Sklep zalany „dziwnymi zamówieniami”? To może być testowanie kradzionych kart, nie włamanie

Szybko okazało się jednak, że nie chodziło o hack strony, tylko o sprytny schemat oszustwa, w którym sklep został wykorzystany jako „narzędzie” do testowania kart płatniczych.

Tym razem problem okazał się dla nas nowy, ale zaskakująco częsty w e-commerce: card testing, czyli automatyczne testowanie skradzionych danych kart na losowych sklepach.

Na czym polega ten scam

Oszuści kupują paczki danych kart (np. z wycieków) i puszczają bota, który robi mnóstwo małych prób płatności na różnych stronach. Chodzi o to, żeby sprawdzić, które karty są nadal aktywne. Jeśli płatność przejdzie, karta staje się „potwierdzona” i bardziej wartościowa dla przestępców. Mogą ją potem użyć do większych zakupów gdzie indziej albo sprzedać drożej. Tak wygląda to w opisach branżowych i dokumentacji płatności: testy są zwykle niskokwotowe i wykonywane masowo. 

Co ważne: sklep często jest tu tylko „narzędziem testowym”. Bot nie musi nic kraść z Twojej strony. Po prostu wykorzystuje Twój checkout do sprawdzania kart.

Jak to wygląda w praktyce po stronie właściciela sklepu

Najczęstsze sygnały ostrzegawcze to nagły skok liczby zamówień ze statusem „failed” albo mnóstwo prób z różnymi kartami w krótkim czasie. WooCommerce wprost opisuje to jako typowy objaw card testing.

Do tego dochodzą realne koszty i stres:

• prowizje i opłaty transakcyjne przy wielu próbach autoryzacji,
• ryzyko sporów/chargebacków,
• bałagan w panelu i strata czasu.

Dlaczego to jest szczególnie groźne w dropshippingu

Jeśli prowadzisz sklep i wysyłasz paczki samodzielnie, zwykle w porę zauważysz, że coś jest nie tak i wstrzymasz realizację.

Ale przy dropshippingu (gdy wysyłką zajmuje się hurtownia lub zewnętrzny fulfilment) ryzyko rośnie: jeżeli choć część transakcji przejdzie, system może automatycznie puścić zamówienie do realizacji. Potem płatność zostaje cofnięta, a towar już wysłany. I zostajesz ze stratą.

Jak to rozwiązaliśmy u naszego klienta (krok po kroku)

Te ataki często wymuszają podejście „testuj, mierz, popraw” – bo różne zabezpieczenia potrafią blokować boty, ale czasem przy okazji utrudniają normalne zakupy.

1. Najpierw znaleźlismy na wideo, które dokładnie tłumaczyło ten problem (card testing na WooCommerce) i sugerowało blokadę ruchu botów, które próbują „iść na skróty” prosto do koszyka/checkoutu.
   Rozwiązanie zadziałało, ale pojawił się efekt uboczny: zablokowało też płatności PayPal u tego klienta. Czyli boty stop, ale normalni klienci też dostali po głowie.
2. Potem dołożyliśmy plugin do „wyłapywania” sztucznych zamówień (flagowanie / wstrzymywanie). To ograniczyło ryzyko realizacji, ale same zamówienia nadal wpadały, tylko były oznaczane. Dużo ręcznej roboty, stres nadal zostawał.
3. Ostatecznie postawiliśmy na prostą, sprawdzoną warstwę ochrony: Google reCAPTCHA w koszyku / na etapie składania zamówienia.
   I to był przełom. Boty przestały przechodzić, a normalne płatności działały. reCAPTCHA jest wprost wymieniana jako praktyka ograniczająca card testing i ochronę przepływu płatności.

Co warto zrobić u siebie, zanim problem się pojawi

Jeśli prowadzisz sklep internetowy, potraktuj to jako krótką checklistę „zdrowego rozsądku”:

Po pierwsze, zabezpiecz newralgiczne miejsce, czyli checkout. CAPTCHA/reCAPTCHA w procesie płatności jest jednym z najprostszych i najczęściej polecanych sposobów na boty testujące karty. 

Po drugie, ustaw ograniczenia „velocity”, czyli blokady na zbyt wiele prób w krótkim czasie. W praktyce to może być rate limiting na endpointach checkoutu albo ochrona po stronie WAF. To bardzo skuteczna para razem z CAPTCHA. Sama jednak u nas nie zadziałała, bo automatyczne zakupy były rozłożone w czasie i nie triggerowały zabezpieczenia.  

Po trzecie, monitoruj anomalie. Jeżeli nagle rośnie liczba failed orders, pojawiają się setki prób z podobnymi wzorcami, albo w krótkim czasie „dzieją się cuda” – reaguj od razu. Dokumentacja WooCommerce podaje monitorowanie transakcji jako pierwszy, najprostszy sygnał ostrzegawczy. 

Dlaczego o tym piszemy

Bo wiele osób robi sklepy „po taniości”: samodzielnie, na przypadkowym hostingu, bez wsparcia technicznego, „bo jakoś działa”. I dopóki działa, jest dobrze. A kiedy pojawia się taki atak, właściciel zostaje sam, hosting zwykle nie pomoże, a czas działa na niekorzyść.

Tu nie chodzi o straszenie. To po prostu kolejny przykład, że w e-commerce liczy się nie tylko design i produkty, ale też szybka reakcja i techniczne ogarnięcie tematu. Ludzkie zaplecze 🙂 

Jeśli więc myślisz o sklepie online dla swojego biznesu – pomyśl o sprawdzonej ekipie! Takiej jak my!