Durante a maior parte da minha carreira, o teste de cartões era o problema de fraude sobre o qual ninguém se dava ao trabalho de falar.
Todas as equipes de fraude sabiam que isso existia. Víamos a enxurrada de transações de US$ 1 em uma tranquila manhã de terça-feira, dávamos de ombros, aplicávamos uma regra de velocidade e seguíamos em frente. As perdas eram insignificantes, isso quando os chargebacks chegavam a ser reportados. Havia problemas muito maiores para resolver.
Mas em 2026, isso mudou.
Este artigo é para comerciantes e adquirentes que estão começando a sentir a pressão, aqueles que de repente veem testes de cartão aparecerem em conversas sobre programas de bandeiras, apresentações para o conselho e chamadas de escalonamento.
Quero explicar o que é realmente o card testing, por que os fraudadores o utilizam, por que isso é mais importante do que nunca e como interrompê-lo sem virar sua stack de fraude de cabeça para baixo.
Como o card testing realmente funciona
A primeira coisa a entender é que os fraudadores não compram cartões roubados um de cada vez. Eles os compram em grande quantidade, aos centenas, às vezes até aos milhares. Há três motivos para isso.
Primeiro, preços de atacado. Cartões roubados são uma mercadoria e, como qualquer outra mercadoria, o preço unitário cai quando você compra em maior quantidade. Se você pretende cometer fraude em grande escala, como a maioria dos fraudadores profissionais faz, comprar em volume melhora o seu ROI desde o primeiro dia.
Em segundo lugar, a escala é simplesmente como eles operam. Fraude nesse nível funciona como um negócio: ferramentas coordenadas, divisão de trabalho e pipelines automatizados que conseguem processar milhares de cartões no tempo que um analista de fraude leva para escrever uma regra. Nós já escrevemos mais sobre como as operações modernas de fraude são estruturadas e escaladas se você quiser ter a visão completa. O ponto, por enquanto, é que comprar cartões às centenas é simplesmente como se parece o lado da oferta dessa operação.
Em terceiro lugar, e é aqui que fica realmente interessante, muitos desses cartões já estão inativos quando o fraudador os recebe.
É o seguinte: fraudadores enganam uns aos outros o tempo todo. Se eu for um hacker que rouba 1.000 cartões, nada me impede de vender esses mesmos 1.000 cartões para vários compradores. E isso acontece. Muito. Então, quando um fraudador compra um lote, uma parte significativa dos cartões nele já pode ter sido usada por um comprador anterior. O portador do cartão os denunciou, o emissor os bloqueou e agora os cartões não valem mais nada.
Mas o fraudador não sabe quais cartões são quais. E isso cria um problema de ROI.
Imagine que você acabou de comprar 1.000 cartões por alguns milhares de dólares. Para monetizar cada um corretamente, você precisa de um dispositivo novo, uma sessão de VPN limpa, uma nova conta de e-mail e, às vezes, um novo laranja para envio. Essa preparação custa dinheiro de verdade e tempo de verdade a cada tentativa.
Agora imagine que você monta toda essa infraestrutura para um cartão que acaba sendo inativo. Você acabou de desperdiçar toda a preparação à toa.
Isso cria uma espécie de situação sem saída para os fraudadores. Por um lado, investir totalmente em cada cartão reduz significativamente o ROI. Mas, por outro lado, não investir nada aumenta as chances de você fracassar na monetização dos cartões ativos que possui, o que novamente leva a um ROI menor.
A solução óbvia para isso é testar os cartões primeiro. Você pega todos os cartões do seu lote e executa sistematicamente transações bem pequenas com eles, geralmente de um dólar, às vezes menos.
O objetivo não é monetizar, mas descobrir quais cartões ainda estão ativos. Os cartões aprovados vão para a pilha de “monetização”. Os cartões reprovados são descartados.
Como o objetivo do teste de cartões é diferente da fraude de cartão “clássica”, ele também costuma ter uma aparência diferente. O teste de cartões muitas vezes atinge comerciantes em que você menos esperaria. Os fraudadores preferem usar alvos com baixa fiscalização como campos de teste convenientes, como plataformas de caridade que permitem doações de valor aberto.
Ao mesmo tempo, a maioria dos sistemas de detecção de fraude é, por padrão, sensível ao valor das transações. Isso é verdade em todas as camadas, desde o comerciante e o PSP até o adquirente e o emissor. Uma cobrança de US$ 1 passa por verificações que sinalizariam uma cobrança idêntica de US$ 200.
Os fraudadores não ignoram nenhum desses fatores. O efeito cumulativo faz com que seja muito mais fácil para eles contornar os sistemas de prevenção a fraudes.
Isso é teste de cartão: barato, automatizado, com pouca infraestrutura e muitas vezes invisível.
Três motivos pelos quais o card testing agora é um problema seu
Até recentemente, a resposta sincera para essa pergunta era: “provavelmente você não deveria.”
Se um fraudador passar 500 cartões pelo seu checkout a US$ 1 cada, sua perda direta será de US$ 500. E isso só se todos os testes forem bem-sucedidos, o que não vai acontecer. De qualquer forma, a maioria das transações de teste é bloqueada já no nível do cartão.
Mas há três motivos pelos quais você deveria se preocupar com testes de cartão, afinal. Dois deles sempre foram verdade. Um é novo.
Primeiro motivo: o VAMP mudou a matemática
Quando a Visa lançou seu programa unificado de combate a fraudes, o Visa Acquirer Monitoring Program, ou VAMP, ela incorporou o antigo Visa Fraud Monitoring Program e o Visa Dispute Monitoring Program em uma estrutura única. Mais importante ainda, adicionou um limite explícito de contagem que acompanha os casos de fraude pelo número de ocorrências, e não pelo volume em dólares.
Nos programas antigos, uma onda de testes com 500 cartões que gerasse US$ 500 em perdas era apenas uma nota de rodapé. Mas sob o VAMP, essa mesma onda pode fazer você ultrapassar um limite de enumeração e entrar no programa, que implica multas, maior escrutínio por parte do seu adquirente e, em alguns casos, taxas de intercâmbio mais altas.
De repente, o custo financeiro dos testes de cartão já não é mais os US$ 500 que você perdeu nos testes. São as penalidades que você sofre por entrar no programa. Em casos extremos, você pode até ser totalmente desligado pelo seu adquirente.
Se você quiser uma explicação completa de como o VAMP calcula as taxas de enumeração, o que o RDR e o CDRN agora fazem (e deixam de fazer) e onde o Compelling Evidence 3.0 se encaixa, nosso cofundador Zahid Shaik escreveu um artigo detalhado sobre o VAMP aqui.
Não vou repetir a mecânica aqui. O que vale destacar é a parte que a maioria das conversas sobre teste de cartões ignora: os números de fato.
Métrica | Limite | O que o desencadeia |
Taxa de Enumeração VAMP | ≥ 2.000 bps (tanto tentativas aprovadas QUANTO recusadas) | Tentativas de autorização aprovadas e recusadas combinadas |
Contagem Mínima de Transações para Enumeração | ≥ 300.000 autorizações enumeradas (aprovadas + recusadas) por mês | Autorizações enumeradas (aprovadas + recusadas) |
Risco | Multas, escrutínio do adquirente, taxas de intercâmbio mais altas | Campanha contínua de testes de cartão dentro de um único mês |
A conclusão: o VAMP também penaliza você pelos volumes, não apenas pelos valores em dólares. Um estabelecimento não precisa estar perdendo centenas de milhares de dólares em fraude para entrar no programa. Basta ter uma proporção suficientemente alta de autorizações enumeradas em relação ao total de autorizações, com um volume mínimo, algo que uma campanha contínua de teste de cartões pode facilmente gerar em um mês.
A janela para detectar testes de cartão é curta e está encolhendo com a IA agente
Razão dois: o teste de cartões contamina seus dados
A maioria das pessoas não fala sobre isso. Mas deveria.
A questão sobre as transações de teste de cartão que são aprovadas, aquelas que são autorizadas e liquidadas, é a seguinte: na maioria das vezes, elas nunca sofrem chargeback.
Por quê? Porque custa mais para o verdadeiro titular do cartão e para o emissor abrir uma contestação do que os 1 dólar que eles poderiam receber de volta. O titular do cartão talvez nem perceba a cobrança.
Assim, essa transação fraudulenta permanece no seu conjunto de dados, sem ser sinalizada e, com o tempo, passa a ser tratada como legítima. Agora multiplique isso por dezenas de milhares de transações de teste de cartão ao longo de meses. Você pegou um padrão claramente fraudulento, repleto de pequenos valores, métodos de pagamento totalmente novos, sem histórico de pedidos e sem endereço de entrega reutilizado, e sem perceber o classificou como bom.
Seus modelos e suas regras agora têm mais dificuldade para separar fraude de não fraude, porque parte do que eles estão aprendendo vem de fraudes que nunca foram marcadas.
Esse é um processo lento e invisível de degradação. Quando você percebe que o desempenho da sua detecção piorou, já deixou um ano de rótulos incorretos entrar no seu conjunto de treinamento.
Razão três: o teste de cartões expõe a infraestrutura do fraudador
Este é o motivo mais interessante e aquele do qual a maioria das equipes não tira proveito.
Os fraudadores não investem muito em testes de cartão. Esse é justamente o objetivo dos “testes”. Por isso, eles tendem a depender de infraestrutura barata e exposta para fazer isso:
- Faixas de IP de data centers conhecidos ou de provedores de VPN de baixa qualidade
- Dispositivos que não se preocupam em falsificar cuidadosamente suas impressões digitais
- Domínios de e-mail usados para criar em massa contas descartáveis
Nada disso custa muito para colocar em funcionamento, e nada disso custa muito para descartar. Essa é a superfície que eles expõem para você.
A jogada aqui é simples: coloque esses ativos em uma lista de bloqueio.Alguns deles serão reutilizados, pelos mesmos fraudadores ou por outros completamente diferentes, em ataques de maior valor contra você.
Bloqueá-los a montante não apenas impede os testes baratos, mas também uma parte dos ataques caros que vêm depois.
Por que o teste de cartões é mais fácil de detectar do que a maior parte das fraudes
O teste de cartões pode ser um problema bem incômodo. Mas, felizmente, pará-lo é um dos problemas de fraude mais fáceis de resolver, depois que você decide levá-lo a sério.
Isso não significa que eu esteja dizendo que não é um problema, acabei de explicar por que ele é importante. O que estou dizendo é que a tipologia do card testing o torna rastreável de uma forma que a maioria dos problemas de fraude não é.
Especificamente, duas coisas são verdadeiras sobre quase todas as campanhas de teste de cartão que você verá.
Primeiro, é automatizado. Antigamente eram bots de script atingindo um endpoint em loop. A próxima onda que esperamos são sistemas agênticos: mais sofisticados, mais adaptáveis, mas ainda assim operando em velocidade e escala de máquina.
O modo de ataque continuará evoluindo, mas o fato de ser automatizado não mudará.
Em segundo lugar, os fraudadores não podem se dar ao luxo de trocar de infraestrutura o tempo todo. Todo o motivo pelo qual eles estão testando é gastar o mínimo possível por tentativa.
Se eles tivessem um orçamento ilimitado para novos dispositivos, IPs e contas de e‑mail em cada teste, já estariam monetizando. Por isso, o mesmo punhado de dispositivos, IPs e domínios de e‑mail tende a aparecer em centenas ou milhares de tentativas.
Junte essas duas características e a resposta é uma configuração de detecção em camadas que combina biometria de dispositivo e de comportamento (DIBB), com contadores de velocidade abrangentes.
A camada DIBB captura o sinal de automação. Quando um “usuário” chega com uma impressão digital de dispositivo adulterada, com sinais comportamentais que gritam script (sem movimento de mouse, sem ritmo de digitação realista, tempo de sessão idêntico entre as tentativas), o dispositivo conta a história antes mesmo de a transação chegar à autorização.
Em paralelo, a camada de velocidade captura o sinal de escala. Quantas tentativas de autenticação foram feitas a partir deste dispositivo na última hora? Quantas a partir deste IP em todos os nossos estabelecimentos? Quantos testes contra a mesma faixa de BIN? Com que rapidez estamos passando por novos números de cartão?
Cada uma dessas perguntas é barata de responder e muito informativa quando a resposta vem alta.
Nenhuma das camadas, sozinha, é suficiente. Um bot sofisticado às vezes consegue passar na verificação do dispositivo. Um fraudador paciente às vezes consegue se manter abaixo dos limites de velocidade.
Mas a combinação é a marca registrada do card testing, ponto final. Se você tiver as duas camadas conectadas, vai detectar a grande maioria das campanhas de card testing antes que causem qualquer impacto significativo na sua taxa VAMP.
Quando você for fazer isso, aqui vão algumas observações para fazer isso bem, de um ex-praticante:
- Não se limite a bloquear, marque.A infraestrutura exposta durante os testes é inteligência que você pode usar depois. Se a sua stack apenas bloqueia testes de cartão sem registrar o que aprendeu, você está jogando fora metade do valor.
- Não defina limites de velocidade apenas com base no volume de testes. Defina-os com base na combinação entre o volume de testes e a sobreposição de infraestrutura. “Vi 200 tentativas de autorização vindas deste IP” é um sinal. “Vi 200 tentativas de autorização vindas deste IP, contra 200 BINs diferentes, todas recusadas” é um quadro completo.
- Não presuma que o fraudador vai continuar testando para sempre. Assim que tiverem o que precisam da fase de testes, eles vão passar para a monetização, geralmente com uma infraestrutura mais limpa, dias ou semanas depois. A janela para aprender com a fase de testes é menor do que as pessoas imaginam e, com IA agente no meio, essa janela está ficando cada vez menor.
Onde a maioria dos stacks de fraude falha
O teste de cartões não é o problema de fraude mais difícil de resolver, mas resolvê-lo bem em grande escala, com as camadas de DIBB e de velocidade realmente integradas, é onde a maioria das pilhas de prevenção à fraude falha. É aí que a Sardine se encaixa.
Os primitivos DIBB que descrevi são capacidades centrais da plataforma: identificação de dispositivos que resiste à rotação de IDs, detecção real de IP que enxerga através de VPNs e proxies, biometria comportamental que diferencia humanos de bots em tempo real.
Além disso, nossa camada de velocidade é configurável para qualquer recorte de que você precise, seja por dispositivo, IP, BIN ou conta, entre comerciantes e em todo o consórcio. E nossos dados de consórcio garantem que a infraestrutura usada para testar cartões em um cliente seja vista como arriscada no próximo, antes mesmo da primeira tentativa.
Esse é o efeito de vantagem composta. O teste de cartões revela infraestrutura barata. Infraestrutura barata é compartilhada. E uma rede que aprende com cada lojista que a utiliza transforma essa exposição em um sinal que beneficia a todos.
