Les tests de cartes : la fraude automatisée qui vous coûte avant qu’un humain ne la voie

Le test de cartes est l’une des formes de fraude au paiement les moins visibles, car quand il se déroule comme le veut l’attaquant, rien ne semble anormal au début. Un script fait passer une liste de numéros de cartes volées par votre paiement, en général sur un article peu cher ou une transaction de 0 à 1 $, pour savoir quelles cartes sont encore actives avant de s’en servir pour une fraude plus importante ailleurs.

À quoi cela ressemble côté boutique

Plusieurs signes apparaissent souvent ensemble :

• Une rafale de tentatives de paiement en peu de temps, souvent sur le même produit bon marché
• Des numéros de cartes différents mais qui partagent la même plage BIN (numéro d’identification bancaire), signe d’une liste générée ou achetée
• Beaucoup de refus mêlés à quelques acceptations, car le script ne cherche pas à acheter mais à valider
• Des visites sans aucun comportement d’achat normal : pas de navigation, pas de temps passé, direct au paiement

Pourquoi c’est grave même quand la transaction est refusée

Même un test de carte refusé vous coûte : les prestataires de paiement facturent chaque tentative, et un pic de refus peut dégrader votre profil de risque auprès de votre prestataire. Les tests réussis sont pires : ils mènent à des rétrofacturations quand le vrai titulaire s’en aperçoit.

Le repérer avant le paiement

Comme le test de cartes est scripté, il échoue en général aux mêmes contrôles de comportement et d’automatisation que les bots de paiement : rythme de clics anormal, absence d’historique d’interaction et traces d’automatisation. Évaluer les visites de paiement en temps réel, avant l’envoi du paiement, repère ce schéma assez tôt pour le bloquer au lieu de le contester après coup.