Формджекінг (formjacking) — атака, під час якої злочинці впроваджують шкідливий JavaScript у форми оплати чи входу на сайті, щоб викрадати дані платіжних карток та інші відомості просто під час їх введення.
Як працює формджекінг
Спершу зловмисники розміщують свій код на цільовій сторінці: або зламують сам сайт — часто вразливу e-commerce-платформу на кшталт Magento, — або компрометують сторонній скрипт, який завантажує сайт: аналітику, віджет чату чи платіжний плагін. Впроваджений JavaScript стежить за полями форми або кнопкою надсилання, копіює номери карток, строки дії, коди CVV та адреси й відправляє їх на сервер зловмисників, часто на домен, замаскований під легітимний сервіс аналітики. Покупка при цьому завершується як зазвичай, тож ні клієнт, ні магазин нічого не помічають. Викрадені дані продають на кардинг-майданчиках.
Угруповання, які проводять такі атаки, загалом називають Magecart — через їхню ранню орієнтацію на магазини Magento.
Чому формджекінг важливий
- British Airways (2018) — змінений скрипт на сайті й у застосунку перехопив платіжні дані сотень тисяч клієнтів; згодом британський регулятор оштрафував авіакомпанію на 20 мільйонів фунтів.
- Ticketmaster (2018) — дані викрали через скомпрометований чат-бот підтримки від стороннього постачальника — типова атака на ланцюг постачання.
- Newegg (2018) — дані карток знімали зі сторінки оформлення замовлення близько місяця.
Як захиститися від формджекінгу
- Використовувати сувору Content Security Policy, яка обмежує, звідки можна завантажувати скрипти й куди надсилати дані.
- Застосовувати хеші Subresource Integrity (SRI) до сторонніх скриптів і мінімізувати їхню кількість на сторінках оплати.
- Відстежувати зміни скриптів на сторінках оформлення замовлення; PCI DSS 4.0 вимагає інвентаризації та перевірки цілісності скриптів платіжних сторінок.
- Оновлювати e-commerce-платформи й плагіни та захищати облікові записи адміністраторів за допомогою MFA.
