Gli attacchi di card testing saltano il tuo negozio e vanno dritti al checkout.

Un merchant che assiste a un attacco di card testing vede sempre la stessa cosa. Ordini per l’articolo più economico del catalogo, che arrivano a raffiche, ognuno con un nome diverso e una carta diversa e lo stesso indirizzo di spedizione. Centinaia di checkout abbandonati al giorno che nessun essere umano ha creato. Quasi nessuno va a buon fine, ed è la parte che porta le persone a dare per scontato che sia un problema di qualcun altro.

Signifyd ha misurato gli attacchi di card testing in crescita del 175% da gennaio ad aprile 2026 rispetto agli stessi mesi del 2025, e attribuisce l’aumento alla validazione automatizzata delle credenziali. Nella stessa finestra colloca la pressione della frode in Nord America in crescita del 33% e i tentativi di account takeover in crescita del 78%.

Il motivo per cui è così difficile fermarlo su Shopify non ha nulla a che vedere con quanto siano buone le difese. È il punto in cui stanno.

Che cosa sta facendo davvero chi attacca

La parte che confonde è il movente. Qualcuno sta facendo passare centinaia di ordini attraverso il tuo negozio abbandonandone quasi tutti, il che sembra vandalismo finché non capisci che gli ordini non sono mai stati il punto.

Molti dei numeri di carta non sono stati rubati a nessuno. Sono stati indovinati. Un numero di carta non è casuale. Le prime sei o otto cifre sono il Bank Identification Number, che identifica la banca emittente, e quegli intervalli sono pubblici. L’ultima cifra è una cifra di controllo prodotta dalla formula di Luhn, che è aritmetica che chiunque può fare. Chi attacca sceglie un BIN appartenente a una banca che vale la pena colpire, riempie le cifre centrali con candidati e calcola la cifra finale così che ogni numero sia strutturalmente valido. Il risultato è una scorta infinita di numeri che sembrano veri a qualsiasi form che ne controlli la forma.

Strutturalmente valido è molto lontano da utilizzabile. La maggior parte di quei numeri non appartiene ad alcun conto, e di quelli che ci appartengono la maggior parte è scaduta, bloccata o già cancellata. Lo stesso vale per i numeri sottratti in una violazione, che restano in un archivio per mesi prima che qualcuno ci arrivi.

Quindi chi attacca ha un mucchio di numeri candidati e nessuna idea di quali siano vivi. C’è esattamente un modo per scoprirlo, ed è chiedere a una banca. Chiedere direttamente a una banca non è una cosa che un criminale possa fare. Chiederlo a un merchant è banale, perché ogni checkout ecommerce al mondo esiste per passare una carta a un processore di pagamento e restituire la risposta.

Quella risposta è il prodotto. Una carta che approva un addebito da due dollari è una carta attiva con una scadenza valida e un codice di sicurezza valido, e vale molte volte un numero non testato su un mercato di rivendita. La merce è irrilevante. Chi attacca non sta facendo acquisti.

Perché il tuo negozio e non quello di un altro

Nulla del tuo negozio ha attirato questa cosa. Il card testing gira contro qualsiasi checkout sia facile da raggiungere, e un negozio Shopify è facile da raggiungere perché Shopify è coerente. Gli stessi schemi di URL funzionano su ogni negozio della piattaforma, quindi uno script scritto contro uno funziona su tutti senza modifiche.

I piccoli addebiti tengono la cosa silenziosa. Chi attacca lavora a uno o due per volta, sul prodotto più economico del catalogo, perché un importo piccolo attira meno attenzione dai sistemi di rischio e costa quasi nulla nella rara occasione in cui passa. Le gift card e gli articoli a valore zero sono ancora meglio, e i merchant riportano che vengono presi di mira per primi.

Come raggiungono il checkout senza mai navigare il tuo negozio

Questa è la parte che sorprende le persone, e non contiene alcun exploit.

Shopify supporta i cart permalink, una funzionalità documentata che ogni merchant usa per i link pubblicitari e le campagne email. Una URL nella forma /cart/{variant_id}:{quantity} costruisce un carrello e manda chi visita dritto al checkout, saltando la pagina prodotto, la pagina carrello e tutto il resto. Esiste perché una email del Black Friday possa portare qualcuno al checkout con un tocco.

Un bot la usa per la stessa ragione di chi fa marketing. Una richiesta crea il carrello e atterra sul checkout, con il negozio saltato completamente. Aggiungi un browser automatizzato che guida il passaggio di pagamento, distribuisci il traffico su indirizzi proxy residenziali così che nessuno spicchi, e il tutto gira senza sorveglianza.

Nulla in quella sequenza è rotto o insolito. Chi attacca sta usando una funzionalità supportata esattamente come è stata progettata, a un volume e per uno scopo che nessuno aveva previsto.

L’attacco non carica mai le pagine che stai difendendo

I merchant che descrivono questi attacchi nel forum della community di Shopify riportano che il traffico arriva direttamente alla URL del checkout, senza navigare il negozio per arrivarci. Quel singolo dettaglio spiega perché le risposte abituali risultano pulite.

Un captcha sulla pagina prodotto protegge una pagina che il bot non richiede mai. Un’app che blocca paesi o indirizzi filtra sessioni del negozio che il bot non apre mai. L’analisi antifrode di Shopify assegna un punteggio agli ordini completati, e un tentativo di card testing che viene rifiutato non diventa mai tale, quindi lo strumento che dovrebbe intercettare la frode non ha nulla davanti a sé. Un merchant in quel thread riporta che reCAPTCHA è stato aggirato e i bot hanno comunque raggiunto il checkout.

Lo schema riportato è abbastanza costante da essere riconoscibile: un nuovo account cliente per ogni tentativo, indirizzi email a rotazione che spesso sono reali e presi da violazioni, e un unico indirizzo di spedizione riutilizzato sotto a tutti. Il bersaglio è ciò che costa meno. I merchant citano prodotti a basso prezzo appena aggiunti, e le gift card o gli articoli a valore zero dove il negozio li ha.

Il volume è ciò che rende costoso ignorarlo. Un merchant riporta centinaia di checkout abbandonati fraudolenti al giorno, un altro un attacco che gira ininterrottamente da giugno 2025, e un terzo ha misurato i checkout abbandonati in crescita del 18,4% in quattro settimane.

Ogni addebito rifiutato ti costa comunque qualcosa

Questa è la parte che i merchant sottovalutano, ed è la ragione per cui un negozio con zero ordini fraudolenti può comunque uscire malconcio da un attacco.

Una richiesta di autorizzazione che fallisce è un dato su di te, inviato alla banca che l’ha rifiutata. Abbastanza richieste del genere, abbastanza ravvicinate, e il tuo negozio inizia a sembrare un rischio cattivo alle istituzioni che decidono se approvare i tuoi clienti. Shopify descrive l’esito in modo diretto: le transazioni fallite peggiorano la reputazione di un merchant presso le banche, e i clienti legittimi si vedono rifiutare il pagamento molto dopo la fine dell’attacco, con un calo persistente dei tassi di autorizzazione.

Shopify riporta che i merchant coperti dalla sua protezione vedono approvato il 13% in più delle proprie vendite legittime. Leggilo come la dimensione del buco invece che come una funzionalità, perché è lo stesso numero visto dall’altro lato.

C’è un secondo costo senza alcun lato positivo. I record dei checkout abbandonati fraudolenti non possono essere rimossi, e i merchant riportano di averlo verificato allo stesso modo con Shopify Flow, con l’admin e con l’API. Ogni tasso di conversione, ogni cifra di abbandono del carrello e ogni report di funnel che coprano quelle settimane sono sbagliati per sempre.

Visa ora monitora l’enumerazione come categoria a sé

Il Visa Acquirer Monitoring Program ha consolidato in un solo programma i precedenti programmi su frodi e contestazioni, con soglie in vigore dal 1 giugno 2025 e un periodo consultivo chiuso il 30 settembre 2025.

La metrica principale è un rapporto tra frodi e contestazioni e transazioni liquidate:

VAMP Ratio = Count of [Fraud (TC40) + Disputes (TC15)] / Count of Settled Transactions (TC05)

Per i merchant di Stati Uniti, Canada, Unione Europea e Asia Pacifico, la soglia Excessive era un rapporto VAMP pari o superiore a 220 punti base insieme ad almeno 1.500 eventi di frode e contestazione in un mese. Quella soglia è scesa a 150 punti base il 1 aprile 2026.

Sotto di essa sta la clausola che si applica specificamente al card testing. Visa impone agli acquirer di mantenere i merchant sotto due soglie di enumerazione:

Leggi la prima riga con attenzione, perché il denominatore sono i tentativi di autorizzazione e non gli ordini completati. Un negozio con volumi modesti può superare il 20% dei propri tentativi di autorizzazione durante un solo attacco prolungato senza mai avvicinarsi a 300.000 transazioni. I negozi piccoli non sono protetti dall’essere piccoli, qui. Sono esposti proprio per quello.

Visa non pubblica gli importi delle commissioni collegate a queste fasce. I processori di pagamento che documentano il programma descrivono sanzioni applicate per transazione conteggiata nella metrica una volta finito il periodo di grazia, e almeno uno documenta una fascia di allerta iniziale che non comporta alcuna commissione. Chi ha bisogno del numero dovrebbe chiederlo al proprio acquirer invece di fidarsi di una cifra presa da un blog, comprese le cifre che circolano con importi in dollari indicati con sicurezza.

Che cosa fa Shopify, e dove si ferma

Shopify ha pubblicato una descrizione delle proprie difese a giugno 2026, e i numeri contenuti meritano di essere presi sul serio.

Il suo modello di machine learning assegna un punteggio a ogni tentativo di pagamento prima che raggiunga il processore, e blocca circa il 90% degli attacchi di card testing sui checkout con carta di credito da ospite. È una difesa reale che fa un lavoro reale, ed è gratuita se sei su Shopify Payments.

La copertura ha dei limiti. Riguarda i checkout con carta di credito da ospite, e solo i merchant che usano Shopify Payments. Circa il 90% lascia inoltre passare all’incirca un tentativo su dieci, il che ai volumi che i merchant descrivono resta un numero sostanziale di autorizzazioni che colpiscono i tuoi tassi ogni giorno.

Shopify descrive anche come sono cambiati gli attacchi, e la descrizione conta più delle percentuali. Gli attacchi moderni sono distribuiti e a basso volume su migliaia di merchant contemporaneamente, instradati attraverso proxy residenziali per sembrare traffico ordinario. È un progetto deliberato per sconfiggere esattamente la difesa a cui la maggior parte delle persone ricorre per prima.

L’edge ora vede il checkout, cosa che non è sempre stata vera

Per anni il consiglio standard era tenere un proxy lontano dal checkout. Le indicazioni che circolano ancora oggi dicono ai merchant Shopify di lasciare i sottodomini del checkout non in modalità proxy.

Quel consiglio è superato, e verificarlo richiede un minuto. Richiedi la URL del checkout su un negozio Shopify attivo e si risolve sul tuo dominio primario, nella forma iltuodominio.com/checkouts/cn/<token>. Non sta su un hostname di proprietà di Shopify. Una zona che passa in modalità proxy attraverso Cloudflare vede quelle richieste e può agirci.

Questo cambia ciò che hai a disposizione. Rate limiting, sfide gestite e regole WAF possono essere scritti contro il percorso che l’attacco usa davvero, invece che contro il negozio che non tocca mai.

Vale la pena enunciare chiaramente un’eccezione invece di scoprirla dopo. Shop Pay e gli altri checkout accelerati reindirizzano a un dominio di proprietà di Shopify fuori dalla tua zona, e nessuna tua regola raggiunge quel percorso.

Regole che corrispondono all’attacco

Le indicazioni pubblicate per i percorsi di checkout partono da circa 5 a 10 richieste POST per IP al minuto, poi bloccano o sfidano per alcuni minuti. È abbastanza basso da fermare un bot che martella l’endpoint e abbastanza alto da lasciare in pace chi compra davvero e riprova una carta rifiutata.

Gradua la severità per percorso invece di alzarla ovunque. I percorsi di checkout e pagamento meritano un trattamento più severo della navigazione dei prodotti, che è tutto il vantaggio di decidere all’edge invece che dentro un’app che non sa distinguere i due.

Usa una sfida prima di usare un blocco. LexisNexis ha rilevato che il 56% dei retailer statunitensi e il 54% dei merchant ecommerce statunitensi riportano un aumento dell’abbandono dei clienti legato alle proprie misure antifrode, che è un costo reale pagato da acquirenti reali. Una sfida gestita costa un secondo a un falso positivo. Un blocco ti costa la vendita.

Abbina la sfida al rate limit invece di scegliere tra i due. Una sfida agisce sul form. Un rate limit intercetta le richieste che non caricano mai il form, che è il comportamento documentato in questo caso.

Accetta ciò che un limite per singolo IP non può fare. Contro un attacco distribuito e diluito su proxy residenziali, il conteggio per IP è un pavimento e non una risposta, e la versione onesta di questo consiglio lo dice. Un merchant in quel thread della community riporta di aver speso migliaia di dollari in un WAF con un successo limitato, che è ciò che succede quando uno strumento buono viene puntato sul livello sbagliato.

Togli il bersaglio prima di mettere mano alle regole

Le vittorie più a buon mercato qui non sono affatto regole, e i merchant riportano che funzionano.

Togli dalla pubblicazione i prodotti a valore zero e le gift card di cui il negozio non ha bisogno, perché sono quelli che i bot cercano per primi. Un merchant riporta che toglierli dalla pubblicazione insieme al passaggio a un checkout su tre pagine ha tagliato gran parte del volume.

Acquisire il pagamento manualmente invece che automaticamente elimina il segnale di autorizzazione istantanea per cui chi attacca è arrivato, il che rende il tuo negozio un banco di prova scadente e lo incoraggia ad andare altrove.

Nessuna delle due cose richiede un WAF, un’app o una conversazione con il tuo acquirer. Entrambe riducono quanto è attraente il bersaglio, che è una risposta più duratura che tarare meglio di chi attacca e può cambiare indirizzi più in fretta di quanto tu riesca a elencarli.

Che cosa è e che cosa non è questo articolo

Questo articolo descrive schemi di attacco che i merchant hanno riportato pubblicamente e soglie pubblicate da Visa. Non è consulenza legale né di conformità, e le commissioni specifiche, i requisiti di rimedio e gli obblighi di segnalazione che si applicano al tuo conto vengono dal tuo acquirer.

Se il tuo negozio è sotto attacco proprio adesso, l’ordine delle operazioni è breve. Togli i bersagli a buon mercato, metti una sfida e un rate limit sul percorso del checkout, e porta il tuo tasso di autorizzazione davanti al tuo fornitore di pagamenti prima che lo schema dei rifiuti diventi la cosa che stai spiegando invece della cosa che stai sistemando.