Les attaques Magecart ont été découvertes il y a cinq ans et malgré cela, elles restent très efficaces. De nombreux utilisateurs de sites de e-commerce en font encore les frais aujourd’hui. Que désigne donc le terme Magecard et quels sont les risques pour nous autres, consommateurs ?
Une attaque Magecart est un mode opératoire qui consiste en l’insertion de scripts malveillants pour voler les données des clients de sites d'achats en ligne. Et nous ne parlons pas ici de n’importe quelles données. Ce sont en effet les cartes de crédit et les informations personnelles des consommateurs qui sont directement concernées. Ces attaques ont lieu lors du processus de paiement, et ce, par le biais de sites totalement légitimes. C’est ce qui rend cette nouvelle campagne de vols de cartes de crédit particulièrement préoccupante. Les sites concernés sont utilisés comme serveurs de commandes et de contrôle. Ceci donne tout le loisir aux pirates de contourner les mesures de détection et de blocage en se soustrayant à la nécessité de mettre en place leur propre infrastructure. Ces attaques sont de plus en plus fréquentes et posent une menace sérieuse pour la sécurité des transactions en ligne. Une nouvelle campagne de vols de cartes de crédit par ce biais a récemment été découverte.
L'infection des sites légitimes par des skimmers masqués
Les skimmers, ou collecteur de données, sont des programmes spécialisés. Ils ciblent d'abord des sites légitimes vulnérables et les compromettent pour héberger leur code. Ils utilisent ces sites comme base de contrôle pour rendre leurs attaques indétectables. Aujourd'hui, la méthode de piratage utilisée n’est pas claire. Il est cependant fortement probable que les pirates exploitent les vulnérabilités de plateformes de commerces numériques très fréquentées : Magento, WooCommerce, WordPress ou Shopify.
Pour éviter d'être détectés, les attaquants cachent les skimmers en les codant avec une technique d'encodage Base64. Dans le cadre du piratage, l'encodage Base64 peut être utilisé pour occulter des données sensibles ou des éléments de code malveillants. Cela permet de dissimuler ces éléments ou informations de connexion, les rendant ainsi moins apparents et plus difficiles à repérer par les mesures de sécurité en place. Cet encodage permet également de masquer l’URL de l’hôte. La structure de ces skimmers est conçue de plus pour ressembler à celle de Google Tag Manager ou de Facebook Pixel, deux services tiers populaires qui ne soulèvent pas de soupçons. Plutôt malin et très inquiétant.
Le vol des informations et la transmission des données
Une fois les sites compromis, les attaquants injectent un petit extrait de code JavaScript dans les plateformes de e-commerce ciblées. Ensuite, rien de plus simple pour les pirates : ils utilisent ces skimmers pour voler les informations des clients. Ces données sont ensuite transmises aux serveurs des attaquants à l'aide d'une requête HTTP créée sous la forme d'une balise IMG intégrée au skimmer. L’entreprise américaine Akamai reconnaît aujourd’hui deux types de skimmers. La première est une version fortement masquée contenant des sélecteurs CSS personnalisés pour chaque site ciblé, visant les informations personnelles des clients. La deuxième variante est moins bien protégée. Akamai a pu établir une cartographie précise de la campagne de piratage et identifier plus facilement les victimes.
Les attaques Magecart représentent encore aujourd’hui une menace significative. En permettant une compromission de sites web légitimes, elles donnent la possibilité aux pirates de voler des informations très sensibles. Les propriétaires de sites web peuvent se protéger contre ces attaques par la sécurisation de leurs comptes d'administration et par des updates régulières de leur CMS. Les clients des boutiques peuvent réduire les risques en utilisant des méthodes de paiement sécurisées et en fixant une limite de dépenses sur leurs cartes de crédit. La vigilance face à cette recrudescence des attaques reste essentielle tant leurs évolutions sont rapides.
Sources : zdnet, bleepingcomputer, akamai
