Agentes de IA reduzem barreira técnica para ataques de card testing em massa
A Group-IB descreve como fraudadores usam bots baseados em Selenium/WebDriver e proxies residenciais para testar cartões roubados em pequenas transações antes de aplicar golpes maiores, e mostra como agentes de IA disponíveis publicamente já reduzem a necessidade de conhecimento técnico para escalar esse tipo de ataque. Em uma demonstração própria, a empresa usou um agente de IA público para acessar uma conta bancária e realizar pagamentos, evidenciando o quanto essas ferramentas já são acessíveis a criminosos.
Card testing é a etapa de 'checagem de qualidade' da cadeia de fraude com cartão: antes de gastar valores altos, o criminoso precisa saber quais números de cartão, entre milhares comprados em fóruns clandestinos, ainda estão ativos. Historicamente isso é feito com bots construídos sobre frameworks de automação de testes como Selenium e WebDriver — ferramentas legítimas de QA reaproveitadas para disparar micro-transações em múltiplos e-commerces, simulando cliques e preenchimento de formulário para parecer um comprador humano.
Para não cair em bloqueios de IP, os operadores roteiam esse tráfego por proxies residenciais de operadoras reais (Comcast, Spectrum, T-Mobile), que são muito mais difíceis de sinalizar como suspeitos do que um datacenter. O relatório mostra que agentes de IA generalistas elevam esse jogo: eles conseguem preencher formulários, simular movimentos de mouse realistas e iterar rapidamente por grandes listas de cartões sem que o operador precise programar um bot customizado — o que derruba a barreira técnica que antes limitava esse tipo de fraude a grupos mais sofisticados.
Além do card testing puro, a Group-IB associa essa mesma automação à criação de contas-mula com identidades sintéticas/deepfake, a ataques de credential stuffing e a takeover de contas em escala industrial — ou seja, o mesmo agente de IA que testa cartões pode, com pequenos ajustes de prompt, ser redirecionado para outras etapas da cadeia de fraude.
Do lado da detecção, os sinais mais eficazes combinam indícios técnicos (Chrome headless, containers/VMs, poucos núcleos de CPU, coleta de hardware bloqueada) com sinais transacionais (muitas compras pequenas e uniformes, picos de tentativas 3D Secure, IPs de proxy). A Group-IB reporta 96% de detecção em tempo real ao cruzar esses sinais — o que reforça que a resposta mais robusta não é bloquear uma transação isolada, mas correlacionar padrões de dispositivo, rede e comportamento, além de exigir 3D Secure com OTP como camada adicional que a automação pura ainda não replica bem.