In questo articolo Indice dei contenuti 2 sezioni
Un gruppo specializzato nel furto di dati delle carte di pagamento è riuscito a compromettere uno script di analisi condiviso dalla piattaforma brasiliana Convertr, trasformandolo in uno strumento capace di sottrarre le informazioni inserite dagli acquirenti proprio al momento del pagamento. Un attacco di questo tipo, noto come skimming, ha avuto una portata potenzialmente molto ampia, perché ha interessato le pagine di checkout di tutti i negozi online che si affidano al servizio.
La campagna è stata individuata il 24 ottobre ed è stata attribuita a una banda brasiliana attiva almeno da luglio 2024, già nota per prendere di mira negozi digitali costruiti su Magento, OpenCart e WooCommerce. Convertr non è certo un nome di secondo piano nel commercio elettronico del Brasile. La piattaforma alimenta vetrine online e sistemi di pagamento per decine di grandi marchi della moda del Paese e gestisce un volume di vendite di circa 2 miliardi di real, pari a circa 340 milioni di euro.
Come è stato manomesso lo script di Plausible
Secondo la società di sicurezza informatica Sansec, che si occupa in particolare di protezione per i negozi online, i criminali hanno modificato il file di tracciamento ospitato su un server gestito direttamente da Convertr per Plausible, un’alternativa open source a Google Analytics. Si tratta quindi di un’installazione autonoma, non di un servizio esterno.
I ricercatori sospettano che l’accesso iniziale sia avvenuto sfruttando una vulnerabilità che permette di eseguire comandi senza alcuna autenticazione, presente nella versione obsoleta di Plausible Community Edition utilizzata dall’azienda. Questa ipotesi, però, non ha ancora trovato conferma ufficiale. Una volta dentro, gli aggressori hanno inserito codice malevolo all’interno del tracker legittimo, che viene caricato nelle pagine di pagamento di tutti i commercianti che usano la piattaforma. In pratica un solo punto debole ha aperto la strada a un numero enorme di vetrine.
Anche l’evoluzione dello script racconta qualcosa sul metodo degli attaccanti. Le prime versioni dello skimmer si basavano su schemi generici per riconoscere i campi di pagamento, ma entro il 26 ottobre è comparsa una variante più raffinata, studiata per colpire con precisione i nomi esatti dei campi usati dall’interfaccia di pagamento di Convertr.
Quali dati sono finiti nelle mani dei criminali e cosa fare
Lo script malevolo era configurato per raccogliere dalle pagine di checkout una serie di informazioni piuttosto delicate. Tra queste il numero della carta, la data di scadenza, il codice CVV, il nome del titolare e il codice CPF, cioè il numero di identificazione fiscale brasiliano. Un pacchetto completo, insomma, sufficiente per utilizzare la carta in modo fraudolento.
Per questo i ricercatori consigliano a chiunque abbia pagato con carta su un negozio brasiliano, la cui pagina di pagamento conteneva nell’indirizzo la stringa “checkout.convertr” a partire dal 24 ottobre, di contattare subito la propria banca e chiedere il blocco della carta.
Con un aggiornamento successivo Sansec ha confermato che Convertr ha rimosso lo skimmer e aggiornato Plausible a una versione corretta. L’azienda ha inoltre comunicato di aver avviato le notifiche ai commercianti coinvolti e ai fornitori dei servizi di pagamento. Il problema, tuttavia, non si esaurisce del tutto con la pulizia dei server. La memoria cache del browser potrebbe infatti mantenere attivo lo script dannoso sui siti colpiti fino a 24 ore dopo l’intervento, motivo per cui ai clienti viene suggerito di svuotarla prima di effettuare nuovi ordini, anche a minaccia ormai eliminata.
Tra le contromisure utili per proteggere i dati durante gli acquisti online c’è anche l’uso di carte virtuali usa e getta, che smettono di funzionare subito dopo la transazione.
Fonte: TecnoAndroid