關(guān)鍵詞

網(wǎng)絡(luò)攻擊

安全公司 Sansec 披露，一家全球前十的大型連鎖超市電商網(wǎng)站被植入數(shù)字支付竊取器（payment skimmer）。該集團(tuán)年?duì)I收約1000億歐元，在25個(gè)國家擁有超過1萬家門店，其部分電商系統(tǒng)基于 PrestaShop 構(gòu)建。

研究人員稱，惡意代碼最早于2月16日被發(fā)現(xiàn)，并多次嘗試通過郵件、security.txt 以及 LinkedIn 聯(lián)系企業(yè) CISO，但在數(shù)日后竊取器仍然在線運(yùn)行。

此次攻擊采用一種被稱為“雙擊式竊取”（double-tap skimming）的技術(shù)。隨著越來越多商戶使用符合 PCI-DSS 標(biāo)準(zhǔn)的托管支付頁面，攻擊者不再直接攔截真實(shí)支付表單，而是在結(jié)賬頁面插入一個(gè)高度仿真的假支付界面。用戶第一次輸入卡號(hào)、有效期和 CVV 時(shí)，數(shù)據(jù)已被竊??；隨后頁面無縫跳轉(zhuǎn)至真正的支付頁面，用戶誤以為第一次失敗，再次輸入信息完成支付。整個(gè)過程幾乎無感。

技術(shù)分析顯示，該竊取器基于可復(fù)用框架，兼容 WordPress、Magento、PrestaShop、OpenCart 等主流電商系統(tǒng)。腳本僅在結(jié)賬頁面激活，并利用 localStorage 保存數(shù)據(jù)，監(jiān)聽所有輸入框及動(dòng)態(tài)下拉組件（如 Select2、Vue Select），捕獲 cardNum、exp、cvv 等字段。數(shù)據(jù)被 Base64 編碼后，通過偽裝成“分析接口”的 GET 請(qǐng)求外傳至惡意域名 stylemercedes.top。

為了避免被商家發(fā)現(xiàn)，腳本會(huì)檢測(cè)訪問者是否為管理員賬號(hào)，如檢測(cè)到后臺(tái)身份即終止執(zhí)行。同時(shí)還具備“強(qiáng)制隱藏”機(jī)制，即便網(wǎng)站自身腳本嘗試恢復(fù)原始支付頁面，惡意覆蓋層仍會(huì)保持生效。數(shù)據(jù)外傳后，代碼會(huì)刪除自身痕跡、恢復(fù)原頁面，并自動(dòng)觸發(fā)合法支付流程。

研究人員指出，生成式 AI 正在加速此類攻擊。攻擊者可以快速生成多語言、品牌一致的支付界面覆蓋層，使其在不同國家市場(chǎng)看起來完全“合法”。

這一事件再次表明，電商風(fēng)險(xiǎn)已從“服務(wù)器入侵”轉(zhuǎn)向“前端支付流程劫持”。即便商戶采用合規(guī)的第三方托管支付，只要前端頁面被篡改，用戶仍可能在不知情情況下泄露卡信息。對(duì)于消費(fèi)者而言，使用一次性虛擬卡或預(yù)充值卡進(jìn)行線上支付，是降低風(fēng)險(xiǎn)的有效方式。

隨著攻擊工具框架化、自動(dòng)化，支付頁面已成為當(dāng)前電商生態(tài)中最具價(jià)值的攻擊入口之一。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！