Plus d'un million de cartes de crédit se retrouvent en ligne sur le dark web

Alexandre Schmid

11 octobre 2022 à 16h50

Des cartes de crédit encore valables du monde entier ont été mises à disposition des internautes sur le dark web.

BidenCash, une plateforme de vente de cartes de crédit volées sur le dark web, a publié une base de données contenant plus de 1,2 million de coordonnées bancaires, la plupart du temps rattachées à des informations personnelles des victimes.

En libre-service sur le dark web

N'importe qui est donc en mesure de télécharger ce fichier et de tenter de commettre une fraude à la carte bancaire. Les données proviennent de plusieurs fuites et piratages, et ont été récupérées notamment par des logiciels malveillants ciblant les utilisateurs et des attaques contre des sites de commerce en ligne.

Pour son lancement en juin 2022, BidenCash avait déjà rendu publique une liste de plusieurs milliers de cartes de crédit volées à des fins promotionnelles. Cette fois-ci, la fuite est beaucoup plus massive et serait un moyen de mettre en avant la nouvelle adresse URL du service.

Selon les analystes de D3Lab, interrogés par Bleeping Computer, les données divulguées correspondent à de vraies cartes et titulaires de cartes. En revanche, toutes ne sont pas fraîches, et bon nombre d'entre elles ont déjà été leakées par d'autres sources. Environ 30 % des informations pourraient toutefois être inédites, soit dans les 350 000 cartes bancaires sur l'échantillon des 1,2 million de la base de données.

Données bancaires… et personnelles

Une faible part des cartes bancaires rendues publiques devrait être exploitable. Les banques émettrices devraient en avoir bloqué la majorité après avoir détecté une activité frauduleuse. Les informations fuitées peuvent contenir les éléments suivants :

Numéro de carte
Date d'expiration
Numéro CVV
Nom du propriétaire
Nom de la banque
Type et statut de la carte
Adresse, état et code postal du titulaire
Adresse mail
Numéro de sécurité sociale
Numéro de téléphone

Les cartes bancaires concernées expirent entre 2023 et 2026, et proviennent du monde entier. Les États-Unis sont de loin le pays le plus touché. L'Inde et le Brésil font également partie des nations qui souffrent le plus de ce leak. L'Europe est un peu plus épargnée, mais D3Lab confirme que des cartes italiennes sont compromises.

Source : Bleeping Computer

Alexandre Schmid

Gamer et tech enthusiast, j’ai fait de mes passions mon métier. Diplômé d’un Master en RNG sur Hearthstone. Rigole aux blagues d’Alexa.

Lire d'autres articles

Gamer et tech enthusiast, j’ai fait de mes passions mon métier. Diplômé d’un Master en RNG sur Hearthstone. Rigole aux blagues d’Alexa.

Lire d'autres articles

Commentaires (16)

Roster1

Toujours choisir une banque qui propose des carte virtuel pour les paiements

cid1

@Roster1 a écrit :« Toujours choisir une banque qui propose des cartes virtuelles pour les paiements » Tu parles de ces cartes de crédit rechargeables ? ou c’est autre chose, merci ?

salo86

Non c’est par exemple de créer une carte de crédit virtuelle à numéro unique, dont on a la main mise sur : le montant maximum autorisé sur le numéro, le temps de validité du numéro etc… Comme ils faisaient un temps au crédit mutuel avec « Virtualis ». Comme je ne suis plus chez eux je ne sais pas si c’est toujours le cas…

_Reg24

J’ai configurer l’app liée à la carte pour avoir une notification a chaque transaction, comme ça en cas de truc suspect, je peux la bloquer sur le champ.

Francis7

Les banques demandent une autorisation via SMS avec un code à renvoyer avant de valider un paiement en ligne…La question, c’est est-ce toutes ? Et puis comme dit @ccvman, ces cartes ne fonctionnent plus assurément. Pour l’anecdote, je suis déjà tombé sur une application graphique contenant une base de donnée de CB, les milliers et des milliers de cartes. C’est un phénomène qui n’est vraiment pas nouveau. Et puis retour au premièrement : la banque ne valide pas si elle n’a pas votre consentement et puis les transactions peuvent se surveiller sur internet : on peut se faire rembourser, si problème avéré.

MattS32

Francis7: Les banques demandent une autorisation via SMS avec un code à renvoyer avant de valider un paiement en ligne…La question, c’est est-ce toutes ? Normalement les banques dans l’UE supportent toutes le 3DSecure aujourd’hui. Après, ça dépend aussi du commerçant. Par exemple chez les commerçants qui n’ont pas un vrai système de paiement en ligne et tapent le numéro de la CB sur un TPE en mode saisie manuel, pas de validation par SMS.

zoup01

Francis7: Les banques demandent une autorisation via SMS avec un code à renvoyer avant de valider un paiement en ligne…La question, c’est est-ce toutes ? Non, ce n’est pas le cas… Suivant les commerçants, je suis tombé sur 3 possibilités différentes : 1/ Le classique sms ( en voie de diminution) 2/ rien du tout, le paiement est validé directement ( rare ) 3/ une validation par connexion à ta banque sur l’application de ta banque sur le smartphone, auquel cas, tu dois composer ton code d’accès ( boursorama)

Francis7

@MattS32 @zoup01 En effet, cela dépend aussi du commerçant. Cela avait été le cas avec mon ancien assureur auto. Ce n’était pas du tout une fraude mais j’avais été débité 6 fois d’affilé simultanément à cause de leur TPE sur ordinateur. Je n’étais pas le seul dans ce cas. Ils m’ont fait un virement immédiatement après présentation du relevé de compte que l’on peut avoir immédiatement en ligne. Il faut faire attention aussi aux chèques avec le paiement en plusieurs fois. Même si les chèques sont datés, on peut tomber sur des gens qui ne respectent pas l’accord consenti. Ils peuvent encaisser tous les chèques le même jour et la banque laisse passer puisque les chèques ont été émis, le reste ne les regarde pas. Attention à la surprise. Mais ça se règle facilement sans soucis d’impayé et de chèque rejeté. Chaud !

Garden_Dwarf

Je me suis fait pomper 100 euros en Août cette année sur une Mastercard (5x20). Réponse de Mastercard : le payement a été fait avec une authentification forte, on vous rembourse pas. Les transactions ont été faites en Ukraine (code indiquant Kiev).

leje

Roster1: Toujours choisir une banque qui propose des carte virtuel pour les paiements Ou bloquer les paiements par internet lorsqu’on en a pas besoin. Avec l’appli de ma banque je peux débloquer ce type de paiements pour 1 heure, le temps de faire mon achat. Le reblocage se faisant automatiquement, c’est assez pratique. Les cartes virtuelles sont plus contraignantes je trouve, avec la nécessité d’en recréer souvent (ou accepter de perdre des sommes limitées comme @Garden_Dwarf ) et le problèmes des paiements où tu as besoin de présenter la carte qui a servi au paiement (réservations hôtel, avion…).

Lepered

La banque est OBLIGEE de rembourser, c’est la loi Française. Le CIC avait tenté le même coup il y a quelques années en me disant que j’avais communiquer mon code secret… après avoir insister, ils m’ont dit que le code secret était… la date d’expiration de la CB. Donc autant dire que c’était de leur responsabilité sachant qu’il y a 24 combinaisons possibles (24 mois). Ensuite ils ont dit que c’était pas eux mais Visa… En bref courrier recommandé ce qui a montrer que je ne lâcherai pas l’affaire. Ils ont remboursés et je parle de moins de 100 Euros En conclusion j’ai changé de banque et suis maintenant chez Boursorama. A la difference du CIC, eux m’ont appelé au téléphone lorsqu’il y a eu un prélèvement anormale. J’ai confirmé que je n’avais pas fait cet achat: blocage de la carte, remboursement et envoi d’une nouvelle carte dans la foulée. C’est bien de travailler avec des pros…

MattS32

leje: Ou bloquer les paiements par internet lorsqu’on en a pas besoin. Un numéro de carte n’est pas utilisable que sur Internet, il est aussi utilisable sur un TPE en mode saisie manuelle. Je ne suis pas sûr que le blocage des transactions Internet bloque aussi les transactions en saisie manuelle.

yoda_net

« Un numéro de carte n’est pas utilisable que sur Internet, il est aussi utilisable sur un TPE en mode saisie manuelle » Pour faire une saisie manuelle sur un TPE, il faut un module « vente à distance » (pas possible sur tous les TPE). Il faut être enregistré comme commerçant VPC et les transactions sans utilisation de la carte physique et du code secret sont des paiements à distance, donc refusés si on bloque les paiements internet de la carte

Francis7

@MattS32 @yoda_net Faire invalider la carte par la banque, c’est mieux quand elle est remplacée. @Lepered J’étais chez CIC à Paris quand j’y habitais. Ils sont très sympas. Je ne sais pas si cela se fait toujours mais avec un solde débiteur accidentel considérable (pour cause de travaux urgents sur l’installation électrique que j’avais pris à ma charge sans passer par l’agence, le propriétaire, parce qu’elle n’était pas aux normes et sans disjoncteur et qu’il y avait eu un dégât des eaux et je n’avais plus d’électricité), ils ont remis mon compte courant à zéro, m’ont dit de ne plus utiliser la carte bancaire jusqu’au prochain virement de salaire et de ne vivre en attendant que sur la carte de crédit du montant du débit qu’ils m’avaient faite très rapidement. Carte bancaire et carte de crédit, il y a une différence.

Faniep

Depuis lundi 11/10 je cherchais comment ma CB avait pu être piratée… j’ai la réponse ! Ma CB expirait bien en 2023. Le 11 octobre donc, deux achats ont été faits avec ma CB aux États-Unis, pour une valeur de 1200 euros, et ces achats sont passés sans aucune demande d’authentification ! Le paiement qu’ils ont tenté ensuite, de plus de 700 dollars, a généré une demande d’authentification via l’application de ma banque et a donc été refusé. Ils ont réessayé et puis ils ont laissé tomber. C’est le service des fraudes qui m’a téléphoné dans l’après-midi pour me prévenir… C’était le 11, l’argent n’a toujours pas été débité (c’est long…), donc j’attends que les paiements apparaissent sur mon compte pour porter plainte et demander leurs remboursements. J’ai lu que c’était obligatoire comme qqun le dit, mais j’ai aussi lu que les banques trouvaient parfois des excuses pour ne pas rembourser ! J’ai reçu ma nouvelle CB et moi qui achète tout en ligne j’avoue que je ne sais pas comment la sécuriser maintenant !

francoismorin2021

salut voilà comment les cybercriminels font pour récupérer les code cvv . un fullz est un package vendu illégalemment regroupant les informations requises pour réaliser une transaction en ligne et notamment le numéro cvv . pour la plupart des vols de code cvv il faut se pencher sur les attaques de type magecart contre les détaillants . à l’origine le terme magecart servait à désigner un gang cybercriminel réalisant une type d’attaque spécifique . l’attaque consiste à accéder au système de paiement d’un détaillant puis à utiliser des logiciels malveillants pour effacer les détails de la carte en temps réel lorsqu’ils sont saisis pour effectuer un achat . ce type d’attaque est appelé écrémage web il s’agit de voler les détails d’une carte de paiement avant qu’ils ne soient chiffrés par le détaillant . l’utilisateur et le détaillant ne se rendront compte de rien tant que le logiciel malveillant n’aura pas été découvert . voilà pour l’info très simple ici . sur ceux très bonne journée à vous . ainsi qu’une très bonne année .

Voir tous les messages sur le forum

Plus d'un million de cartes de crédit se retrouvent en ligne sur le dark web

En libre-service sur le dark web

Données bancaires… et personnelles

A découvrir en vidéo

Commentaires (16)

Top app & logiciels

Sur le même sujet