Продавець, який спостерігає атаку з перевірки карток, щоразу бачить те саме. Замовлення найдешевшого товару з каталогу, що приходять хвилями, кожне з іншим іменем, іншою карткою і тією самою адресою доставки. Сотні покинутих оформлень замовлення на день, яких не створювала жодна людина. Майже жодне з них не проходить, і саме через це багато хто вважає, що це чужа проблема.
Signifyd зафіксувала зростання атак з перевірки карток на 175% за період з січня по квітень 2026 року проти тих самих місяців 2025 року і пояснює це автоматизованою перевіркою облікових даних. За те саме вікно вона оцінює зростання шахрайського тиску в Північній Америці на 33%, а спроб захоплення облікових записів на 78%.
Причина, чому це так важко зупинити на Shopify, не має нічого спільного з якістю захисту. Річ у тому, де він стоїть.
Що насправді робить зловмисник
Найбільше збиває з пантелику мотив. Хтось проганяє крізь ваш магазин сотні замовлень і майже всі їх покидає, і це схоже на вандалізм, доки ви не зрозумієте, що замовлення ніколи не були метою.
Багато номерів карток ніхто ні в кого не крав. Їх вгадали. Номер картки не випадковий. Перші шість або вісім цифр це Bank Identification Number, який позначає банк-емітент, і ці діапазони публічні. Остання цифра це контрольна цифра, обчислена за формулою Луна, тобто арифметика, доступна будь-кому. Зловмисник обирає BIN банку, який варто атакувати, заповнює середні цифри кандидатами й обчислює останню цифру так, щоб кожен номер був структурно правильним. Це дає нескінченний запас номерів, які виглядають справжніми для будь-якої форми, що перевіряє лише їхню будову.
Структурно правильний і придатний до використання це різні речі. Більшість таких номерів не належить жодному рахунку, а з тих, що належать, більшість прострочені, заморожені або вже скасовані. Те саме стосується номерів, узятих під час витоку, бо вони місяцями лежать у дампі, перш ніж до них хтось дістанеться.
Отже, у зловмисника є купа номерів-кандидатів і жодного уявлення, які з них живі. Дізнатися це можна рівно одним способом, і цей спосіб полягає в тому, щоб запитати банк. Запитати банк напряму злочинець не може. Запитати продавця тривіально, бо кожне оформлення замовлення в електронній комерції існує саме для того, щоб передати картку платіжному процесору й повернути відповідь.
Ця відповідь і є товаром. Картка, яка схвалює списання на два долари, це жива картка з робочим терміном дії та дійсним кодом безпеки, і на ринку перепродажу вона коштує в рази більше за неперевірений номер. Товари не мають значення. Зловмисник не робить покупок.
Чому саме ваш магазин, а не чийсь інший
Ваш магазин нічим цього не привабив. Перевірка карток іде туди, де до оформлення замовлення дешево дістатися, а до магазину на Shopify дістатися дешево, бо Shopify послідовна. Ті самі шаблони URL працюють у кожному магазині платформи, тож скрипт, написаний під один магазин, працює проти всіх інших без змін.
Малі суми тримають усе тихо. Зловмисники працюють одиницями і двійками, на найдешевшому товарі каталогу, бо мала сума привертає менше уваги ризикових систем і майже нічого не коштує в тих рідкісних випадках, коли платіж проходить. Подарункові сертифікати й товари з нульовою ціною ще кращі, і продавці повідомляють, що саме їх атакують першими.
Як вони потрапляють на оформлення замовлення, жодного разу не переглянувши магазин
Саме це людей і дивує, хоча жодного експлойта тут немає.
Shopify підтримує постійні посилання на кошик, задокументовану функцію, якою кожен продавець користується для рекламних посилань і email-кампаній. URL у вигляді /cart/{variant_id}:{quantity} створює кошик і відправляє відвідувача одразу на оформлення замовлення, оминаючи сторінку товару, сторінку кошика і все інше. Вона існує, щоб лист до Чорної п’ятниці міг закинути людину в оформлення замовлення одним дотиком.
Бот користується цим із тієї самої причини, що й маркетолог. Один запит створює кошик і відкриває оформлення замовлення, а вітрина оминається повністю. Додайте автоматизований браузер, який проходить крок оплати, розподіліть трафік по резидентних проксі-адресах, щоб жодна не вирізнялася, і вся конструкція працює без нагляду.
У цій послідовності немає нічого зламаного чи незвичного. Зловмисник користується підтримуваною функцією точно так, як її задумано, але в обсязі й з метою, яких ніхто не передбачав.
Атака ніколи не завантажує сторінок, які ви захищаєте
Продавці, які описують ці атаки на власному форумі спільноти Shopify, повідомляють, що трафік приходить прямо на URL оформлення замовлення, не переглядаючи вітрину дорогою туди. Ця одна деталь пояснює, чому звичні відповіді нічого не показують.
Капча на сторінці товару стереже сторінку, якої бот ніколи не запитує. Застосунок, що блокує країни чи адреси, фільтрує сесії вітрини, яких бот ніколи не відкриває. Аналіз шахрайства від Shopify оцінює завершені замовлення, а відхилена спроба перевірки картки замовленням ніколи не стає, тож інструмент, який має ловити шахрайство, не бачить перед собою нічого. Один продавець у тій гілці повідомляє, що reCAPTCHA обійшли, а боти все одно дісталися оформлення замовлення.
Описаний патерн достатньо стабільний, щоб його впізнати: новий обліковий запис клієнта на кожну спробу, змінні адреси електронної пошти, часто справжні й узяті з витоків, і одна повторювана адреса доставки під усіма ними. Ціль це те, що коштує найменше. Продавці називають щойно додані дешеві товари, а також подарункові сертифікати чи товари з нульовою ціною там, де магазин їх має.
Дорогим для ігнорування це робить саме обсяг. Один продавець повідомляє про сотні шахрайських покинутих оформлень замовлення на день, інший про атаку, що триває безперервно з червня 2025 року, а третій виміряв зростання покинутих оформлень на 18,4% за чотири тижні.
Кожне відхилене списання все одно чогось вам коштує
Саме це продавці недооцінюють, і саме через це магазин із нульовою кількістю шахрайських замовлень усе одно може серйозно постраждати від атаки.
Невдалий запит на авторизацію це дані про вас, надіслані банку, який його відхилив. Достатня їх кількість за достатньо короткий проміжок часу, і ваш магазин починає виглядати поганим ризиком для установ, які вирішують, схвалювати ваших клієнтів чи ні. Shopify описує наслідок прямо: невдалі транзакції псують репутацію продавця в банках, і законні клієнти отримують відмови ще довго після завершення атаки, а рівень авторизацій лишається зниженим.
Shopify повідомляє, що продавці під її захистом отримують на 13% більше схвалених законних продажів. Читайте це як розмір діри, а не як перевагу продукту, бо це те саме число, побачене з іншого боку.
Є друга втрата, у якої немає взагалі жодного зворотного боку. Записи про шахрайські покинуті оформлення замовлення видалити не можна, і продавці повідомляють, що переконалися в цьому і через Shopify Flow, і через адмінку, і через API. Кожен показник конверсії, кожна цифра покинутих кошиків і кожен звіт по воронці за ті тижні назавжди хибні.
Visa тепер відстежує перебір як окрему категорію
Visa Acquirer Monitoring Program об’єднала старіші програми з шахрайства та спорів в одну, з порогами, що набули чинності 1 червня 2025 року, і з дорадчим періодом, який завершився 30 вересня 2025 року.
Головна метрика це відношення шахрайства та спорів до розрахованих транзакцій:
VAMP Ratio = Count of [Fraud (TC40) + Disputes (TC15)] / Count of Settled Transactions (TC05)
Для продавців у США, Канаді, ЄС та Азійсько-Тихоокеанському регіоні поріг Excessive становив коефіцієнт VAMP на рівні 220 базисних пунктів або вище разом зі щонайменше 1 500 випадками шахрайства та спорів за місяць. 1 квітня 2026 року цей поріг знизився до 150 базисних пунктів.
Під ним стоїть положення, що стосується саме перевірки карток. Visa вимагає від еквайрів утримувати продавців нижче двох порогів перебору:
| Показник | Поріг |
|---|---|
| Коефіцієнт перебору: авторизації, віднесені до перебору, поділені на всі авторизації, і схвалені, і відхилені | 2 000 базисних пунктів, тобто 20% |
| Кількість транзакцій перебору: транзакції перебору за місяць, і схвалені, і відхилені | 300 000 |
Прочитайте перший рядок уважно, бо в знаменнику стоять спроби авторизації, а не завершені замовлення. Магазин зі скромним обсягом може перетнути 20% своїх спроб авторизації за одну тривалу атаку, ніколи навіть не наблизившись до 300 000 транзакцій. Малі магазини тут не захищені своїм розміром. Вони через нього вразливі.
Visa не публікує розмірів комісій, прив’язаних до цих рівнів. Платіжні процесори, які описують програму, згадують штрафи, що нараховуються за кожну транзакцію, враховану метрикою, після завершення пільгового періоду, і принаймні один описує рівень раннього попередження, з яким не пов’язана жодна оплата. Кому потрібна цифра, тому варто запитати власного еквайра, а не довіряти числу з блогу, і це стосується також чисел, що ходять із впевнено вказаними доларовими сумами.
Що робить Shopify і де вона зупиняється
Shopify опублікувала опис власного захисту в червні 2026 року, і наведені там числа варті серйозного ставлення.
Її модель машинного навчання оцінює кожну спробу оплати ще до того, як та дійде до процесора, і блокує приблизно 90% атак з перевірки карток під час гостьового оформлення замовлення кредитною карткою. Це справжній захист, який справді працює, і він безкоштовний, якщо ви на Shopify Payments.
Це покриття має обмеження. Воно діє для гостьового оформлення замовлення кредитною карткою і лише для продавців, які користуються Shopify Payments. Приблизно 90% також означає, що приблизно одна спроба з десяти проходить, а при описаних продавцями обсягах це все ще значна кількість авторизацій, які щодня б’ють по ваших показниках.
Shopify також описує, як змінилися атаки, і цей опис важливіший за відсотки. Сучасні атаки розподілені й малообсягові, вони йдуть одночасно по тисячах продавців і маршрутизуються через резидентні проксі, щоб виглядати як звичайний трафік. Це навмисна конструкція, яка перемагає саме той захист, до якого більшість береться першим.
Тепер край мережі бачить оформлення замовлення, а так було не завжди
Роками стандартна порада полягала в тому, щоб тримати проксі подалі від оформлення замовлення. Настанови, які ходять і сьогодні, радять продавцям Shopify лишати субдомени оформлення замовлення без проксіювання.
Ця порада застаріла, а перевірка займає хвилину. Запросіть URL оформлення замовлення в живому магазині на Shopify, і він розкриється у ваш власний основний домен у вигляді yourdomain.com/checkouts/cn/<token>. Це не хост, що належить Shopify. Зона, пропущена через Cloudflare, бачить ці запити і може на них діяти.
Це змінює те, що вам доступно. Обмеження частоти запитів, керовані перевірки та правила WAF можна писати під той шлях, яким атака справді користується, а не під вітрину, якої вона ніколи не торкається.
Один виняток краще назвати прямо, ніж виявити його згодом. Shop Pay та інші прискорені способи оформлення замовлення перенаправляють на домен, що належить Shopify і лежить поза вашою зоною, і жодне ваше правило до цього шляху не дістає.
Правила, що відповідають атаці
Опубліковані рекомендації для шляхів оформлення замовлення починаються приблизно з 5 до 10 POST-запитів на одну IP-адресу за хвилину, після чого йде блокування або перевірка на кілька хвилин. Це достатньо низько, щоб зупинити бота, який довбить ендпоїнт, і достатньо високо, щоб не чіпати справжнього покупця, який повторює спробу з відхиленою карткою.
Розподіляйте суворість за шляхами, а не піднімайте її всюди. Шляхи оформлення замовлення та оплати заслуговують на суворіше поводження, ніж перегляд товарів, і саме в цьому вся перевага правил на краю мережі замість застосунку, який не відрізняє одне від одного.
Спершу застосовуйте перевірку, а вже потім блокування. LexisNexis виявила, що 56% роздрібних торговців у США і 54% американських продавців в електронній комерції повідомляють про зростання відтоку клієнтів, пов’язане з їхніми ж антифрод-заходами, і це реальна ціна, яку платять реальні покупці. Керована перевірка коштує хибному спрацюванню секунду. Блокування коштує вам продажу.
Поєднуйте перевірку з обмеженням частоти, а не обирайте між ними. Перевірка діє на формі. Обмеження частоти ловить запити, які форму взагалі не відмальовують, а саме така поведінка тут задокументована.
Прийміть те, чого обмеження на одну IP-адресу зробити не може. Проти розподіленої атаки, тонко розмазаної по резидентних проксі, підрахунок на одну IP-адресу це підлога, а не відповідь, і чесна версія цієї поради так і каже. Один продавець у тій гілці спільноти повідомляє, що витратив тисячі доларів на WAF з обмеженим успіхом, і саме так буває, коли добрий інструмент націлюють не на той рівень.
Приберіть ціль, перш ніж щось налаштовувати
Найдешевші перемоги тут це взагалі не правила, і продавці повідомляють, що вони працюють.
Зніміть з публікації товари з нульовою ціною та подарункові сертифікати, яких магазину не потрібно, бо саме до них боти тягнуться першими. Один продавець повідомляє, що зняття їх з публікації разом із переходом на тристорінкове оформлення замовлення відрізало більшу частину обсягу.
Ручне, а не автоматичне списання коштів прибирає миттєвий сигнал авторизації, по який зловмисник і прийшов, а це робить ваш магазин поганим випробувальним стендом і спонукає його піти деінде.
Жодна з цих дій не потребує ні WAF, ні застосунку, ні розмови з еквайром. Обидві знижують привабливість цілі, і це триваліша відповідь, ніж спроба перенастроювати швидше за зловмисника, який змінює адреси швидше, ніж ви встигаєте їх перелічити.
Чим це є і чим не є
Ця стаття описує патерни атак, про які продавці повідомляли публічно, і пороги, опубліковані Visa. Це не юридична консультація і не порада з комплаєнсу, а конкретні комісії, вимоги щодо усунення порушень та обов’язки зі звітності, прив’язані до вашого рахунку, надходять від вашого еквайра.
Якщо ваш магазин зараз під атакою, порядок дій короткий. Приберіть дешеві цілі, поставте перевірку й обмеження частоти на шлях оформлення замовлення і покажіть свій рівень авторизацій платіжному провайдеру, доки патерн відмов не став тим, що ви пояснюєте, замість того, що ви виправляєте.