關(guān)鍵詞

網(wǎng)絡(luò)攻擊

安全公司 Sansec 披露，一家全球前十的大型連鎖超市電商網(wǎng)站被植入數(shù)字支付竊取器（payment skimmer）。該集團年營收約1000億歐元，在25個國家擁有超過1萬家門店，其部分電商系統(tǒng)基于 PrestaShop 構(gòu)建。

研究人員稱，惡意代碼最早于2月16日被發(fā)現(xiàn)，并多次嘗試通過郵件、security.txt 以及 LinkedIn 聯(lián)系企業(yè) CISO，但在數(shù)日后竊取器仍然在線運行。

此次攻擊采用一種被稱為“雙擊式竊取”（double-tap skimming）的技術(shù)。隨著越來越多商戶使用符合 PCI-DSS 標(biāo)準(zhǔn)的托管支付頁面，攻擊者不再直接攔截真實支付表單，而是在結(jié)賬頁面插入一個高度仿真的假支付界面。用戶第一次輸入卡號、有效期和 CVV 時，數(shù)據(jù)已被竊??；隨后頁面無縫跳轉(zhuǎn)至真正的支付頁面，用戶誤以為第一次失敗，再次輸入信息完成支付。整個過程幾乎無感。

技術(shù)分析顯示，該竊取器基于可復(fù)用框架，兼容 WordPress、Magento、PrestaShop、OpenCart 等主流電商系統(tǒng)。腳本僅在結(jié)賬頁面激活，并利用 localStorage 保存數(shù)據(jù)，監(jiān)聽所有輸入框及動態(tài)下拉組件（如 Select2、Vue Select），捕獲 cardNum、exp、cvv 等字段。數(shù)據(jù)被 Base64 編碼后，通過偽裝成“分析接口”的 GET 請求外傳至惡意域名 stylemercedes.top。

為了避免被商家發(fā)現(xiàn)，腳本會檢測訪問者是否為管理員賬號，如檢測到后臺身份即終止執(zhí)行。同時還具備“強制隱藏”機制，即便網(wǎng)站自身腳本嘗試恢復(fù)原始支付頁面，惡意覆蓋層仍會保持生效。數(shù)據(jù)外傳后，代碼會刪除自身痕跡、恢復(fù)原頁面，并自動觸發(fā)合法支付流程。

研究人員指出，生成式 AI 正在加速此類攻擊。攻擊者可以快速生成多語言、品牌一致的支付界面覆蓋層，使其在不同國家市場看起來完全“合法”。

這一事件再次表明，電商風(fēng)險已從“服務(wù)器入侵”轉(zhuǎn)向“前端支付流程劫持”。即便商戶采用合規(guī)的第三方托管支付，只要前端頁面被篡改，用戶仍可能在不知情情況下泄露卡信息。對于消費者而言，使用一次性虛擬卡或預(yù)充值卡進行線上支付，是降低風(fēng)險的有效方式。

隨著攻擊工具框架化、自動化，支付頁面已成為當(dāng)前電商生態(tài)中最具價值的攻擊入口之一。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！