چطور مجرمان سایبری اطلاعات کارت اعتباری را سرقت می کنند؟

مجرمان سایبری پس از آموزش هک، روش های مختلفی در اختیار دارند تا اطلاعات کارت اعتباری را هک و سوءاستفاده کنند. بیاموزید این روش ها چه هستند، چطور می توان از آن ها پیشگیری کرد و هنگام هک شدن چه باید انجام داد.

با توجه به رشد تصاعدی تجارت الکترونیک و تراکنش های آنلاین، امنیت سایبری هرگز تا این اندازه حیاتی نبوده است. هکرها ممکن است به روش های مختلفی سعی در نقض حریم خصوصی ما داشته باشند، اما یکی از حوزه هایی که برای آن ها به ویژه جذاب است، اطلاعات کارت اعتباری است. کارت های اعتباری سرقت شده می توانند نه تنها بر امور مالی شما، بلکه بر هویت شخصی و حریم خصوصی تان نیز تأثیر منفی بگذارند. محافظت از آن ها و داده های مرتبط با آن ها در دنیای آنلاین ضروری است.

در این مقاله، به بررسی این موضوع می پردازیم که مجرمان سایبری چگونه می توانند اطلاعات کارت اعتباری شما را سرقت کنند، بهترین روش های ایمن ماندن را برجسته می کنیم و توضیح می دهیم که اگر کارت اعتباری یا دبیت کارت شما به خطر افتاد چه باید کرد.

۷ روش رایج سرقت اطلاعات کارت اعتباری

هکرها می توانند اطلاعات کارت های اعتباری و دبیت را به روش های مختلفی سرقت کنند؛ هم به صورت آنلاین و هم آفلاین.

۱. فیشینگ

آیا یک وب سایت می تواند اطلاعات کارت اعتباری شما را سرقت کند؟ پاسخ کوتاه این است: بله.

در فیشینگ، هکرها تلاش می کنند با جعل هویت یک منبع قابل اعتماد، اطلاعات ارزشمند را بدزدند. چندین طرح فیشینگ شامل تماس های تلفنی جعلی، وب سایت های جعلی و ایمیل های فروش جعلی می شود. طبق گزارشی از مجله فوربس، در سال ۲۰۲۲ تعداد ۳۰۰,۴۹۷ قربانی فیشینگ در آمریکا گزارش شده که مجموع خسارت آن ها ۵۲,۰۸۹,۱۵۹ دلار بوده است.

برای مثال، فردی که وانمود می کند از بانک صادرکننده کارت یا شرکت کارت اعتباری شما تماس گرفته، می گوید باید فعالیت های اخیر کارت اعتباری شما را با گرفتن برخی اطلاعات شخصی تأیید کند و شماره کارت اعتباری شما را می خواهد. به همین شکل، یک ایمیل فیشینگ که توسط مهاجمی با هویت جعلیِ یک خرده فروش ارسال شده و به شما تخفیف یا کالای رایگان پیشنهاد می دهد، می تواند ترفندی برای فریب شما و گرفتن جزئیات حساب کارت پرداخت باشد.

تلاش های رایج فیشینگ نسبتاً آسان قابل شناسایی هستند، زیرا ویژگی هایی از خود نشان می دهند که در پیام های معتبر وجود ندارد: ایجاد ترس، القای فوریت، نگارش ضعیف پیام و درخواست هایی که با رفتارهای تجاری پذیرفته شده متفاوت است.

در سال های ۲۰۲۴ و ۲۰۲۵، موجی از پیامک ها کاربران تلفن در سراسر نیوانگلند را هدف قرار داد که وانمود می کرد از طرف شرکت مدیریت عوارض E-ZPass ارسال شده و خواستار پرداخت فوری عوارض پرداخت نشده بود. این پیامک ها از شماره ای ناشناس ،  گاهی خارج از کشور ،  ارسال می شدند، گیرنده را با نام خطاب نمی کردند، هیچ مبلغ واقعی عوارضی ذکر نمی کردند و درخواست پرداخت ظرف ۱۲ ساعت را از طریق یک لینک ساده (vanilla URL) مطرح می کردند. در حالی که E-ZPass هرگز اطلاعیه پرداخت را از طریق پیامک ارسال نمی کند. ترکیب این عوامل باعث می شد کلاهبرداری به راحتی قابل شناسایی باشد.

با این حال، کلاهبرداران سطح کار خود را ارتقا داده اند و با استفاده از ابزارهای یادگیری ماشین و هوش مصنوعی پیام هایی واقعی تر تولید کرده و آن ها را به طور هدفمندتر ارسال می کنند. کاربران باید همیشه هوشیار باشند و وضعیت حساب یا اطلاعات پرداخت را مستقیماً از طریق ارائه دهنده واقعی بررسی کنند.

روش پیشگیری: بهترین راه برای جلوگیری از کلاهبرداری های فیشینگ ،  چه از طریق ایمیل، تلفن یا پیامک ،  این است که هرگز هیچ اطلاعات شخصی یا کارت اعتباری را مگر در صورتی که خودتان ارتباط را آغاز کرده باشید، ارائه ندهید. همچنین برای انجام تراکنش ها مستقیماً به وب سایت خرده فروش مراجعه کنید تا کنترل کامل را در دست داشته باشید.

۲. بدافزار و جاسوس افزار (Malware & Spyware)

مراقب باشید چه چیزی دانلود می کنید. دانلود ناخواسته بدافزار یا جاسوس افزار می تواند به هکرها امکان دهد به اطلاعات ذخیره شده روی رایانه شما، از جمله اطلاعات کارت اعتباری و جزئیات دیگر دسترسی پیدا کنند. برای مثال، یک حمله بدافزاری ممکن است از کی لاگر استفاده کند که کلیدهای فشرده شده شما یا تاریخچه مرورگر را ثبت کرده و سپس آن را برای هکر ارسال کند.

مهم است به خاطر داشته باشید که فقط نرم افزارها و دستگاه های سمت کاربر نیستند که می توانند با کدهای مخرب آلوده شوند. سیستم های سمت سرور نیز ممکن است در شرکت های به ظاهر معتبر آلوده شوند و داده های شما و بسیاری از مشتریان دیگر را به خطر بیندازند. به عنوان نمونه، Formjacking حمله ای است که در آن کد جاوااسکریپت مخربی به فرم های یک وب سایت تزریق می شود تا داده های حساس کاربران ،  مانند اطلاعات کارت اعتباری ،  که در حین فرآیند خرید وارد می شود، سرقت شود.

روش پیشگیری: از دانلود پیوست ها خودداری کنید، مگر اینکه از منبعی معتبر باشند و هنگام دانلود و نصب برنامه ها روی هر دستگاهی محتاط باشید. همچنین از نرم افزار آنتی ویروس استفاده کنید که بدافزار را قبل از آلوده کردن رایانه شناسایی کند. اگر نگران ریسک های سمت سرور مانند فرم جکینگ هستید، فقط حداقل اطلاعات لازم برای تکمیل تراکنش را وارد کنید.

۳. اسکیمینگ (Skimming)

اسکیمینگ کارت اعتباری یک روش آفلاین رایج است که مجرمان برای سرقت اطلاعات شخصی در محل فروش استفاده می کنند و این موضوع می تواند به سرقت هویت نیز منجر شود. از آنجا که اسکیمینگ نیاز به نصب دستگاه های فیزیکی ،  به نام اسکیمر ،  دارد، این روش معمولاً در مکان های دورافتاده تر با نظارت کمتر و حضور انسانی پایین تر رخ می دهد.

سه نوع اصلی از اسکیمینگ وجود دارد که باید مراقب آن ها باشید:

دستگاه های کارت خوان در خودپردازها، پمپ بنزین ها و مکان های دیگر می توانند دستکاری شوند تا دستگاه های اسکیمر به آن ها اضافه گردد. این کارت خوان های جعلی اطلاعات پرداخت را جمع آوری کرده و در اختیار سارقان قرار می دهند؛ سپس آن ها کارت ها را کپی کرده و هر طور که بخواهند استفاده می کنند.

روش پیشگیری: پیش از استفاده، دستگاه های کارت خوان بیرونی را بررسی کنید تا مطمئن شوید نشانه ای از دستکاری روی آن ها وجود ندارد.

اسکیمینگ RFID از فناوری شناسایی با فرکانس رادیویی برای رهگیری بی سیم اطلاعات کارت های اعتباری، دبیت و حتی کارت های شناسایی استفاده می کند؛ این کار مستقیماً از کارت های مجهز به RFID ،  و گاهی حتی از گوشی های هوشمند و تبلت ها ،  انجام می شود. مهاجمان از دستگاه هایی با قابلیت ارتباط میدان نزدیک (NFC) استفاده می کنند تا داده های رمزگذاری نشده روی تراشه RFID کارت را ضبط کرده و جزئیاتی همچون شماره کارت، تاریخ انقضا و نام دارنده کارت را سرقت کنند.

روش پیشگیری: اطمینان حاصل کنید که مؤسسه مالی شما تدابیر امنیتی کافی از جمله رمزگذاری را به کار می گیرد. همچنین استفاده از محافظ های ضد-RFID، مانند کیف پول ها و کیف های دستی مخصوص، می تواند بسیار مفید باشد.

۴. شنود شانه ای (Shoulder Surfing)

شنود شانه ای نوعی ساده از اسکیمینگ است که نیازی به فناوری تخصصی ندارد. یک سارق تنها کافی است هنگام وارد کردن رمز در خودپرداز یا اطلاعات کارت اعتباری در تلفن، شما را تماشا کند. این کار می تواند از فاصله نزدیک یا حتی دورتر ،  مثلاً با استفاده از دوربین دوچشمی ،  انجام شود.

روش پیشگیری: صفحه کلید را با برگه ای، بدن خود یا با پوشاندن دست محافظت کنید. به محیط اطراف خود توجه داشته باشید و در فضاهای باز که امکان تعاملات عادی شخصی یا اجتماعی وجود دارد ،  مانند کافی شاپ ها ،  محتاط باشید؛ چرا که غریبه ها می توانند رایانه یا دستگاه های الکترونیکی شما را که اطلاعات در آن وارد می شود، ببینند. همچنین دستگاه هوشمند خود را بدون مراقبت رها نکنید و اگر مجبور شدید لپ تاپ یا تبلت را برای مدتی تنها بگذارید، آن را ببندید یا قفل کنید.

۵. نفوذ به داده ها (Data Breaches)

متأسفانه، نفوذهای گسترده به داده ها در سال های اخیر نسبتاً رایج شده اند. با توجه به حجم بالای داده هایی که به صورت آنلاین ذخیره می شوند، هکرها راه دیگری برای سرقت اطلاعات کارت اعتباری، مالی و سایر اطلاعات شخصی در اختیار دارند. بر اساس گزارش تحقیقات نفوذ داده های ورایزن در سال ۲۰۲۴، مهندسی اجتماعی ،  مانند پیامک ها و ایمیل های فیشینگ ،  در بیش از ۵۰٪ از ۳,۰۳۲ نفوذ بررسی شده، داده های شخصی و اطلاعات ورود را به دست آورده است و افشای تأییدشده داده ها بین نوامبر ۲۰۲۲ تا اکتبر ۲۰۲۳ رخ داده است.

روش پیشگیری: یکی از راه های کاهش احتمال قربانی شدن در نفوذ داده، استفاده از کارت اعتباری مجازی ،  مانند Google Wallet ،  یا یک سیستم پرداخت شخص ثالث ،  مانند PayPal ،  برای خرید از فروشگاه های آنلاین بدون واردکردن اطلاعات کارت اعتباری است. اگر قربانی شدید، اقداماتی که باید انجام دهید شامل موارد زیر است:

• مسدود کردن اعتبار (Freeze Credit)
• قرار دادن هشدار تقلب روی کارت
• جایگزینی کارت آسیب دیده در نفوذ

همچنین یک نسخه از گزارش اعتباری خود دریافت کنید و نسبت به فعالیت های مشکوک کارت اعتباری هشیار باشید.

 ۶. شبکه های وای فای عمومی

شبکه های وای فای عمومی ناامن خطراتی به همراه دارند، به ویژه اگر هنگام اتصال به آن ها اطلاعات حساس وارد کنید. در حالی که وای فای فرودگاه یا هتل می تواند بسیار کاربردی باشد، باید تدابیری برای جلوگیری از سرقت اطلاعات کارت اعتباری و سایر داده های حساس در نظر گرفت. همچنین باید نسبت به نام ها یا برچسب های شبکه های وای فای احتیاط کنید. اگر ورودی با عنوان “Free Public Wi-Fi” روی دستگاه شما ظاهر شد، ممکن است در واقع یک هکر در نزدیکی شما ،  با گوشی هوشمند یا لپ تاپ ،  باشد که قصد دارد کاربران بی اطلاع را فریب دهد تا اطلاعات شخصی شان را بدزدد.

روش پیشگیری: هنگام اتصال به شبکه های عمومی، هیچ فعالیت حساس مالی یا شخصی انجام ندهید. اگر نیاز به استفاده از این شبکه ها داشتید، از VPN استفاده کنید. در غیر این صورت، به نقاط دسترسی معتبر و تأییدشده یا شناسه های سرویس (SSID) مطمئن بسنده کنید یا از اینترنت همراه (داده سیم کارت) استفاده کنید.

۷. زباله های شما

هرچند قدیمی به نظر می رسد، اما مجرمان می توانند با جست وجو در زباله های شما صورت حساب های کارت اعتباری، اطلاعات حساب و موارد دیگر را پیدا کنند و از آن ها سوءاستفاده نمایند. علاوه بر این، سرقت نامه ها از پستچی ها و صندوق های پستی به منظور به دست آوردن صورت حساب های چاپی به طور چشمگیری افزایش یافته است.

روش پیشگیری: انتخاب کنید که صورت حساب های کارت اعتباری از طریق ایمیل برایتان ارسال شود. اگر به هر شکلی صورت حساب های کاغذی دریافت می کنید، پس از بی نیازی حتماً آن ها را خرد (Shred) کنید.

چه باید کرد اگر اطلاعات کارت اعتباری شما سرقت شد؟

با رعایت بهترین شیوه هایی که در این مقاله ذکر شد، می توانید اطلاعات کارت اعتباری خود را از خطر دور نگه دارید. اما هیچ روشی کاملاً بی نقص نیست و اگر اطلاعات شما به سرقت رفت، باید سریعاً اقدام کنید.

۱. با صادرکننده کارت اعتباری تماس بگیرید

اگر مشکوک شدید که کارت شما دزدیده شده یا به خطر افتاده است، بلافاصله با بانک یا شرکت صادرکننده کارت تماس بگیرید. این کار می تواند از خسارت بیشتر جلوگیری کرده و شما را از مسئولیت خریدهای جعلی معاف کند. صادرکننده کارت، کارت شما را لغو کرده و کارت جدیدی صادر خواهد کرد.

۲. رمزهای عبور خود را به روزرسانی کنید

به دلیل نفوذ داده ها، بدافزارها و شبکه های وای فای عمومی، هکرها می توانند از روش های مختلف آنلاین برای سرقت اطلاعات کارت اعتباری و شخصی شما استفاده کنند. تغییر رمزهای عبور در وب سایت هایی که به طور منظم استفاده می کنید، می تواند مانع دسترسی هکرها به این داده ها شود.

۳. گزارش های اعتباری را بررسی و موارد مشکوک را اعتراض کنید

حتی پس از لغو کارت اعتباری آسیب دیده و دریافت کارت جدید، ممکن است برخی تراکنش های جعلی که از آن ها مطلع نیستید در صورت حساب شما ظاهر شوند. همچنان آن ها را بررسی کنید تا بتوانید هرگونه تراکنش مشکوک را مورد اعتراض قرار دهید. شرکت های گزارش اعتباری مانند Experian این امکان را می دهند که قفل اعتباری موقت یا هشدار تقلب روی پرونده اعتباری خود قرار دهید. این مکانیزم ها مانع دسترسی به گزارش های اعتباری شده و از ایجاد حساب های جدید اعتباری بدون بررسی دقیق توسط مؤسسه صادرکننده جلوگیری می کنند.

چرا در معرض کلاهبرداری تکراری کارت اعتباری هستید؟

اگرچه بسیاری از موارد کلاهبرداری کارت اعتباری یک باره هستند ،  دست کم پیش از آنکه فعالیت جعلی شناسایی و متوقف شود ،  اما کلاهبرداری تکراری زمانی رخ می دهد که چندین تراکنش جعلی روی همان کارت یا کارت های مختلف قربانی انجام شود.

انواع رایج کلاهبرداری تکراری کارت اعتباری:

• کلاهبرداری مکرر (Recurring Fraud): زمانی رخ می دهد که چندین بار از همان کارت به طور غیرمجاز استفاده شود. برای مثال، کارت دزدیده شده در یک خرید spree استفاده می شود و چندین خرید در مکان های مختلف با همان کارت آسیب دیده انجام می گیرد.
• کلاهبرداری چندکارت (Multi-Card Fraud): زمانی است که از دو یا چند کارت به طور غیرمجاز استفاده می شود. مثلاً وقتی کیف پولی با چند کارت دزدیده می شود یا نفوذ داده شامل چندین روش پرداخت است.

شدت و تکرار کلاهبرداری کارت اعتباری تکراری عمدتاً به اقداماتی بستگی دارد که قربانی پس از حادثه انجام می دهد. هرچه قربانی دیرتر اقدام کند، احتمال بیشتری وجود دارد که کارت های اعتباری او بارها استفاده شوند. در مقابل، اقدام سریع می تواند این احتمال را کاهش دهد.

اقدامات برای جلوگیری یا کاهش اثرات کلاهبرداری تکراری کارت اعتباری

• تنظیم و بررسی هشدارها: بهترین محافظت در برابر کلاهبرداری تکراری کارت اعتباری، داشتن اطلاعات به موقع و اقدام قاطع توسط قربانی است. فناوری های امروزی هشدارهای آنی فعالیت حساب را از طریق ایمیل و پیامک ارسال می کنند. این هشدارها به راحتی از طریق وب سایت ارائه دهندگان کارت قابل تنظیم هستند. با این کار می توان در لحظه وقوع، تراکنش های جعلی را شناسایی و حتی مسدود یا اعتراض کرد.
• قفل کردن کارت های مشکوک: بیشتر کارت های اعتباری اکنون ویژگی قفل دارند که از طریق وب سایت یا اپلیکیشن ارائه دهنده کارت فعال می شود. اگر کارت مفقود شد یا هشدار تراکنش ها فعالیت مشکوک را نشان داد، بلافاصله کارت را قفل کنید و جزئیات را به ارائه دهنده گزارش دهید. آن ها می توانند کارت آسیب دیده را به طور دائم غیرفعال و فوراً جایگزین کنند.

اقدامات تکمیلی پس از وقوع کلاهبرداری

• بررسی منظم حساب های کارت اعتباری: چه صورت حساب ها از طریق ایمیل و چه از طریق پست دریافت شوند، زمان بگذارید تا همه تراکنش ها را بررسی کنید و نشانه های فعالیت مشکوک را شناسایی نمایید.
• تماس با نیروهای انتظامی: اگرچه ممکن است پلیس نتواند اثرات مالی کلاهبرداری را جبران کند، اما ثبت گزارش می تواند آن ها را از فعالیت های مجرمانه آگاه کرده و موجب برخورد بهتر در آینده شود. برای مثال، گزارش کیف پول یا کیف دستی دزدیده شده می تواند به پلیس درباره افزایش جرم در منطقه هشدار دهد. همچنین گزارش نفوذ داده یا سرقت الکترونیکی به نهادهایی مانند کمیسیون تجارت فدرال می تواند شرکت هایی با امنیت ضعیف یا عدم رعایت استانداردهای حفاظت داده را زیر ذره بین ببرد.
• استفاده از خدمات پایش اعتبار (Credit Monitoring): این خدمات ، چه از سوی شرکت های گزارش اعتباری و چه از سوی نهادهای ثالث ،  گزارش های اعتباری و امتیازات اعتباری را پایش می کنند و تغییراتی مانند ایجاد حساب های جدید یا خطوط اعتباری تازه را به شما اطلاع می دهند. این تغییرات می توانند نشانه فعالیت مشکوک و احتمال وقوع تقلب باشند.