4,6 miliona skradzionych kart kredytowych za darmo. Co to oznacza dla firm i klientów?

Darknetowy rynek B1ack’s Stash, znany z handlu skradzionymi danymi kart płatniczych, udostępnił za darmo 4,6 miliona rekordów kart kredytowych. To nie pierwszy taki ruch – w lutym 2025 roku ten sam podmiot opublikował już ponad 4 miliony kart. Tym razem powodem miało być naruszenie regulaminu przez sprzedawców, którzy odsprzedawali dane na konkurencyjnych platformach. Dla firm i klientów oznacza to jedno: fala oszustw płatniczych i prób wyłudzeń może być tuż za rogiem.

Co dokładnie wyciekło i skąd pochodzą dane?

Jak wynika z analizy firmy SOCRadar, opublikowanej przez SecurityWeek, udostępnione dane zawierają pełne numery kart (PAN), daty ważności, kody CVV2, imiona i nazwiska posiadaczy, adresy rozliczeniowe, adresy e-mail, numery telefonów oraz adresy IP. Łącznie to 4,6 miliona rekordów, z czego około 4,3 miliona to dane nowe i prawdopodobnie wciąż użyteczne dla przestępców. Pozostałe to wpisy nieaktualne lub zduplikowane.

Skradzione karty pochodzą z całego świata, ale aż około 70% z nich należy do posiadaczy ze Stanów Zjednoczonych. W pierwszej piątce znalazły się również Kanada, Wielka Brytania, Francja i Malezja. SOCRadar zauważa, że obecność w zestawieniu azjatyckich centrów finansowych, takich jak Hongkong, Singapur, Tajlandia i Malezja, sugeruje, że dane pochodzą z wielu różnych kampanii phishingowych i skimmingowych, a nie z jednego źródła.

Jakie zagrożenia niosą te dane?

Udostępnienie tak bogatego zestawu danych – zawierającego nie tylko dane karty, ale też dane osobowe i kontaktowe – stwarza ryzyko wykraczające poza zwykłe oszustwa typu card-not-present (CNP), czyli zakupy online bez fizycznej karty. Jak zaznaczają analitycy SOCRadar, „bogactwo wyciekłych rekordów – pełny PAN, CVV2, data ważności, adres rozliczeniowy, pełne imię i nazwisko, e-mail, telefon i adres IP w jednym wpisie – tworzy skumulowane ryzyko, które wykracza daleko poza zwykłe oszustwa kartowe”.

Przestępcy mogą wykorzystać te dane do:

• dokonywania nieautoryzowanych transakcji online,
• zakładania fałszywych kont w serwisach finansowych,
• składania wniosków kredytowych na cudze dane,
• przeprowadzania precyzyjnych ataków phishingowych, w których podszywają się pod bank lub firmę, używając prawdziwych danych ofiary.

Dla firm oznacza to wzrost liczby chargebacków (obciążeń zwrotnych), konieczność wzmożonego monitorowania transakcji oraz ryzyko utraty zaufania klientów, jeśli ich dane zostaną wykorzystane do oszustw.

Jak się chronić? Praktyczne kroki dla firm i klientów

W obliczu tak masowego wycieku kluczowe jest podjęcie działań defensywnych. Dla firm, zwłaszcza e-commerce i instytucji finansowych, priorytetem powinno być wzmocnienie systemów wykrywania oszustw. Warto rozważyć:

• wdrożenie zaawansowanych mechanizmów weryfikacji transakcji, np. 3D Secure 2.0,
• monitorowanie nietypowych wzorców zakupowych, szczególnie przy użyciu nowych kart lub adresów dostawy,
• regularne skanowanie własnych systemów pod kątem skimmerów i złośliwego oprogramowania,
• szkolenie personelu obsługi klienta w zakresie rozpoznawania prób social engineeringu.

Dla klientów najważniejsze jest szybkie sprawdzenie, czy ich dane nie zostały naruszone. Można to zrobić za pomocą serwisu Have I Been Pwned, który pozwala sprawdzić, czy adres e-mail pojawił się w znanych wyciekach. W przypadku podejrzenia, że karta mogła zostać skradziona, należy niezwłocznie skontaktować się z bankiem i zastrzec kartę. Należy też regularnie przeglądać wyciągi bankowe i zgłaszać wszelkie nieautoryzowane transakcje.

Co dalej? Rynek danych na darknecie nie zwalnia

B1ack’s Stash działa co najmniej od 2023 roku i systematycznie zwiększa skalę swojej działalności. Darmowe udostępnianie kart to dla niego strategia marketingowa – ma przyciągnąć nowych klientów i zwiększyć ruch na platformie. Jak pokazuje historia, podobne akcje (np. w kwietniu 2024 roku, gdy oferowano 1 milion kart za samo zarejestrowanie się) przynoszą efekt w postaci wzrostu popularności. Dla reszty świata oznaczają one jedno: problem kradzieży danych nie zniknie, a skala oszustw będzie rosła. Firmy i klienci muszą być przygotowani na ciągłe monitorowanie i szybką reakcję.