El formjacking es un ataque en el que los delincuentes inyectan JavaScript malicioso en los formularios de pago o de inicio de sesión de una web para robar datos de tarjetas y otra información mientras el usuario la escribe.
Cómo funciona el formjacking
Los atacantes colocan su código en la página hackeando el propio sitio –a menudo una tienda vulnerable con Magento– o comprometiendo un script de terceros que carga, como analítica, un chat o un plugin de pago. El JavaScript inyectado vigila los campos del formulario o el botón de envío, copia números de tarjeta, fechas de caducidad, códigos CVV y direcciones, y los envía a un servidor del atacante, a menudo en un dominio que imita un servicio de analítica legítimo. La compra se completa con normalidad y nadie nota nada. Los datos robados se venden en mercados de carding.
A los grupos que realizan estos ataques se les conoce colectivamente como Magecart, por su temprano interés en las tiendas Magento.
Por qué importa el formjacking
- British Airways (2018): un script modificado en la web y la app capturó datos de pago de cientos de miles de clientes; el regulador británico multó después a la aerolínea con 20 millones de libras.
- Ticketmaster (2018): los datos se robaron mediante un chatbot de atención al cliente de un tercero comprometido, un típico ataque a la cadena de suministro.
- Newegg (2018): se robaron datos de tarjetas de su página de pago durante aproximadamente un mes.
Cómo protegerse del formjacking
- Aplicar una Content Security Policy estricta que limite desde dónde se cargan los scripts y adónde pueden enviar datos.
- Usar hashes de Subresource Integrity (SRI) en los scripts de terceros y reducir su número en las páginas de pago.
- Vigilar los cambios de scripts en las páginas de pago; PCI DSS 4.0 exige un inventario y controles de integridad para ellos.
- Parchear la plataforma de la tienda y sus plugins y proteger las cuentas de administración con MFA.
