Les prix du dark web pour les comptes PayPal volés en hausse, les cartes de crédit en baisse : rapport
Lorsqu’un pirate informatique crée un nouveau logiciel malveillant, vole une base de données ou hameçonne quelqu’un pour obtenir son numéro de carte de crédit, l’étape suivante consiste souvent à se tourner vers les marchés du dark net. Ces marchés noirs permettent aux acheteurs et aux vendeurs d’effectuer des transactions anonymes en utilisant une combinaison de messages cryptés, d’alias et de cryptomonnaies.
Les chercheurs de Comparitech ont passé au crible plusieurs marchés illicites sur le dark web pour découvrir la valeur de nos informations privées. Dans la mesure du possible, nous examinerons également l’évolution des prix au fil du temps.
Pour cette étude, les chercheurs se sont concentrés sur les comptes PayPal et les cartes de crédit.
Avant d’entrer dans les détails, voici quelques-unes de nos principales conclusions :
- 17,36 USD est le prix moyen d'une information de carte de crédit volée, soit environ 0,0033 USD par dollar de limite de crédit.
- 171 USD est le prix moyen d'une carte de crédit physique clonée, soit 0,0575 USD par dollar de limite de crédit.
- 197 $ US est le prix moyen d'un compte PayPal ou d'un transfert de solde piraté, soit 9,2 cents par dollar de solde du compte.
- Les prix des cartes de crédit et des comptes PayPal volés sont respectivement corrélés à leurs limites de crédit et aux soldes de leurs comptes.
- Par rapport à une étude similaire menée 8 mois auparavant, les prix des cartes de crédit ont chuté cette année de 27 %, mais les prix des comptes PayPal ont augmenté de 194 %.
Cartes de crédit
Les cartes de crédit peuvent être vendues sous forme d’objets physiques ou numériques sur le dark web. Les détails de la carte de crédit utilisés pour la fraude en ligne sont moins chers et peuvent être envoyés par SMS. Les cartes physiques sont généralement clonées à partir de détails volés en ligne, mais peuvent être utilisées pour effectuer des retraits aux distributeurs automatiques. Étant donné que le commerçant a besoin d'un équipement pour cloner la carte et doit envoyer à l'acheteur un produit physique complet avec son numéro PIN, le prix des cartes clonées est beaucoup plus élevé.
17,36 $ USest le prix moyen d'un numéro de carte de crédit, du CVV, de la date d'expiration, du nom du titulaire de la carte et du code postal : les bases. C'estplus du double du prix moyen que nous avons enregistré environ huit mois auparavant dans une étude similaire , même si ce n’est pas toute l’histoire.
À l’époque, la limite de crédit médiane sur une carte de crédit volée était 240 fois supérieure au prix de la carte volée, soit environ 0,42 cents (0,0042 $ US) par dollar. Nos nouveaux résultats montrent que le chiffre est maintenant0,33 cents par dollar, soit 306 fois le prix de la carte volée.
Le prix moyen d’une carte physique clonée est de 171 $, soit 5,75 cents par dollar de limite de crédit.
Nous avons noté une corrélation positive moyenne (r = 0,56) entre la limite de crédit d’une carte clonée et son prix. La corrélation était moins forte mais toujours apparente dans les ventes de détails de cartes de crédit (r = 0,41). La limite de crédit moyenne sur les annonces que nous avons examinées était de 2 980 $.
Quel type de carte de crédit vaut le plus sur le dark web ?
Nous avons divisé le prix moyen declonédes copies de chaque grande marque de carte de crédit selon la limite de crédit moyenne dans les listes que nous avons examinées pour savoir quels types de cartes de crédit valent le plus pour les criminels :
- American Express : 5,13 cents par dollar
- Découvrir : 6,27 cents par dollar
- MasterCard : 6,47 cents par dollar
- Visa : 5,75 cents par dollar
Cependant, la marque n’est qu’une considération parmi tant d’autres. Les prix des cartes de crédit varient énormément. Plusieurs facteurs peuvent contribuer à un prix plus élevé sur le dark web :
- Que le produit soit une carte physique (généralement clonée) ou numérique (juste le numéro et d'autres informations sur la carte)
- Date d'expiration – les cartes les plus récentes sont plus susceptibles d'être valides
- Limite de crédit
- Emplacement et code postal – certains acheteurs veulent des cartes provenant d'emplacements spécifiques
- Niveau de carte – Les cartes Or et Platine ont tendance à valoir plus
- CVV – les cartes qui incluent des numéros CVV valent plus
- Si la carte a déjà été vendue
- Les cartes avec code PIN ATM valent plus
- Vérification du solde et de la validité
- Que la carte soit vendue à l'unité ou en gros
- Marque de carte (VISA, AMEX, Discover, MasterCard, etc.)
- Informations personnelles du titulaire de la carte (fullz)
- Limite de retrait quotidienne
A quoi servent les cartes de crédit volées ?
Les voleurs achètent des cartes pour les encaisser ou effectuer des achats pouvant être revendus. Dans le passé, les voleurs utilisaient les cartes pour acheter des formes d’argent moins traçables comme des cryptomonnaies ou des cartes-cadeaux. Notamment, ce comportement a changé, comme l’a indiqué un fournisseur dans la description de son produit…
'Nous sommes en 2021, je ne pense pas que vous puissiez obtenir du BTC ou des cartes-cadeaux grâce au carding' [sic]
Ce commerçant a spécifiquement mentionné que l'utilisation d'une carte volée dans un magasin utilisant la vérification par Visa (VBV) annulerait probablement la carte. Vérifié par Visa est un service qui demande au titulaire de la carte un mot de passe à usage unique chaque fois que sa carte est utilisée dans les magasins participants. MasterCard possède une fonctionnalité similaire appelée SecureCode ou MCSC.
Les cardeurs ont tendance à cibler des sites spécifiques qui ne disposent pas de VBV ou d’autres protections contre la fraude. Certains vendeurs vendent même des listes de sites « cardables » pour quelques dollars. Pour les criminels débutants qui ne savent pas comment utiliser les cartes de crédit volées, il existe de nombreux tutoriels gratuits et payants sur le carding sur le dark web.
Certains vendeurs vendent des informations supplémentaires sur le titulaire de la carte, désignées par le terme « fullz ». Fullz, ou informations complètes, comprend le numéro de sécurité sociale du titulaire de la carte, son adresse postale, sa date de naissance, etc. L'ajout de fullz augmente le prix, mais seulement de façon marginale : environ 30 $ pour une carte physique et moins d'un dollar lorsqu'elle est ajoutée à d'autres informations de carte.
Un bon nombre de fournisseurs incluent l'accès à un proxy Internet SOCKS5 qui peut être utilisé par l'acheteur pour faire correspondre l'adresse IP de son ordinateur avec celle du titulaire de la carte afin d'éviter d'être mis sur liste noire.
En raison du nombre limité de données sur les cartes de crédit d'autres pays, nous n'avons pas pu comparer de manière adéquate les prix des cartes de crédit de différents endroits.
En rapport: Comment rester en sécurité lorsque vous payez en ligne
Pay Pal
Le prix du marché noir des comptes PayPal volés se résume principalement au solde du compte existant (r = 0,87).Le prix moyen d'un compte PayPal sur toutes les places de marché que nous avons examinées était de 196,50 $, avec un solde moyen de 2 133,61 $.Cela signifie que les acheteurs paient environ9,2 cents par dollardans le compte PayPal, ce qui représente presque le double du rapport prix/limite de crédit sur les cartes de crédit physiques.
Dans une étude similaire réalisée plus tôt cette année, nous avions noté un prix moyen de 3,13 cents par dollar sur le compte. Ainsi, contrairement aux cartes de crédit, les prix des comptes et des virements PayPal ont augmenté de 293 % pendant la pandémie.
Comme les cartes de crédit, les comptes PayPal ont différents niveaux. La plupart des utilisateurs disposent uniquement du compte personnel standard, mais des comptes Premier et Business existent également et sont en vente sur le dark web. Mais ces niveaux n’ont pas beaucoup d’influence sur les prix du dark web, qui sont largement régis par le solde du compte.
- Les comptes individuels coûtent en moyenne 161,59 $, avec un solde moyen de 1 732,85 $, soit 9,32 cents par dollar.
- Les comptes Premier coûtent en moyenne 186,31 $, avec un solde moyen de 2 029,95 $, soit 9,18 cents par dollar.
- Les comptes professionnels coûtent en moyenne 246 $, avec un solde moyen de 2 684,29 $, soit 9,18 cents par dollar.
Pourquoi les cybercriminels piratent-ils les comptes PayPal ?
Les comptes PayPal sont recherchés par les cybercriminels pour plusieurs raisons :
- Ils sont accessibles de n’importe où avec un navigateur Web
- Ils ont généralement des soldes existants
- Il est facile d'envoyer de l'argent sur PayPal
- C'est un mode de paiement courant ; beaucoup de commerçants l'acceptent
Le détournement d’un compte PayPal nécessite une approche différente du vol d’un numéro de carte de crédit. Au lieu des numéros de carte et des CVV, les criminels volent les noms d’utilisateur et les mots de passe qu’ils ont collectés via le phishing ou des logiciels malveillants. Ils peuvent ensuite vendre les informations d’identification du compte à un acheteur qui peut se connecter et drainer les fonds, ou le vendeur peut transférer le montant demandé du compte de la victime vers le compte de l’acheteur.
En plus des soldes des comptes PayPal, ils peuvent également transférer de l'argent depuis n'importe quel compte bancaire ou carte de crédit connecté. En plus de tout cela, ils pouvaient effectuer des achats ou demander de l'argent aux contacts répertoriés dans le compte PayPal.
Connexe : 7 escroqueries PayPal courantes et comment les éviter
Numéros de sécurité sociale et fullz
- Les Américains ont les fullz (informations d'identification complètes) les moins chers, avec une moyenne de 8 $ par enregistrement. Le Japon et les Émirats arabes unis possèdent les identités les plus chères, à 25 dollars en moyenne.
Les numéros de sécurité sociale et autres numéros d’identification nationaux sont en vente sur le dark web mais ne sont pas particulièrement utiles aux cybercriminels en eux-mêmes.
Ils sont généralement accompagnés d'autres informations personnelles, notamment le nom, la date de naissance, l'adresse, le numéro de téléphone, les numéros de compte et d'autres informations personnelles que les cybercriminels utilisent pour usurper l'identité, notamment pour ouvrir de nouvelles lignes de crédit au nom de la victime, en prenant sur les comptes et les retraits des banques, entre autres crimes.
Ces ensembles d’informations personnelles sont appelés « plein», abréviation de « informations d’identification complètes ». Ainsi, au lieu d’examiner seuls les prix des SSN, les chercheurs de Comparitech ont analysé les prix des fullz.
Quelques facteurs affectent le prix de fullz :
Pays
Comme pour les cartes de crédit, la localisation de la victime dont les informations sont mises en vente a une influence significative sur le prix.Les Américains ont le fullz le moins cher, avec une moyenne de 8 $ par disque. Le Japon, les Émirats arabes unis et l'Europe possèdent les identités les plus chères, à 25 dollars en moyenne.
cerf | 8 $ |
ROYAUME-UNI | 14 $ |
Turquie | 14 $ |
Israël | 14 $ |
Chine | 15 $ |
Singapour | 15 $ |
Canada | 15 $ |
Australie | 15 $ |
La Colombie | 20 $ |
Nouvelle-Zélande | 20 $ |
Mexique | 22 $ |
Émirats arabes unis | 25 $ |
Japon | 25 $ |
L'Europe | 25 $ |
Notez que les pays autres que les États-Unis n’utilisent peut-être pas de numéros de sécurité sociale, mais ils ont généralement un numéro d’identification national similaire, comme le numéro d’identification sociale du Royaume-Uni.
Informations Complémentaires
Tous les fullz ne sont pas identiques. Bien que le SSN, le nom et la date de naissance soient tous assez standard dans leur intégralité, d'autres informations peuvent être incluses ou exclues et ainsi modifier le prix. Les Fullz accompagnés d’un numéro de permis de conduire, d’un relevé de compte bancaire ou d’une facture de services publics vaudront plus que ceux qui n’en ont pas, par exemple.
Certains fullz incluent même des photos ou des scans de cartes d’identité, comme un passeport ou un permis de conduire.
Protéger vos données
Les cartes de crédit, les comptes Paypal et Fullz sont les types d’informations volées les plus populaires échangées sur le dark web, mais ils sont loin d’être les seules données qui valent la peine d’être volées. Ventes de passeports , permis de conduire, miles de fidélisation , les comptes de streaming, les profils de rencontres, les comptes de réseaux sociaux, les comptes bancaires et les cartes de débit sont également courants, mais pas aussi populaires.
La plupart des données achetées et vendues sur les marchés du Dark Web sont volées par le biais du phishing, du credential stuffing, des violations de données et des skimmers de cartes. Voici quelques conseils pour éviter ces attaques :
- Un utilisateur final ne peut pas faire grand-chose contre les violations de données, sauf enregistrer moins de comptes et minimiser son empreinte numérique.
- Gardez un œil sur les récupérateurs de cartes dans les points de vente, en particulier ceux sans surveillance comme ceux des stations-service.
- Apprendre comment repérer et éviter le phishing e-mails et autres messages.
- Bourrage d'informations d'identification peut être évité en utilisant des mots de passe forts et uniques sur tous vos comptes.
Méthodologie
Les chercheurs de Comparitech ont rassemblé des listes de cartes de crédit volées, de comptes PayPal et d'autres biens et services illicites sur 13 marchés du Dark Web. Pour des raisons juridiques, nous ne divulguerons pas publiquement quels marchés ont été utilisés. Les informations contenues dans les listes ont été saisies dans une feuille de calcul pour l'analyse des données et les calculs statistiques.
Au total, l'analyse a porté sur plus de 200 annonces de comptes PayPal et environ 400 annonces de cartes de crédit.