Формджекинг (formjacking) — атака, при которой преступники внедряют вредоносный JavaScript в формы оплаты или входа на сайте, чтобы похищать данные платёжных карт и другую информацию в момент ввода.
Как работает формджекинг
Сначала атакующие размещают свой код на целевой странице — взламывая сам сайт, часто уязвимую платформу электронной коммерции вроде Magento, или компрометируя сторонний скрипт, который сайт подгружает: аналитику, чат-виджет или платёжный плагин. Внедрённый JavaScript следит за полями формы или кнопкой отправки, копирует номера карт, сроки действия, коды CVV и адреса и отправляет их на сервер злоумышленников — часто на домен, замаскированный под легитимный сервис аналитики. Покупка при этом проходит как обычно, поэтому ни покупатель, ни магазин ничего не замечают. Украденные данные продаются на кардинговых площадках.
Группировки, проводящие такие атаки, собирательно называют Magecart — по их ранней специализации на магазинах Magento.
Почему формджекинг опасен
- British Airways (2018) — изменённый скрипт на сайте и в приложении перехватил платёжные данные сотен тысяч клиентов; британский регулятор позже оштрафовал авиакомпанию на 20 млн фунтов.
- Ticketmaster (2018) — данные украли через скомпрометированный чат-бот поддержки стороннего поставщика — типичная атака на цепочку поставок.
- Newegg (2018) — данные карт около месяца перехватывались со страницы оформления заказа.
Как защититься от формджекинга
- Использовать строгую политику безопасности контента (CSP), ограничивающую, откуда загружаются скрипты и куда они могут отправлять данные.
- Применять хеши Subresource Integrity (SRI) к сторонним скриптам и сократить их число на платёжных страницах.
- Отслеживать изменения скриптов на страницах оплаты: PCI DSS 4.0 требует вести их перечень и проверять целостность.
- Обновлять платформы электронной коммерции и плагины, защищать учётные записи администраторов MFA.
