- 작성자는 회사의 Stripe 계정에 대한 카드 테스트 공격을 발견했으며, 자동 생성된 이름과 이상한 이메일 도메인을 가진 사용자로부터의 실패한 요금 청구가 있었습니다.
- 유사한 문제가 Twitter에서 다른 사람들에 의해 보고되어 일반적인 문제임을 나타냈습니다.
- 작성자는 일정 횟수의 실패 후 거래를 차단하기 위해 Stripe Radar와 임시 규칙을 도입했습니다.
- 공격자들은 주로 동일한 은행, 동일한 자금 출처 및 미국에서 매분 최대 네 장의 카드를 테스트했습니다.
- 작성자는 유효한 신용카드 번호를 생성하기 위한 신용카드 매개변수와 도구를 공유하는 텔레그램 채널을 발견했습니다.
- 공격자들은 개인 디스코드 서버나 텔레그램 채널에서 수동 공격을 시작하는 지하 네트워크의 일부로 추정됩니다.
- Stripe Checkout를 통해 자동 생성된 카드 목록을 실행하는 프로세스를 자동화하는 온라인 도구가 있습니다.
- 작성자는 공격의 여파를 정리하고, 환불 및 청구 취소를 수행하며, 반대 청구를 수락해야 했습니다.
- 미국 은행은 잘못된 정보로도 거래를 허용하는 관리 체크를 유연하게 적용합니다.
- 예방 방법에는 Stripe Radar의 사용자 정의 규칙과 실패한 결제 시도에 대한 제한 설정이 포함됩니다.
- 사기 행위의 비용은 기업이 부담하고 결국 고객에게 전가됩니다.
- 결제 네트워크는 악용될 수 있으며, 은행이 더 많은 책임을 져야 할 때까지 기업은 청구 실패율을 모니터링하고 예방 전략을 공유해야 합니다.