Se estamos na era da informação, também entramos na era da segurança da informação. Por isso, as companhias de cartões de crédito e os gateways de pagamento (que são aqueles sistemas que fazem a intermediação entre loja e consumidor, como PayPal e PagSeguro) apostam todas as fichas na caçada aos cibercriminosos que usam cartões de crédito roubados.

E os cibercriminosos tentam a todo custo dar um jeitinho de não serem vistos! Para encontrar cartões de crédito válidos (que são como agulhas num palheiro), eles utilizam muito os checkers (testadores) – e alguns deles fazem até doações a ONGs no meio disso tudo! Não faz ideia do que estou falando? Então vem comigo:

Cartões de crédito roubados: como?

Existem inúmeras formas pelas quais um vazamento de cartões de crédito pode ocorrer – exemplos disso podem ser invasões que usam técnicas como o SQL Injection ou mesmo máquinas de cartão de origem duvidosa que capturam todos os dados de quem é desatento.

Nessa aventura, milhões de números de cartão de crédito completos circulam pela internet – seja na web superficial (como em serviços de paste), seja na deep e dark web. Nem todos funcionam, é claro, e para encontrar o ouro de forma mais prática os criminosos fazem plataformas que testam esses números em lote.

Checkers: testando, testando, testando

Os checkers são plataformas de testes para que os criminosos insiram um lote de vários números de cartões de crédito obtidos ilegalmente. Eles funcionam por meio de muitas transações de valores pequenos – aquelas que dão certo vão para uma listinha de “Aprovadas”, e as negadas, para as “Reprovadas”.

A ideia disso tudo é deixar o processo mais rápido e, ao mesmo tempo, evitar detecções de muitas tentativas de cartões vindas de um mesmo cadastro ou local. Barbada, né? Na verdade, nem tanto: para fazer esse esquema ilegal, tem muita coisa ilegal envolvida também.

Preparando o checker

A grande maioria dos checkers utiliza um gateway, que são aqueles serviços como PayPal, PagSeguro e outros similares. Isso não significa que eles estejam com alguma brecha de segurança ou coisa parecida! Na verdade, os cibercriminosos dão um jeito de conseguir senhas de acesso (roubando de comerciantes e lojistas, por exemplo) a essas APIs – é por isso que, quando você faz uma compra num e-commerce ou marketplace, está na verdade fazendo uma transação com esses gateways que estão no site, e não diretamente com o vendedor.

A partir daí, os fraudadores tentam fazer inúmeras artimanhas para despistar qualquer tipo de detecção desses crimes: os robôs criados podem preencher de forma aleatória diversos nomes, endereços, CPFs e também usar serviços de proxy (que escondem o IP de onde está sendo feita a transação).

A novidade: checkers que fazem doações!

A criatividade é uma coisa linda mesmo: recentemente, detectamos aqui na Axur alguns códigos php para hospedagem desses checkers. O achado foi na web superficial mesmo, em um site de compartilhamento de arquivos de texto. Analisando um desses códigos, vimos que o destino de todas as transações era uma ONG internacional! Criminosos caridosos... Que coisa bem linda, hein?

Bem ali em CURLOPT_REFERER está a URL em que todo o processo das doações feito:

Um checker desse tipo facilita quem não tem acesso a uma API de algum gateway de pagamento. Seria necessário saber como hospedar o php, mas organizações como a desse exemplo recebem tantas doações de tantos lugares do mundo, todos os dias, que os criminosos acreditaram ser esse o caminho mais fácil para não serem descobertos – se a ONG já não descobriu e acabou com a festa, é claro.