Limitación del impacto de los scripts/bots de procesamiento de tarjetas de crédito

Question

Estoy involucrado en la creación de un formulario de donación para organizaciones sin fines de lucro. Recientemente recibimos una ronda rápida de envíos de dólares bajos. Muchas eran tarjetas inválidas, pero algunas pasaron. Obviamente, alguien escribió un guión para verificar la validez de un grupo de números de tarjetas, posiblemente para poder venderlos más tarde.

¿Alguna idea sobre cómo prevenir o limitar el impacto de esto en el futuro?

Tenemos control sobre todos los aspectos del sistema (código, servidor web, etc.). Sí, el formulario se ejecuta en https.

Answer 1

Cuando una inundación de las transacciones no válidas desde una única dirección IP o Se detecta un pequeño rango de direcciones, bloquea esa dirección/red.

Si una botnet está en uso, esto no ayudará. Todavía puede detectar inundaciones de envíos de cantidades bajas de dólares y deducir cuándo está bajo ataque; durante estos tiempos, interrumpa el envío de cantidades de dólares bajas para que tarden más tiempo; introducir CAPTCHA por donaciones de bajo monto en dólares; consulte con el departamento de prevención de fraude de su banco en caso de que puedan hacer uso de los registros de su servidor para atrapar a los autores.

Fuerce a los donantes a crear cuentas para hacer donaciones; proteger la creación de cuentas con un CAPTCHA, y limitar las donaciones de cualquier cuenta.

Aumente la donación mínima permitida a un punto en el que ya no tenga sentido financiero que los estafadores lo usen de esta manera.

Answer 2

presentaciones límite desde la misma dirección IP a uno por minuto, o lo que sea razonable periodo de tiempo que le tomaría a una persona real para llenar el formulario

Answer 3

Aumentar la donación mínima a un punto en el que ya no tiene sentido financiero que los estafadores lo usen de esta manera lo ayudará en general.

Esto. ¿Cuántas donaciones legítimas recibe por debajo de 5 dólares, de todos modos?

Answer 4

En lugar de CAPTCHAs, lo que molestará a los usuarios, es posible que desee aprovechar el hecho de que la mayoría de las personas tienen javascript habilitado, mientras que los bots no lo hacen. Simplemente crea una pequeña porción de javascript que cuando se ejecuta inserta un valor particular en un campo oculto.

Para aquellos que tienen Javascript deshabilitado, puede mostrar el CAPTCHA (use la etiqueta <noscript>), y luego puede aceptar una presentación solo si se retira cualquiera de estas medidas.

Para conseguir la máxima molestia a los malhechores que podría hacer la diferencia entre el éxito y el mensaje de aviso de fallo computacionalmente difíciles de distinguir (decir todo lo que es lo mismo, a excepción de una imagen que muestra el mensaje), pero es fácil de entender para los humanos.