A NordVPN analisou mais de 24 mil anúncios de cartões de pagamento publicados em diversos marketplaces da dark web. O estudo, realizado em fevereiro de 2026, demonstra que o preço médio de um cartão roubado gira em torno de US$ 10, mas pode subir para mais de US$ 23 quando o registro contém informações pessoais adicionais, como número do Seguro Social (SSN) e data de nascimento.
Preços e diferenciais de valor
Nos anúncios analisados, mais de 70% dos cartões eram provenientes dos Estados Unidos, onde a abundância de oferta mantém o valor entre US$ 10 e US$ 12. Quando o registro inclui o SSN e a data de nascimento da vítima, o preço mediano sobe para US$ 18,85 – um incremento de cerca de 60 % em relação ao cartão básico. Caso o vendedor adicione três ou mais dados complementares – nome completo, e-mail, telefone ou endereço residencial – o preço ultrapassa US$ 23, mais do que o dobro do valor de um registro simples.
A pesquisa também revelou que a expectativa de que o cartão continue ativo influencia fortemente o preço. Registros classificados como wallet-ready, isto é, aqueles que ainda podem ser validados nos processos de verificação das carteiras digitais, são negociados por cerca de US$ 22. Em contraste, lotes antigos, cuja probabilidade de uso é baixa, são comercializados por aproximadamente US$ 2 por registro.
Táticas usadas para contornar a validação de carteiras digitais
Para que um cartão seja aceito em Apple Pay ou Google Pay, a operadora exige a confirmação de um código enviado por SMS, ligação telefônica ou aplicativo de autenticação. Os criminosos têm driblado esse obstáculo por meio de duas técnicas recorrentes:
- SIM swapping: o atacante convence a operadora a transferir o número de telefone da vítima para um SIM sob seu controle, interceptando assim os códigos de verificação.
- Engenharia social: o fraudador se faz passar por funcionário do banco ou da operadora e induz a vítima a ler o código recebido, permitindo que ele finalize o cadastro do cartão em sua própria carteira digital.
Quando ambas as condições – número de cartão e acesso ao código de verificação – são atendidas, o vendedor rotula o produto como wallet-ready. Essa classificação eleva o preço, pois o comprador pode imediatamente utilizá-lo para pagamentos por aproximação, compra de cartões-presente ou aquisição de bens que serão revendidos.
Orientações práticas para evitar ser vítima
Marijus Briedis, CTO da NordVPN, recomenda que os usuários ativem alertas de transação em tempo real e fiquem atentos a notificações de inclusão de cartões em novos dispositivos. Caso receba um aviso de que seu cartão foi cadastrado em um aparelho desconhecido, a reação deve ser imediata: contatar a instituição financeira pelo canal oficial, solicitar a remoção do token de pagamento e, se necessário, bloquear o cartão físico.
É fundamental nunca compartilhar códigos de verificação recebidos por SMS, e-mail ou aplicativos de autenticação, mesmo que o contato alegue ser do banco. As operadoras também oferecem recursos de proteção contra SIM swapping, como bloqueio de portabilidade ou senhas adicionais que exigem verificação presencial.
Por fim, se houver suspeita de que seus dados pessoais tenham sido expostos, vale a pena consultar guias especializados sobre como agir quando informações pessoais aparecem na dark web. A combinação de monitoramento constante, uso de autenticação multifator e atenção às mensagens de segurança reduz consideravelmente o risco de ter um cartão convertido em ferramenta de fraude.
