Una nueva campaña de robo de tarjetas de crédito atribuida a Magecart se está desarrollando actualmente, en la que los atacantes secuestran sitios web legítimos para usarlos como servidores de comando y control (C2) y inyectar código malicioso en tiendas en línea. Estos ataques permiten a los delincuentes acceder a información sensible de clientes durante el proceso de pago.
¿Qué es un ataque Magecart?
Un ataque de Magecart se refiere al ingreso de actores maliciosos en tiendas en línea para inyectar scripts que roban datos de tarjetas de crédito y la información personal de los usuarios. Estos scripts suelen ser inyectados mediante el uso de JavaScript, lo cual permite a los atacantes acceder a datos sensibles durante transacciones electrónicas.
Geografía afectada
Según investigadores de Akamai, esta campaña ha comprometido organizaciones en Estados Unidos, Reino Unido, Australia, Brasil, Perú y Estonia. Muchas de las víctimas no se dieron cuenta de que habían sido violadas durante más de un mes, lo cual refleja la alta sofisticación y el sigilo de estos ataques.
Abuso de sitios legítimos
Los atacantes identifican y comprometen sitios web legítimos vulnerables para alojar su código malicioso. Estos sitios se utilizan como servidores C2, lo que les permite distribuir los skimmers (código malicioso) en tiendas en línea específicas sin necesidad de configurar una infraestructura propia.
Los atacantes inyectan un fragmento de JavaScript en los sitios comerciales objetivo y obtienen el código malicioso desde los sitios web ya comprometidos. Según Akamai, los atacantes suelen buscar vulnerabilidades en plataformas como Magento, WooCommerce, WordPress o Shopify, así como en servicios de terceros utilizados por estas tiendas.
Para aumentar el sigilo del ataque, los skimmers se ofuscan mediante Base64 y se estructuran para parecerse a herramientas populares como Google Tag Manager o Facebook Pixel. Esto ayuda a evitar la detección por parte de sistemas de seguridad.
Datos robados y su transmisión
Akamai informa haber identificado dos variantes del skimmer utilizadas en esta campaña. La primera es una versión muy ofuscada que contiene selectores CSS específicos para cada sitio objetivo, lo cual permite al atacante acceder a la información personal de los clientes y detalles de las tarjetas de crédito.
La segunda variante no está tan bien protegida, lo que facilita su identificación. Los datos robados se envían al servidor del atacante mediante una solicitud HTTP en forma de etiqueta IMG, con la información codificada en Base64 para minimizar el riesgo de detección.
Prevención y recomendaciones
Los propietarios de sitios web pueden protegerse contra estas infecciones asegurando las cuentas de administrador, aplicando actualizaciones de seguridad a su CMS y complementos. Los clientes de tiendas en línea pueden reducir el riesgo al utilizar métodos de pago electrónicos, tarjetas virtuales o establecer límites de cargo en sus tarjetas de crédito.