Singapura Kedua Tertinggi di Dunia bagi Kad Pembayaran Dicuri ketika Perdagangan Web Gelap Berkembang

Penerimaan digital yang tinggi di Singapura membawa pendedahan risiko, bukan kelemahan

Singapura berada di kedudukan kedua di dunia dari segi bahagian kad pembayaran dicuri yang diperdagangkan di pasaran web gelap, di belakang Amerika Syarikat dan mendahului Sepanyol. Dapatan itu berdasarkan analisis kira-kira 50,700 rekod kad yang dikumpulkan pada Mei 2025 oleh sebuah platform pendedahan ancaman. Lebih 60 peratus kad dicuri dalam sampel itu milik pengguna Amerika, kira-kira 11 peratus milik pengguna di Singapura dan sekitar 10 peratus milik pengguna di Sepanyol.

Pakar keselamatan memberi amaran bahawa kedudukan ini mencerminkan skala dan pendigitalan, bukannya sistem perbankan yang luar biasa tidak selamat. Singapura mempunyai antara kadar tertinggi bagi pembayaran dalam talian, penggunaan dompet mudah alih dan e-dagang rentas sempadan di Asia. Jejak digital yang lebih besar membuka lebih banyak peluang kepada penjenayah untuk mencuri data kad, walaupun bank dan peniaga mengekalkan kawalan yang kukuh.

Harga di pasaran ini meningkat sejak dua tahun lalu. New Zealand mencatat kenaikan paling mendadak, lebih 444 peratus, manakala kenaikan besar turut dilaporkan di Argentina dan Poland. Walaupun harga meningkat, data kad dicuri masih murah bagi penjenayah kelas bawahan. Harga sekeping kad selalunya lebih kurang sama dengan harga tiket wayang. Purata global sekitar AS$9, dengan perbezaan besar mengikut negara. Di Asia, kad Jepun mencatat harga purata tertinggi sekitar AS$22.80, diikuti Kazakhstan pada AS$16.87 dan Thailand pada AS$15.08. Kad yang dikeluarkan di Singapura dijual pada purata sekitar AS$13.19, meningkat kira-kira 29 peratus berbanding 2023. Di Eropah, harga di Sepanyol, Perancis dan Switzerland berkisar antara AS$11 hingga AS$12.

Bagaimana pasaran kad dicuri beroperasi

Web gelap ialah rangkaian perkhidmatan tersembunyi yang menggunakan perisian tanpa nama untuk menyembunyikan identiti dan lokasi. Di situ terdapat pasaran yang menyenaraikan nombor kad dicuri, tarikh luput dan kadangkala data lengkap termasuk CVV, alamat pengebilan serta cap jari peranti. Data diperoleh daripada perisian hasad pada peranti pengguna, laman pancingan data yang menyamar sebagai laman bank dan peniaga, pencerobohan sistem peniaga serta penyedia pemprosesan pihak ketiga yang diceroboh.

Di pasaran ini, kad dijual secara pukal atau satu demi satu. Penjual lazimnya menandakan senarai mengikut bank pengeluar, negara dan sama ada kad itu menyokong pengesahan 3D Secure. Pembeli menguji transaksi kecil sebelum mencuba pembelian yang lebih besar seperti kad hadiah, tiket penerbangan atau barangan yang boleh dijual semula. Kajian industri menunjukkan sebahagian besar butiran kad yang disenaraikan kekal boleh digunakan selama berbulan-bulan. Ini memberi penjenayah banyak masa untuk mengeluarkan wang jika caj ujian awal tidak mencetuskan peraturan pengesanan penipuan.

Bekalan, permintaan dan harga

Harga ditentukan oleh asas bekalan dan permintaan. Kad lebih murah apabila bekalan tinggi atau bank mempunyai kawalan penipuan yang agresif. Sebaliknya, kad lebih mahal apabila bekalan terhad dan pemeriksaan antipenipuan ketat kerana penipuan yang berjaya memerlukan lebih banyak persediaan dan kesabaran. Dinamik ini menjelaskan mengapa kad Jepun antara yang paling mahal dan mengapa negara yang mempunyai banyak kad disenaraikan, seperti Singapura, boleh mencatat harga purata sederhana walaupun mewakili bahagian besar daripada keseluruhan sampel.

Mengapa bahagian kad dicuri yang besar datang dari Singapura

Singapura ialah hab kewangan dan logistik dengan pemilikan kad yang tinggi serta penerimaan pembayaran tanpa sentuh yang hampir menyeluruh. Pengguna membeli-belah dalam talian dengan peniaga tempatan dan antarabangsa, membayar pengangkutan dan makanan menggunakan dompet mudah alih, serta kerap melancong. Ini menghasilkan jumlah transaksi sah yang sangat besar dan profil kad tersimpan merentas pelbagai perkhidmatan. Penjenayah mencuri data pada skala besar melalui kit pancingan data yang menyasarkan bank serantau dan perisian hasad yang menyapu kelayakan log masuk tersimpan serta data isi automatik daripada pelayar.

Penerimaan meluas pembayaran mudah alih bertoken turut mengubah corak penipuan. Apabila bank dan peniaga menyekat penipuan kad tanpa kehadiran fizikal, penjenayah beralih kepada cara lain, termasuk memasukkan kad dicuri ke dalam dompet telefon atau memperdaya peruncit semasa transaksi bersemuka. Bahagian kad keluaran Singapura yang dicuri di kedai bawah tanah mencerminkan permukaan serangan yang luas ini, bukannya kekurangan perlindungan.

Sistem antipenipuan mengehadkan keuntungan

Bank di Singapura menggunakan perlindungan berlapis. Pemantauan transaksi mengesan kategori atau lokasi peniaga yang luar biasa. 3D Secure mengarahkan banyak pembelian dalam talian melalui pengesahan tambahan. Makluman diterima dalam beberapa saat, memberi peluang kepada pemegang kad dan bank untuk membekukan kad dengan pantas. Kawalan ini, bersama hak caj balik yang kukuh, meningkatkan kos dan risiko bagi penjenayah. Itulah antara sebab kad keluaran Singapura, walaupun lazim ditemui di web gelap, tidak mencapai harga tertinggi di pasaran.

Daripada pancingan data hingga ketik hantu, bagaimana penipu mengaut hasil

Pancingan data kekal sebagai pintu masuk bagi banyak kes. Penyerang menghantar pemberitahuan penghantaran palsu atau mesej keselamatan bank lalu memancing mangsa ke halaman log masuk yang mencuri kelayakan kad dan akaun. Keluarga perisian hasad pencuri maklumat seperti Racoon, Azorult dan lain-lain secara senyap mencuri log masuk tersimpan dan data borang daripada pelayar. Identiti dicuri, termasuk nombor kad pengenalan kebangsaan dan swafoto yang dikumpulkan untuk semakan kenali pelanggan anda, diedarkan di forum bawah tanah. Data ini membolehkan penjenayah membuka akaun keldai, mencuci wang dan cuba mengambil alih akaun.

Penyalahgunaan dompet mudah alih dan penipuan di kedai

Satu taktik yang semakin berkembang menghubungkan data kad dicuri kepada Apple Pay atau Google Pay pada telefon pakai buang untuk pembelian di kedai. Penganalisis menggelar sebahagian daripada kegiatan ini sebagai ketik hantu kerana penjenayah boleh menyampaikan isyarat tanpa sentuh atau menyediakan lebih awal kad dicuri, kemudian menyerahkan telefon kepada pembeli yang direkrut. Sindiket menyelaraskan urusan logistik, daripada merekrut keldai dan merancang perjalanan membeli-belah hinggalah menjual barangan melalui Telegram atau platform e-dagang. Laporan menyebut kerugian besar peruncitan di Singapura, dengan keldai menyamar sebagai pelancong dan bergerak pantas antara kedai. Pada penghujung 2024, polis merekodkan sekurang-kurangnya 656 kes dan kerugian S$1.2 juta akibat pancingan data kad kredit serta penipuan dompet mudah alih dalam tempoh tiga bulan.

Kes terkini di Singapura menunjukkan modus operandi

Mahkamah telah membicarakan beberapa kes yang mencerminkan kaedah ini. Dalam satu kes, seorang warga China berusia 29 tahun dipenjara selama 30 bulan kerana menggunakan data kad dicuri untuk membeli 20 unit iPhone 16 bernilai lebih S$40,000 dalam tempoh tiga hari. Dia diberikan sebuah telefon dengan aplikasi yang memuatkan butiran kad dicuri dari jauh, yang diperoleh melalui pancingan data. Pembelian dibuat di kedai elektronik utama, telefon itu dijual semula untuk mendapatkan wang tunai dan hasil jualan dikutip oleh pengendali.

Dalam kes berasingan, seorang wanita Malaysia berusia 25 tahun dijatuhi hukuman kerana membantu menjual iPhone yang dibeli menggunakan butiran kad yang dimuatkan ke dalam dompet mudah alih. Pasangannya membuat beberapa pembelian di kedai Apple menggunakan kad maya yang dipautkan kepada mangsa. Makluman bank memberitahu mangsa dan polis campur tangan sebelum pasangan itu dapat meninggalkan negara dengan baki hasil penipuan. Pendakwaan ini menunjukkan bagaimana sindiket rentas sempadan menghantar pembeli untuk melakukan pembelian pantas bernilai tinggi.

Risiko orang dalam dan pengendalian data yang lemah

Risiko juga timbul dalam organisasi. Seorang bekas kakitangan bank di Singapura disabitkan kesalahan kerana mendedahkan maklumat lebih 1,000 pelanggan selepas diperdaya oleh pemanggil yang menyamar sebagai polis asing. Walaupun nombor kredit dan debit tidak terlibat dalam satu insiden berasingan di sebuah pengedar automotif utama, pencerobohan yang mendedahkan 147,000 rekod pelanggan menunjukkan bagaimana maklumat peribadi tersebar selepas penyerang berjaya menembusi sistem. Dokumen dan data identiti membantu penipuan dengan membolehkan penjenayah melepasi pemeriksaan pengesahan atau cabaran kejuruteraan sosial.

Langkah bank, peruncit dan pengawal selia

Bank terus memperketat kawalan bagi penambahan kad ke dalam dompet mudah alih. Analisis risiko peranti memeriksa sama ada telefon yang meminta token pernah dilihat sebelum ini, sama ada ia telah diubah suai dan sama ada permintaan itu sepadan dengan profil pelanggan. Sesetengah penerbit kad meminta pelanggan mengesahkan pautan dompet baharu melalui aplikasi bank dan bukannya SMS bagi mengurangkan kejuruteraan sosial. Analitik masa nyata dan model pembelajaran mesin membantu menyekat pembelian mencurigakan pada peringkat kelulusan transaksi.

Peruncit memperkukuh pemeriksaan di tempat jualan. Latihan kakitangan menekankan tanda amaran seperti percubaan berulang yang gagal, pelanggan bertukar-tukar antara beberapa telefon atau kad, serta usaha memecahkan pembelian bernilai tinggi kepada banyak transaksi kecil. Kedai boleh meminta pemeriksaan kad pengenalan untuk barangan elektronik mahal, bekerjasama rapat dengan bank pemeroleh dan menyediakan rakaman CCTV bagi siasatan segera. Penyedia pembayaran melaraskan peraturan untuk menandakan gabungan peniaga dan peranti berisiko yang menunjukkan kegiatan membeli-belah terancang.

Penguatkuasaan undang-undang dan kerjasama rentas sempadan

Operasi terselaras yang menghimpunkan bank, rangkaian kad, syarikat penerbangan dan polis terbukti berkesan dalam menangani jenis penipuan tertentu. Dalam operasi Airport Action Days yang terdahulu, pegawai menahan berpuluh-puluh pengembara yang cuba menggunakan butiran kad dicuri untuk membeli tiket penerbangan. INTERPOL menyelaraskan operasi di seluruh Asia dari hab inovasinya di Singapura. Usaha bersama seumpamanya dengan polis negara kini digunakan untuk melumpuhkan kit pancingan data, saluran perekrutan keldai dan pasaran bawah tanah tempat kad dicuri diperdagangkan.

Langkah yang boleh diambil pengguna sekarang

Kebanyakan penerbit kad membayar balik pembelian kad tanpa kebenaran, namun tindakan pantas penting. Pengesanan awal mengehadkan kerugian dan memendekkan tempoh penjenayah boleh menguji serta menggunakan semula butiran anda. Langkah di bawah mengurangkan risiko pencerobohan dan membantu anda mengesan penipuan dengan segera.

• Aktifkan makluman transaksi masa nyata dalam aplikasi bank bagi setiap kad, termasuk transaksi dompet dan pembelian dalam talian.
• Semak penyata setiap minggu dan segera pertikaikan sebarang caj yang tidak dikenali.
• Gunakan kata laluan yang kukuh dan unik untuk akaun bank dan kad, serta simpan dalam pengurus kata laluan yang bereputasi.
• Jangan simpan nombor kad atau kata laluan dalam pelayar web. Perisian hasad pencuri maklumat menyasarkan storan isi automatik pelayar.
• Aktifkan pengesahan dua faktor untuk akaun perbankan, e-mel dan beli-belah. Utamakan pengesahan melalui aplikasi bank berbanding SMS.
• Gunakan nombor kad maya atau token bagi setiap pembelian jika ditawarkan oleh bank, khususnya untuk peniaga yang jarang digunakan.
• Kunci, bekukan atau tetapkan had transaksi kad dalam aplikasi bank apabila anda tidak membeli-belah. Nyahaktifkan transaksi luar negara atau transaksi tanpa kehadiran kad melainkan diperlukan.
• Kemas kini telefon dan komputer, pasang tampalan keselamatan dengan segera dan elakkan gedung aplikasi atau muat turun tidak rasmi.
• Lindungi akaun identiti digital kebangsaan anda seperti SingPass. Tukar kata laluan jika mengesyaki pancingan data dan segera laporkan sebarang pencerobohan.
• Berwaspada dengan mesej tentang penghantaran, bayaran balik atau amaran keselamatan. Akses bank dengan menaip alamat web rasmi atau menggunakan aplikasi, bukannya mengetik pautan dalam mesej.

Perkara utama

• Singapura mewakili kira-kira 11 peratus kad pembayaran dicuri yang diperdagangkan dalam set data Mei 2025, di belakang Amerika Syarikat dan mendahului Sepanyol.
• Harga purata kad keluaran Singapura yang dicuri ialah sekitar AS$13.19, meningkat kira-kira 29 peratus berbanding 2023, manakala kad Jepun mencecah sekitar AS$22.80.
• Pakar mengaitkan kedudukan Singapura dengan penerimaan digital dan jumlah transaksi yang tinggi, bukannya kawalan bank yang lemah.
• Teknik penipuan termasuk pancingan data, perisian hasad pencuri maklumat dan penyalahgunaan dompet mudah alih yang membolehkan pembelian di kedai oleh keldai yang direkrut.
• Pendakwaan tempatan menunjukkan sindiket rentas negara membeli iPhone dan barangan lain menggunakan data kad dicuri, kemudian menjualnya semula untuk mendapatkan wang tunai.
• Bank dan peniaga memperketat pengesahan bagi penambahan kad ke dalam dompet serta meningkatkan pemeriksaan di tempat jualan, sementara penguatkuasaan undang-undang menyelaraskan operasi rentas sempadan.
• Pengguna boleh mengurangkan risiko dengan mengaktifkan makluman, mengamalkan pengurusan kata laluan yang cermat, menggunakan pengesahan dua faktor dan mengelakkan penyimpanan data kad dalam pelayar.