Furtul de carduri la checkout: formjacking și Magecart
Magazinul funcționează. Comenzile vin, banca plătește, nimic nu pare în neregulă. Iar de săptămâni sau luni, altcineva adună datele cardurilor clienților dumneavoastră.
Ce este
Formjacking înseamnă furtul a ceea ce tastează un client într-un formular de plată. Magecart este numele dat grupurilor care fac acest lucru magazinelor online de la mijlocul anilor 2010, mai întâi pe Magento și apoi pe orice platformă.
Atacul nu strică magazinul, pentru că un magazin stricat se repară. Schimbă un lucru mic pe traseul plății și lasă restul neatins.
Cele patru moduri în care se face
1. Se schimbă adresa de plată
Magazinul dumneavoastră trimite clientul la pagina de plată a băncii. Atacatorul schimbă această adresă cu o pagină a lui care arată la fel, adesea pe un domeniu care diferă de cel real printr-o singură literă. Clientul tastează acolo cardul, apoi este trimis mai departe la pagina reală a băncii, unde plata se încheie normal. Clientul crede că l-a tastat de două ori. Dumneavoastră vedeți o comandă plătită.
2. Se adaugă cod în pagina de checkout
Câteva rânduri sunt adăugate într-un fișier sau șablon de checkout din magazinul dumneavoastră. Copiază tot ce se tastează în câmpurile cardului și trimit în altă parte, în timp ce formularul merge ca de obicei.
3. Se schimbă setările de plată
În fișiere nu se schimbă nimic. Atacatorul modifică adresa gateway-ului de plată sau datele comerciantului stocate în baza de date a magazinului, din administrare sau direct.
4. Se schimbă scriptul unui terț
Pagina dumneavoastră de checkout încarcă un script al altei companii, de exemplu un instrument de chat sau de statistici. Compania respectivă este spartă și scriptul este modificat pe serverul ei. În magazinul dumneavoastră nu s-a schimbat nimic.
Două cazuri care au devenit publice
- British Airways, 2018. Un cod adăugat în pagina de plată a companiei aeriene aduna datele cardurilor clienților. În 2020, autoritatea britanică pentru protecția datelor a amendat compania cu 20 de milioane de lire.
- Ticketmaster UK, 2018. Codul a ajuns printr-un instrument de chat al unui terț de pe pagina de plată. În 2020, aceeași autoritate a amendat compania cu 1,25 milioane de lire.
Companiile mari ajung la știri. Aceeași metodă este folosită în fiecare zi pe magazine mici, unde nu se uită nimeni.
De ce instrumentele obișnuite nu îl văd
- Antivirusul caută cod rău intenționat cunoscut. O adresă web schimbată nu este un virus.
- Firewallul blochează traficul suspect. Odată ce atacatorul a intrat cu o parolă furată, modificarea arată ca o muncă obișnuită.
- Scanarea externă, inclusiv scanarea PCI trimestrială, privește serverul din afară. Din afară, magazinul arată bine.
- Dumneavoastră vedeți comenzi care se plătesc.
Cum află de obicei magazinele
- Banca sau procesatorul de carduri le anunță că unele carduri folosite în magazinul lor au fost folosite ulterior pentru fraude.
- Clienții scriu că li s-a cerut cardul de două ori sau că văd debitări pe care nu le recunosc.
- Nu află deloc.
Până atunci, modificarea este de obicei la locul ei de mult timp. Urmează o investigație, o posibilă suspendare a plăților cu cardul și întrebarea dacă trebuie anunțați clienții și autoritatea pentru protecția datelor.
Ce face HachiGuard în fiecare caz
Detectat la verificarea următoare. Fișierul curat este pus la loc automat și sunteți anunțat.
Detectat: orice modificare a unui fișier de checkout este raportată, iar tiparele cunoscute de furt declanșează o alertă critică. Se restaurează automat când modificarea adaugă o destinație necunoscută.
Detectat și raportat drept critic când apare o adresă necunoscută. Setările nu sunt schimbate înapoi automat.
Acoperit parțial. Verificarea noastră din exterior observă un domeniu nou al unui terț pe paginile dumneavoastră publice. O modificare făcută în interiorul unui script care era deja acolo, pe serverul terțului, nu este detectată.
Ce altceva ar trebui să faceți
- Țineți platforma și extensiile ei la zi.
- Dați fiecărui administrator propriul cont, cu o parolă puternică și autentificare în doi pași acolo unde platforma o oferă. Ștergeți conturile pe care nu le folosește nimeni.
- Acolo unde se poate, trimiteți clientul la pagina de plată a băncii în loc să preluați cardul în magazinul dumneavoastră.
- Încărcați cât mai puține scripturi ale terților pe pagina de checkout.