Где сейчас добывают банковские логи и реальные карты cc

[RicardoChaves2]

• Facebook Ads от “банков” — свои шаблоны, вложения до $50, ROI стабильный
• Meta Business фишинг — цепочка через техподдержку, с краблингом 2FA
• SMS-бонусы — особенно, если комбинировать с “банк верификацией”
• Старые CMS — если не лень вычистить логи через shell и grep

1. Facebook Ads от “банков”​

Рекламное объявление в Facebook якобы от настоящего банка.

• Вложение $30–70 — на запуск рекламы.
• Жертве предлагаем "выгодную" кредитку, переход на фейковый сайт.
• Цель: мамонт вводит свои данные, думая, что оформляет карту.
• ROI стабильный — часто окупается, мамонты заполняют формы.

Варианты запуска рекламы на Facebook​

1.1. Продвижение публикации (Boost Post)​

Самый простой способ

• Ты публикуешь обычный пост с баннером и текстом
• Жмёшь кнопку “Продвигать публикацию”
• Настраиваешь аудиторию, бюджет и цель (например, “Переходы на сайт”)

Идеально для быстрого старта, особенно если хочешь протестировать реакцию

1.2. Создание рекламы через Ads Manager​

Более гибкий и мощный способ

• Можно настраивать цели: трафик, вовлечённость, конверсии, видеопросмотры
• Позволяет создавать карусели, видео, баннеры, формы генерации лидов
• Работает независимо от твоих постов — реклама может идти “втихую”, без отображения на странице

1.3. Форма заявки прямо в рекламе (Lead Ads)​

Специальный формат Meta

• Позволяет собирать данные (email, имя, тел.) без перехода на сайт
• Удобно для эмуляции фальш-анкеты “на кредитную карту” Подходит, если ты не хочешь делать отдельный лендинг

1.4. Click-to-Messenger Ads​

Реклама ведёт не на сайт, а в чат Messenger

• Можно симулировать “бота техподдержки”, который ведёт пользователя по шагам
• Часто используется чтобы собрать данные или выдать “код подтверждения”

2. Meta Business фишинг​

Атака под видом поддержки Meta (Facebook, Instagram).

• мамонту приходят письма или сообщения — “ваш рекламный аккаунт нарушил правила”.
• мамонт переходит по фальшивой ссылке → логинится → вводит 2FA.
• Crabbling 2FA = перехват одноразового кода (двухфакторки).
• мы получаем доступ к рекламному кабинету, откуда можно лить от имени мамонта.

3. SMS-бонусы​

Отправляют SMS с заманчивым текстом: “Получите бонус на карту” или “Верните налоги”.

• Ссылка ведёт на фейковый лендинг.
• Часто добавляется верификация: “Введите данные, чтобы подтвердить личность”.
• Если есть реальный номер телефона — доверия больше, конверт растёт.

​

4. Старые CMS + shell и grep​

Использование старых сайтов (на WordPress, Joomla), где есть уязвимости.

• Взламываем сайт, ставим web-shell (скрытый доступ).
• Через команду grep ищем логины, email, номера карт в базе данных.
• Это требует технических знаний, но всё автоматизируется.

По вложениям:​

Метод	Вложения ($)	Риск	Конверт
Фейсбук-кредитки	30–70	высокий
SMTP-рассылки	от 10	средний
RCE на хостах	0 (если знаешь как)	очень высокий	/
Спам в Telegram	0–15	низкий

 

[Laitovo]

/

 

[zdestuta]

У меня глупый вопрос наверное... а что с этими CC делать то? сейчас же 2FA у всех ну типа "подтвердите операцию, введя код из SMS" например, неа? или 2FA поям на месте перехват на фальшивом сайте и мамонт сам подтверждает одну операцию, а по факту другая операция? ну так это разовая акция, второй раз мамонт не клюнет... или клюнет?

 

[KBZ]

У меня глупый вопрос наверное... а что с этими CC делать то? сейчас же 2FA у всех ну типа "подтвердите операцию, введя код из SMS" например, неа? или 2FA поям на месте перехват на фальшивом сайте и мамонт сам подтверждает одну операцию, а по факту другая операция? ну так это разовая акция, второй раз мамонт не клюнет... или клюнет?

Не везде. Есть определенные бины и мерчанты которые работают без ОТР.

 

[zdestuta]

Не везде. Есть определенные бины и мерчанты которые работают без ОТР.

То есть я правильно понял, что card number + exp date + cardholder + cvv где-то достаточно чтобы по карточке накупить всего? Офигеть, я удивлён...

 

[society]

То есть я правильно понял, что card number + exp date + cardholder + cvv где-то достаточно чтобы по карточке накупить всего? Офигеть, я удивлён...

звучит как стеб, но если ты серьезно, то это называется 2ds мерч

 

[zdestuta]

звучит как стеб, но если ты серьезно, то это называется 2ds мерч

просто давно такого не встречал нигде

 

[r4cket3er]

У меня глупый вопрос наверное... а что с этими CC делать то? сейчас же 2FA у всех ну типа "подтвердите операцию, введя код из SMS" например, неа? или 2FA поям на месте перехват на фальшивом сайте и мамонт сам подтверждает одну операцию, а по факту другая операция? ну так это разовая акция, второй раз мамонт не клюнет... или клюнет?

по телефону звонят и вытягивают отп, как я понял. Ещё я слышал что у некоторых банков 2фа по подписке только, а не как у нас в рф, автоматически.

 

[rudra]

У меня глупый вопрос наверное... а что с этими CC делать то? сейчас же 2FA у всех ну типа "подтвердите операцию, введя код из SMS" например, неа?

Можно всячиски фишить отп (отп-боты/прозвоны). Были товарищи, которые перехватывали сообщения (тут даже один модератор писал статью на около этой темы), но сейчас перехват сообщений не так актуален (из-за пушей), да и очень сложно. Чаще всего это 2дс мерч или товарка. В юсе с 2дс все просто, в ес потяжелее, но в любом случае возможности есть. Еще популярный способ обнала cc, особенно eu cc - manual pos, с ним много гемороя, но зарабатываешь на мате в разы больше относительно других способов

или 2FA поям на месте перехват на фальшивом сайте и мамонт сам подтверждает одну операцию, а по факту другая операция? ну так это разовая акция, второй раз мамонт не клюнет... или клюнет?

Такое тоже бывает и где-то в 20-30% случаев с мамонта можно списать сумму 2-3 раза или приписывать к сумме нолик в конце. Есть ребята, которые вяжут мат к gpay/apay, а дальше уже счищают под лимиты.

 

[VektorBo55]

Ощущение, что писала нейросеть

 

[kosh_e4ka]

Ощущение, что писала нейросеть

так и есть. взял и нагадил еще и не в тот раздел

 

[EVA_angel]

просто давно такого не встречал нигде

если ты вникнешь немного вто как устроена банковская система сша, ты поймешь почему из нее легко "красть", и именно с кредитных карт. потому что по сути кредитные карты - это даже не деньги.

 

[EVA_angel]

Можно всячиски фишить отп (отп-боты/прозвоны). Были товарищи, которые перехватывали сообщения (тут даже один модератор писал статью на около этой темы), но сейчас перехват сообщений не так актуален (из-за пушей), да и очень сложно. Чаще всего это 2дс мерч или товарка. В юсе с 2дс все просто, в ес потяжелее, но в любом случае возможности есть. Еще популярный способ обнала cc, особенно eu cc - manual pos, с ним много гемороя, но зарабатываешь на мате в разы больше относительно других способов

очень интересен метод. взяла бы на тест.

 

[motorola95]

Такое тоже бывает и где-то в 20-30% случаев с мамонта можно списать сумму 2-3 раза или приписывать к сумме нолик в конце. Есть ребята, которые вяжут мат к gpay/apay, а дальше уже счищают под лимиты.

Даже если Вы привяжете мат к Apple/Google Pay, списать будет не просто.

У меня глупый вопрос наверное... а что с этими CC делать то? сейчас же 2FA у всех ну типа "подтвердите операцию, введя код из SMS" например, неа? или 2FA поям на месте перехват на фальшивом сайте и мамонт сам подтверждает одну операцию, а по факту другая операция? ну так это разовая акция, второй раз мамонт не клюнет... или клюнет?

Многие используют СС+ОТП через Фиш Панель под ПОС или Мерч . Есть и другие способы, но этот очень популярен.

Не везде. Есть определенные бины и мерчанты которые работают без ОТР.

Их очень тяжело найти.

по телефону звонят и вытягивают отп, как я понял. Ещё я слышал что у некоторых банков 2фа по подписке только, а не как у нас в рф, автоматически.

Не всегда. В основном кх сам вводит.

То есть я правильно понял, что card number + exp date + cardholder + cvv где-то достаточно чтобы по карточке накупить всего? Офигеть, я удивлён...

Накупить всего не получится, поскольку для нормальных шопов обязательный Биллинг. Разве что подписки на нетфликсе. Может быть, способы и есть, но много $ не получится заработать.

RicardoChaves2, Вы описали фишинг-способы добычи картона, без ОТП.
Однако, если делать по нормальному, для Логов БА с куками действует только 1 способ трафф-файл-бот-лог.
Для добычи "реальных карт СС", в шоп ставиться Сниффер.

 

[kosheemod]

Даже если Вы привяжете мат к Apple/Google Pay, списать будет не просто.

Многие используют СС+ОТП через Фиш Панель под ПОС или Мерч . Есть и другие способы, но этот очень популярен.

Их очень тяжело найти.

Не всегда. В основном кх сам вводит.

Накупить всего не получится, поскольку для нормальных шопов обязательный Биллинг. Разве что подписки на нетфликсе. Может быть, способы и есть, но много $ не получится заработать.

RicardoChaves2, Вы описали фишинг-способы добычи картона, без ОТП.
Однако, если делать по нормальному, для Логов БА с куками действует только 1 способ трафф-файл-бот-лог.
Для добычи "реальных карт СС", в шоп ставиться Сниффер.

Лайки закончились , обязательно поставлю )

 

[zdestuta]

Разве что подписки на нетфликсе.

Ну подписки на нетфликсе это у так себе, а вот некоторые внутриигровые нештяки с целью перепродажи потом за крипту - это наверное тема?
Опять же виртуальные услуги всякие типа VPS для скана (забанили, да и хрен с ним - новый заказал за $5 и радуешься) и другие интересные digital вещицы.

 

[loren4]

Даже если Вы привяжете мат к Apple/Google Pay, списать будет не просто.

Многие используют СС+ОТП через Фиш Панель под ПОС или Мерч . Есть и другие способы, но этот очень популярен.

Их очень тяжело найти.

Не всегда. В основном кх сам вводит.

Накупить всего не получится, поскольку для нормальных шопов обязательный Биллинг. Разве что подписки на нетфликсе. Может быть, способы и есть, но много $ не получится заработать.

RicardoChaves2, Вы описали фишинг-способы добычи картона, без ОТП.
Однако, если делать по нормальному, для Логов БА с куками действует только 1 способ трафф-файл-бот-лог.
Для добычи "реальных карт СС", в шоп ставиться Сниффер.

Можно по подробнее про (Многие используют СС+ОТП через Фиш Панель под ПОС или Мерч . Есть и другие способы, но этот очень популярен.)

Знаю что такое СС+ОТП и как добывают, не понимаю как использовать код, там вроде код одноразовый или?

 

[Big Black Cat]

Можно по подробнее про (Многие используют СС+ОТП через Фиш Панель под ПОС или Мерч . Есть и другие способы, но этот очень популярен.)

Знаю что такое СС+ОТП и как добывают, не понимаю как использовать код, там вроде код одноразовый или?

По поводу одноразового кода - отраб в реальном времени делает параллельный вбив или привязку карты в то же самое время как холдер на фише ввел данные сс и они упали в панель. Далее отраб вызывает на стороне фиша окно 2фа, холдеру приходит код и он вводит этот код на фише. Код холдера отработчик получает в панель и использует на своей стороне для завершения вбива/привязки. Все просто. Но нужно шустро шевелиться, поскольку временные рамки процедуры сжаты.

 

[loren4]

По поводу одноразового кода - отраб в реальном времени делает параллельный вбив или привязку карты в то же самое время как холдер на фише ввел данные сс и они упали в панель. Далее отраб вызывает на стороне фиша окно 2фа, холдеру приходит код и он вводит этот код на фише. Код холдера отработчик получает в панель и использует на своей стороне для завершения вбива/привязки. Все просто. Но нужно шустро шевелиться, поскольку временные рамки процедуры сжаты.

Спасибо дружище за исчерпывающий ответ