Os investigadores observam grandes diferenças regionais na oferta e procura: mais de 60% dos cartões listados pertenciam a titulares norte-americanos, seguidos por Singapura (c. 11%) e Espanha (c. 10%). No entanto, os preços por cartão não se correlacionam linearmente com o número de vítimas: os cartões do Japão chegam a custar cerca de 23 $, os dos EUA situam-se na ordem dos 11,51 $, enquanto a maioria dos cartões europeus ronda os 8 $. Na cauda da tabela estão países como República do Congo, Barbados e Geórgia, com listagens em torno de 1 $. Em Espanha o preço médio é de 11,68 $ e em França 11,07 $. Chipre figura entre os mais baratos, com 1,78 $.
O trabalho documenta ainda aumentos acentuados em vários mercados nos últimos dois anos — Nova Zelândia (+444%), Argentina (+368%) e Polónia (+221%) — ao passo que países como França registaram subidas mais moderadas (+18%). A variação de preços reflecte sobretudo a lógica da oferta e da procura, a robustez dos controlos antifraude dos emissores e a perceção do risco pelos compradores ilícitos; mercados com dados escassos ou sistemas antifraude mais rígidos valorizam mais os cartões. A estabilidade política e a rapidez da acção das autoridades também influenciam o prémio aplicado.
Os anúncios na dark web normalmente não se limitam ao número do cartão: incluem nomes, moradas, e-mails e outros metadados que facilitam a verificação e o uso fraudulento. O relatório descreve a cadeia industrial do “carding”: os “harvesters” obtêm os dados, os “validators” empregam bots para testar centenas ou milhares de cartões por hora e os “cash-outers” convertem os cartões validados em bens, códigos, criptomoedas ou numerário. A validação é o passo crítico — cartões com validade mais longa têm maior valor, e cerca de 87% das listagens observadas permanecem utilizáveis por mais de 12 meses.
Adrianus Warmenhoven, especialista da NordVPN citado no estudo, alerta que comprar um cartão roubado muitas vezes custa o equivalente a um bilhete de cinema, e que esses valores tornam o crime atrativo. Para os consumidores, Warmenhoven recomenda medidas práticas de proteção: rever extratos com regularidade e ativar alertas de transações, usar palavras-passe fortes e únicas, evitar armazenar credenciais e dados de pagamento no navegador, ativar autenticação multifatorial e recorrer a ferramentas de monitorização da dark web para detectar exposições associadas ao e-mail ou a números de cartão. Estas medidas simples ajudam a reduzir a janela de oportunidade para os criminosos.
A investigação da NordStellar analisou 50 705 registos de cartões roubados recolhidos em mercados da dark web em maio de 2025; os investigadores trabalharam apenas com metadados das listagens e não acederam a dados individuais de titulares. O estudo reforça que, apesar das variações de preço, o fenómeno é persistente e sofisticado: a acessibilidade dos dados roubados e a existência de uma cadeia de monetização eficiente tornam a ameaça real e estrutural. Para empresas e consumidores, a conclusão é clara — fortalecer práticas de prevenção, monitorização e resposta é imprescindível para mitigar perdas e reduzir a rentabilidade do crime organizado online.
