Βασικά Takeaways
- Οι επιτιθέμενοι κατάφεραν πρόσφατα να εγκαταστήσουν ψηφιακές κάρτες skimmer σε περισσότερους από 500 ιστότοπους.
- Το βάρος για την προστασία βαρύνει τους κατόχους ιστότοπων.
-
Εμπειρογνώμονες σε θέματα ασφάλειας προτείνουν διάφορα μέσα που μπορούν να χρησιμοποιήσουν οι χρήστες για να προστατευθούν.
Αντί να διακυβεύουν μεμονωμένους λογαριασμούς, οι χάκερ άλλαξαν ταλέντο και τώρα ακολουθούν το μητρικό σύστημα, εγκαθιστώντας skimmers καρτών σε διαδικτυακά καταστήματα.
Στις 8 Φεβρουαρίου 2022, ερευνητές ασφαλείας μοιράστηκαν λεπτομέρειες σχετικά με μια μαζική παραβίαση σε περισσότερα από 500 ηλεκτρονικά καταστήματα που χρησιμοποιούν την πλατφόρμα ηλεκτρονικού εμπορίου Magento. Οι επιτιθέμενοι φόρτωσαν ένα skimmer κάρτας πληρωμής σε όλα τα καταστήματα, σε αυτό που είναι γνωστό ως επίθεση magecart. Παρόλο που η λύση έγκειται στα ηλεκτρονικά καταστήματα, οι στόχοι είναι οι τελικοί χρήστες που οι ειδικοί πιστεύουν ότι θα πρέπει επίσης να είναι πιο προσεκτικοί όταν πραγματοποιούν συναλλαγές στο διαδίκτυο.
"[Αυτή η] πρόσφατη επίθεση θα πρέπει να είναι μια έντονη υπενθύμιση σε όλους τους θαμώνες του Διαδικτύου [ότι] έχουν καθήκον να προστατεύσουν τον εαυτό τους εκτός από αυτό που περιμένετε από τον πάροχο του ηλεκτρονικού σας καταστήματος, " Ron Bradley, Αντιπρόεδρος του Shared Assessments, είπε στο Lifewire μέσω email.
Digital Skimming
Gustavo Palazolo, Staff Threat Research Engineer στη Netskope, είπε στο Lifewire μέσω email ότι το Magento είναι μία από τις δημοφιλείς πλατφόρμες ηλεκτρονικού εμπορίου που στοχεύουν εισβολείς, καθώς πολλά καταστήματα εκτελούν παρωχημένες παρουσίες του λογισμικού, ενώ άλλα χρησιμοποιούν προσθήκες τρίτων που μερικές φορές περιέχουν μη επιδιορθωμένα ελαττώματα ασφαλείας που επιτρέπουν στους εισβολείς να εμφυτεύουν ψηφιακά skimmers.
Είπε ότι αν και δεν είναι εύκολο να επαληθεύσετε εάν ο ιστότοπος στον οποίο κάνετε αγορές έχει γίνει στόχος μιας καμπάνιας magecart, υπάρχουν μερικά μέτρα που μπορούν να ακολουθήσουν οι χρήστες για να ενισχύσουν την ασφάλειά τους στο διαδίκτυο.
Το Η Palazolo συνέστησε τη χρήση επεκτάσεων προγράμματος περιήγησης για τον αποκλεισμό άγνωστων σεναρίων, όπως το NoScript για Firefox. Υποστήριξε επίσης τη χρήση λύσεων προστασίας από ιούς που παρέχουν επεκτάσεις προγράμματος περιήγησης, καθώς μπορούν να σαρώσουν τον ιστότοπο που επισκέφθηκες και να αποκλείσουν κακόβουλα σενάρια.
Πρόσθεσε ότι η Adobe δεν υποστηρίζει πλέον το Magento v1, αλλά λόγω της δημοτικότητάς του, υπάρχουν αρκετές ενημερώσεις κώδικα ασφαλείας που παρέχονται από την κοινότητα που βοηθούν στην ασφάλεια αυτής της έκδοσης. Ωστόσο, προτείνει στους χρήστες να αποφεύγουν τις συναλλαγές σε ιστότοπους που υποστηρίζονται από αυτήν την μη υποστηριζόμενη πλατφόρμα.
Για να επαληθεύσει εάν ο ιστότοπος που αγοράζετε εκτελεί το πιο πρόσφατο Magento v2, η Palazolo έδειξε το Wappalyzer για Chrome και Firefox, το οποίο μπορεί να εντοπίσει την τεχνολογία πίσω από μια ιστοσελίδα.
Εάν η εγκατάσταση μιας επέκτασης προγράμματος περιήγησης δεν είναι μια επιλογή, τα διαδικτυακά εργαλεία μπορούν να είναι μια καλή επιλογή για την επαλήθευση λεπτομερειών σχετικά με το Magento, όπως το MageReport, το οποίο μπορεί να σας δείξει όχι μόνο την έκδοση αλλά και πληροφορίες σχετικά με τρωτά σημεία ασφαλείας που βρίσκονται στο ιστοσελίδα που πρόκειται να ψωνίσετε», συμβουλεύει η Palazolo.
Γίνε το δικό σου τείχος προστασίας
Ο Μπράντλεϊ είπε ότι οι διαδικτυακοί αγοραστές δεν χρειάζεται να είναι ειδικοί στον κυβερνοχώρο για να προστατεύονται, αλλά πρέπει να έχουν μια νοοτροπία άμυνας σε βάθος για να αποφύγουν να γίνουν θύματα.
"Η ασφάλεια στον κυβερνοχώρο είναι σαν ένα κρεμμύδι [που αποτελείται] από πολλαπλά στρώματα. Είναι σημαντικό να ορίσετε την περίμετρό σας και να εφαρμόσετε μέτρα ασφαλείας για να προστατευτείτε", είπε ο Bradley. "Ξεκινήστε με την τράπεζά σας ή τον εκδότη της πιστωτικής σας κάρτας. Ενεργοποιήστε όλες τις ειδοποιήσεις που ενδεχομένως μπορείτε, σε σημείο που είναι ενοχλητικό και πρέπει να επιστρέψετε και να το καλέσετε."
Προτείνει επίσης να ενεργοποιήσετε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου είναι δυνατόν και τάσσεται κατά της χρήσης χρεωστικών καρτών εκμεταλλευόμενη ταυτόχρονα τη δυνατότητα παγώματος πίστωσης, η οποία δεν κοστίζει τίποτα και βοηθά στην προστασία των πελατών από κλοπές ταυτότητας.
Το Palazolo είπε ότι οι χρήστες θα πρέπει να χρησιμοποιούν τη δυνατότητα να δημιουργούν μοναδικούς και προσωρινούς αριθμούς ψηφιακών καρτών για online αγορές. Ακόμα κι αν ο ιστότοπος έχει μολυνθεί, αυτή η επιλογή θα διασφαλίσει ότι τα στοιχεία της κλεμμένης κάρτας δεν είναι χρήσιμα για τους εισβολείς.
Μάτια ορθάνοιχτα
Ο Έριχ Κρον, υποστηρικτής ευαισθητοποίησης για την ασφάλεια στο KnowBe4, πρότεινε στους αγοραστές να ελέγχουν τακτικά τις κινήσεις της πιστωτικής τους κάρτας και του τραπεζικού τους λογαριασμού, κρατώντας τα μάτια τους κλειστά για ασυνήθιστες χρεώσεις ή αγορές.
"Πολύ συχνά, οι χρεώσεις απλώς προστίθενται στο υπόλοιπο της πιστωτικής κάρτας χωρίς να το αντιληφθεί το θύμα. Ακόμη και μικρές χρεώσεις, ένα ή δύο δολάρια τη φορά, οι οποίες μπορούν να χρησιμοποιηθούν για να επιβεβαιωθεί στον κυβερνοεγκληματία ότι η κάρτα εξακολουθεί να είναι έγκυρο, μπορεί να είναι σημάδι ότι η κάρτα έχει παραβιαστεί, " μοιράστηκε ο Kron με το Lifewire μέσω email.
"Είναι σημαντικό να ορίσετε την περίμετρό σας και να εφαρμόσετε μέτρα ασφαλείας για να προστατευτείτε."
Πρότεινε επίσης στους χρήστες να κατανοήσουν τις προστασίες που προσφέρουν οι πιστωτικές τους κάρτες και να γνωρίζουν όλες τις επιλογές που έχουν στη διάθεσή τους για να αναφέρουν γρήγορα ύποπτες χρεώσεις.
Ωστόσο, στο τέλος της ημέρας, είναι ευθύνη των ιδιοκτητών ιστότοπων ηλεκτρονικού εμπορίου να διασφαλίσουν ότι διαχειρίζονται ένα ασφαλές πλοίο, επεσήμανε ο Kunal Modasiya, ανώτερος διευθυντής διαχείρισης προϊόντων στην εταιρεία κυβερνοασφάλειας PerimeterX. Είπε ότι επειδή οι ενέργειες των καταναλωτών είναι περιορισμένες, οι ιδιοκτήτες ιστότοπων ηλεκτρονικού εμπορίου πρέπει να χρησιμοποιούν λύσεις που παρέχουν συνεχή προβολή στις ενέργειες που συμβαίνουν στους ιστότοπούς τους.
"Οι εταιρείες ηλεκτρονικού εμπορίου θα πρέπει να χρησιμοποιούν μια πολυεπίπεδη λύση άμυνας σε βάθος που βοηθά στην προστασία του λογαριασμού και των πληροφοριών ταυτότητας των χρηστών παντού κατά τη διάρκεια της ψηφιακής τους διαδρομής."
