2885
Шахраї освоїли новий спосіб крадіжки реквізитів банківських карток під час онлайн-шопінгу. Завдяки схемі web skimming платіжні дані можуть перехоплюватися навіть тоді, коли замовлення проходить і сплачується успішно.
Як працює web skimming
Суть web skimming, який також називають e-skimming, полягає в тому, що кіберзлочинці інтегрують шкідливий код безпосередньо у вебсторінки торгових майданчиків. Це принципово відрізняється від фішингових ресурсів-двійників, які імітують сайти магазинів. Подібна атака розгортається на легітимному сайті, тож клієнт оформлює купівлю, вводить карткові реквізити та бачить успішне підтвердження. Саме тому він абсолютно не підозрює про стороннє втручання.
За даними звітів американського відомства CISA, шкідливі скрипти проникають на вебсайти через програмні вразливості, скомпрометовані адміністраторські акаунти або зламані сторонні сервіси. Тобто небезпека може походити не лише від самого магазину, а й від інструментів, які він використовує.
Один із поширених сценаріїв пов’язаний із маніпуляціями платіжною формою. Користувач вводить свої реквізити, після чого з’являється повідомлення про системний збій, і він змушений повторити платіж. Наступного разу його спрямовують на справжній платіжний шлюз, де транзакція завершується нормально. Проте інформація з першої, фальшивої форми вже потрапляє до зловмисників, і клієнт може навіть не здогадуватися, що його дані використали.
Інший метод базується на спеціальному скрипті, який непомітно дублює дані прямо з полів оплати. При цьому візуальне оформлення ресурсу не змінюється, тож відрізнити зловмисний код від звичайної сторінки для користувача надзвичайно складно.
Приклад атаки та результати аудиту
Яскравий приклад такої атаки зафіксували у Великій Британії у 2021 році. Після низки несанкціонованих списань з картки клієнта магазину Direct Clothing експерти виявили на порталі сторонній код. Злом стався через слабкі місця у WordPress, однак точний вектор проникнення так і залишився нез’ясованим.
Аудит компанії SecurityMetrics за 2026 рік показав, що різноманітні проблеми безпеки наявні на 67% перевірених платіжних сторінок. Водночас ознаки безпосередньої шкідливої активності щодо викрадення карток зафіксували лише у 4 випадках зі ста. Ці цифри стосуються конкретної вибірки і не відображають ситуацію у всій сфері електронної комерції.
Як захиститися
Головним методом запобігання таким ризикам є використання перевірених платіжних систем, які позбавляють магазин необхідності самостійно збирати реквізити клієнтів. Зокрема, сервіс WayForPay надає спеціалізовані платіжні сторінки та інтегровані віджети, що дозволяє не працювати з картковими даними напряму.
Проте критично важливим залишається й грамотне налаштування самої інтеграції. Адміністраторам інтернет-магазинів слід вчасно оновлювати програмне забезпечення, відстежувати будь-які модифікації у платіжних модулях і стежити за тим, щоб дані карток випадково не записувалися у внутрішні логи сайту чи сторонні аналітичні інструменти.
Джерело: itechua.com
