Kaartdiefstal bij het afrekenen: formjacking en Magecart
De winkel werkt. Bestellingen komen binnen, de bank betaalt uit, niets lijkt mis. En al weken of maanden verzamelt iemand anders de kaartgegevens van uw klanten.
Wat het is
Formjacking is de diefstal van wat een klant in een betaalformulier typt. Magecart is de naam voor de groepen die dit sinds het midden van de jaren 2010 bij webwinkels doen, eerst op Magento en daarna op elk platform.
De aanval maakt de winkel niet kapot, want een kapotte winkel wordt gerepareerd. Hij verandert één klein ding in het betaaltraject en laat de rest ongemoeid.
De vier manieren waarop het gebeurt
1. Het betaaladres wordt gewijzigd
Uw winkel stuurt de klant naar de betaalpagina van de bank. De aanvaller verandert dat adres in een eigen pagina die er hetzelfde uitziet, vaak op een domein dat één letter van het echte verschilt. De klant typt daar de kaart in en wordt daarna doorgestuurd naar de echte bankpagina, waar de betaling normaal wordt afgerond. De klant denkt dat hij het twee keer heeft ingetypt. U ziet een betaalde bestelling.
2. Er wordt code aan de afrekenpagina toegevoegd
Er worden een paar regels toegevoegd aan een afrekenbestand of -sjabloon in uw winkel. Ze kopiëren alles wat in de kaartvelden wordt getypt en sturen het ergens anders heen, terwijl het formulier gewoon blijft werken.
3. De betaalinstellingen worden gewijzigd
In de bestanden verandert niets. De aanvaller wijzigt het adres van de betaalgateway of de handelaarsgegevens in de database van de winkel, via het beheer of rechtstreeks.
4. Het script van een derde wordt gewijzigd
Uw afrekenpagina laadt een script van een ander bedrijf, bijvoorbeeld een chat- of statistiektool. Dat bedrijf wordt gehackt en het script wordt op hun server aangepast. In uw winkel is niets veranderd.
Twee zaken die openbaar werden
- British Airways, 2018. Code die aan de betaalpagina van de luchtvaartmaatschappij was toegevoegd, verzamelde kaartgegevens van klanten. In 2020 legde de Britse privacytoezichthouder het bedrijf een boete op van 20 miljoen pond.
- Ticketmaster UK, 2018. De code kwam binnen via een chattool van een derde op de betaalpagina. In 2020 legde dezelfde toezichthouder het bedrijf een boete op van 1,25 miljoen pond.
Grote bedrijven halen het nieuws. Dezelfde methode wordt elke dag toegepast op kleine winkels, waar niemand kijkt.
Waarom gewone hulpmiddelen het missen
- Antivirus zoekt bekende kwaadaardige code. Een gewijzigd webadres is geen virus.
- Een firewall blokkeert verdacht verkeer. Zodra de aanvaller met een gestolen wachtwoord binnen is, lijkt de wijziging op gewoon werk.
- Een externe scan, ook de driemaandelijkse PCI-scan, bekijkt de server van buitenaf. Van buitenaf ziet de winkel er goed uit.
- U ziet bestellingen die betaald worden.
Hoe winkels er meestal achter komen
- De bank of de kaartverwerker meldt dat kaarten die in hun winkel zijn gebruikt, later voor fraude zijn ingezet.
- Klanten schrijven dat ze twee keer om hun kaart werden gevraagd, of dat ze afschrijvingen zien die ze niet herkennen.
- Ze komen er helemaal niet achter.
Tegen die tijd staat de wijziging er meestal al lang. Wat volgt is een onderzoek, een mogelijke opschorting van kaartbetalingen, en de vraag of klanten en de privacytoezichthouder moeten worden ingelicht.
Wat HachiGuard in elk geval doet
Wordt bij de volgende controle opgemerkt. Het schone bestand wordt automatisch teruggezet en u krijgt bericht.
Wordt opgemerkt: elke wijziging in een afrekenbestand wordt gemeld, en bekende diefstalpatronen geven een kritieke melding. Wordt automatisch teruggezet wanneer de wijziging een onbekende bestemming toevoegt.
Wordt opgemerkt en als kritiek gemeld wanneer er een onbekend adres verschijnt. Instellingen worden niet automatisch teruggezet.
Gedeeltelijk gedekt. Onze buitencontrole merkt een nieuw domein van een derde op uw openbare pagina's op. Een wijziging in een script dat er al stond, op de server van de derde, wordt niet opgemerkt.
Wat u verder zou moeten doen
- Houd het platform en de extensies up-to-date.
- Geef elke beheerder een eigen account, met een sterk wachtwoord en inloggen in twee stappen waar het platform dat biedt. Verwijder accounts die niemand gebruikt.
- Stuur de klant waar mogelijk naar de betaalpagina van de bank zelf, in plaats van de kaart binnen uw winkel aan te nemen.
- Laad zo weinig mogelijk scripts van derden op de afrekenpagina.