Jika nomor kartu Anda dicuri, pencuri yang tidak memiliki CVV akan kesulitan menggunakannya. CVV dapat disimpan dalam strip magnetik kartu atau dalam chip kartu. Penjual menyerahkan CVV dengan semua data lainnya sebagai bagian dari permintaan otorisasi transaksi. Penerbit dapat menyetujui, merujuk, atau menolak transaksi yang gagal dalam validasi CVV, tergantung pada prosedur penerbit.
Otentikasi Multifaktor (MFA)
Otentikasi multifaktor adalah teknologi keamanan yang membutuhkan lebih dari satu metode otentikasi dari kredensial independen untuk memverifikasi login pengguna atau transaksi lainnya. Teknologi ini dapat menggunakan dua atau lebih bit informasi independen, yang berasal dari pengetahuan pengguna (misalnya, kata sandi), kepemilikan pengguna (misalnya, token pengautentikasi), atau siapa pengguna tersebut (data biometrik). Menggunakan MFA menciptakan sebuah proses berlapis yang membuat lebih sulit bagi orang yang tidak berwenang untuk mengakses targetnya, karena penyerang mungkin tidak akan meretas semua lapisan. MFA awalnya hanya menggunakan dua faktor, tetapi lebih banyak faktor sudah tidak asing lagi.
CAPTCHA
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) adalah sebuah langkah keamanan dari jenis otentikasi tantangan-respon. Ini melindungi pengguna dari dekripsi kata sandi dengan meminta pengguna untuk menyelesaikan tes yang membuktikan bahwa peserta tes adalah manusia dan bukan komputer yang mencoba membobol akun.
CAPTCHA menggunakan serangkaian angka dan huruf acak dalam gambar yang terdistorsi dan mengharuskan pengguna untuk menyebutkannya secara berurutan. Semua sistem angka/huruf telah dikalahkan oleh para peretas pada satu titik tertentu. Sebagai hasilnya, versi alternatif sekarang menggunakan sistem anomali spotting (menemukan kotak dengan kapal) yang mudah bagi manusia tetapi tidak mudah bagi komputer.
Pemeriksaan Kecepatan
Pemeriksaan kecepatan melihat jumlah transaksi yang dilakukan oleh kartu yang sama atau pengunjung situs dalam beberapa detik atau menit satu sama lain. Biasanya, pengguna tidak melakukan banyak pembayaran secara berurutan, terutama pembayaran yang sangat cepat sehingga melampaui kapasitas manusia. Kecepatan dapat dipantau berdasarkan jumlah dolar, alamat IP pengguna, alamat penagihan, Nomor Identifikasi Bank (BIN), dan perangkat.
Contoh Carding
Carding umumnya melibatkan pembelian kartu hadiah yang kemudian digunakan untuk membeli kartu hadiah yang kemudian dapat dibelanjakan untuk barang-barang yang relatif sulit dilacak. Sering kali barang tersebut kemudian dijual kembali secara online atau di tempat lain. Informasi yang diperoleh dalam carding juga digunakan untuk pencurian identitas dan pencucian uang.
Penjualan Kembali Informasi
Salah satu cara termudah untuk memanfaatkan informasi yang diperoleh dari carding adalah dengan menjualnya kembali kepada orang lain yang kemudian akan menggunakannya dalam berbagai skema ilegal.
Pencucian Uang
Pada tahun 2004, sebuah forum carding yang populer dan sistem pembayaran online yang sering digunakan oleh para pelaku carding ditemukan telah menjadi sebuah bank dan sistem transfer yang memungkinkan pencucian uang dan pemrosesan dana kriminal. Karena terdesak, orang-orang yang menjalankan situs pembayaran tersebut menyerahkan banyak nama dan aktivitas kriminal namun pada akhirnya mereka sendiri dihukum karena pencucian uang.
Kesimpulan
Dalam jangka panjang, carding hanya dapat dicegah jika pemegang kartu dan pihak yang menerima kartu secara agresif memanfaatkan setiap metode yang tersedia untuk mencegah carding. Penjual harus membutuhkan sebanyak mungkin alat bantu pencegahan yang dapat mereka beli, sementara pemegang kartu harus mengawasi tanda-tanda fisik dari gangguan setiap kali mereka menggunakan kartu di ATM atau pompa celah.
