Как защитить интернет-магазин от кражи финансовых данных пользователей

Авторитетный аналитик Виллем де Гроот из компании Byte, которая является крупным хостинг-провайдером и поставщиком платформ для электронной коммерции, обнаружил около 6 тыс. платформ для онлайн-ритейла, зараженных вредоносными программами для кражи номеров “пластика” клиентов.

Эти зловреды представляют собой эквивалент специальных систем для скимминга банкоматов, которые помогают мошенникам считывать данные с магнитных полос банковских карт. Но в последнее время в связи с появлением более безопасного чипованного “пластика” хакеры все чаще делают своей целью интернет-магазины, используя вредоносные программы для записи номеров банковских карт, вводимых их клиентам.

По мнению де Гроота, подобные кражи являются широко распространенной проблемой. Проведённое им исследование показало, что к настоящему моменту хакеры получили доступ к исходному коду 5925 веб-сайтов и внедрили вредоносное ПО для кражи финансовых данных с целью отправки на серверы злоумышленников. Перечень пострадавших сайтов включает в себя множество онлайн-ритейлеров со всего мира, а также правительственные и другие ресурсы, которые принимают платежи по банковским картам. Список взломанных и зараженных интернет-магазинов исследователь опубликовал на сайте Git­lab, дополнив его результатами анализа использованных хакерами вредоносных программ для виртуального скимминга.

Исследователи из компании White­Hat Secu­ri­ty Inc отмечают, что хакеры начинают использовать все более изощренные подходы к организации кибератак. В отличие от стандартных методов вроде DDoS-атак, использование виртуального скимминга не ведет к появлению всплесков интернет-трафика, которые могут намекать владельцам сайтов на проблемы. Вредоносный софт для виртуального скимминга может находиться на зараженном сайте в течение длительного времени, не будучи замеченным.

Но как обезопасить интернет-магазин от подобного? Эксперты White­Hat Secu­ri­ty Inc говорят, что есть два наиболее вероятных пути проведения атак, каждый из которых мог бы быть закрыт, если бы владельцы веб-сайтов были более бдительными.

Самый простой способ внедрения зловреда в исходный код веб-сайта сводится к использованию администраторских паролей. И чтобы получить такие аутентификационные данные, хакерам зачастую не приходится прикладывать серьезных усилий. Иногда владельцы сайтов банально используют легкоугадываемые пароли. Кроме того, они часто применяют одни и те же пароли на многих сайтах, после взлома одного из которых в распоряжении хакеров оказывается соответствующие связки логин/пароль. Эти данные затем могут использоваться для перебора вариантов администраторского пароля с применением ботнета из IoT-устройств.

Еще один распространенный способ предполагает внедрение зловреда в код сайта онлайн-ритейлера за счет использования известных уязвимостей популярных открытых платформ вроде Magen­to. Исходный код таких платформ находится в свободном доступе, чтобы любой желающий мог его изменять и улучшать. Но хакеры вместо этого предпочитают искать в нем уязвимости. После того, как поставщики открытого программного обеспечения узнают о появлении таких уязвимостей, они, как правило, достаточно быстро публикуют патчи и обновления. Но администраторы интернет-магазинов очень часто внедряют апдейты недостаточно быстро. Как следствие, у хакеров появляются легкие мишени в виде сайтов с устаревшим программным обеспечением.

Но если устранить эти уязвимости и использовать дополнительные инструменты для повышения безопасности вроде системы Stripe Radar на базе технологии машинного обучения, можно превратить интернет-магазин в самую настоящую неприступную крепость.

0 0 vote
Рейтинг

emagnat

Публикации онлайн журнала об интернет-торговле Emagnat Авторы: Игорь Зельманов, Евгения Власова, Екатерина Яковлева, Василий Эдмунт, Анна Зябрева, Юрий Москвин, Юрий Кудренко, Ольга Шостак, Алена Яркова, Иван Серебренников

Подписаться
Уведомление о
0 Комментарий
Inline Feedbacks
View all comments