Web skimming ve Magecart saldırıları, bir e-ticaret sitesinin ödeme sayfasına gizlice zararlı JavaScript yerleştirerek müşterinin girdiği kart bilgilerini tam ödeme anında ele geçiren saldırılardır. Fiziksel dünyadaki kart kopyalama cihazlarının dijital karşılığıdır: müşteri gerçek siteden alışveriş yaptığını düşünür, ödeme başarıyla tamamlanır, ancak girilen bilgi aynı anda saldırganın sunucusuna da kopyalanır.

Skimming saldırısında sayfa doğru çalışır, ödeme gerçekleşir ve müşteri hiçbir şeyin farkına varmaz; çalınan tek şey, tuşlanan kart bilgisinin görünmez bir kopyasıdır.

Saldırı Nasıl Gerçekleşir?

Saldırganın amacı, ödeme formundaki alanları dinleyen küçük bir betik parçasını sayfaya sokmaktır. Bu betik, müşteri kart numarasını ve CVV’yi yazdıkça bu verileri yakalar ve arka planda dışarı sızdırır. Kod genellikle son derece kısa ve gizlenmiş olduğu için, sayfanın binlerce satırlık meşru kodu arasında gözden kaçar.

Betiğin sayfaya girme yollarından biri, saldırganın sitenin sunucusundaki bir açıktan yararlanmasıdır. Bu, klasik bir Siteler arası betik çalıştırma zafiyetiyle mümkün olabilir; giriş denetimi zayıf bir alan, saldırganın kalıcı bir betik yerleştirmesine olanak tanır ve her ziyaretçide bu betik yeniden çalışır.

Üçüncü Taraf Betikleri Tehlikesi

Magecart operasyonlarını özellikle sinsi kılan, saldırının çoğu zaman sitenin kendi sunucusuna hiç dokunmadan gerçekleşmesidir. Modern bir ödeme sayfası; analiz araçları, sohbet pencereleri ve reklam betikleri gibi onlarca dış kaynağı çağırır. Saldırgan bu dış sağlayıcılardan birini ele geçirdiğinde, o betiği kullanan tüm siteler aynı anda zehirlenir. Bu, klasik bir Tedarik zinciri saldırısı örneğidir: zayıf halka sitenin kendisi değil, güvendiği bir tedarikçidir.

Bu yüzden bir e-ticaret sitesinin güvenliği yalnızca kendi kodundan ibaret değildir; sayfaya yüklenen her dış betik, potansiyel bir sızıntı noktasıdır. Hangi betiğin nereden geldiğini ve ne yaptığını sürekli izlemek, korunmanın temelidir.

Tespit ve Önleme

Bu saldırılar sunucu loglarında iz bırakmadığı için geleneksel yöntemlerle fark edilmesi güçtür; tespit, tarayıcıda çalışan kodun izlenmesini gerektirir. Ödeme sayfasında hangi betiklerin çalışmasına izin verildiğini sıkı kurallarla sınırlamak, izinsiz bir betiğin veri göndermesini baştan engelleyebilir.

• Ödeme sayfasında çalışabilecek betik kaynaklarının açık listeyle sınırlanması
• Sayfaya yüklenen dış betiklerin bütünlüğünün doğrulanması
• Beklenmedik dışarı veri gönderimlerinin izlenmesi
• Üçüncü taraf sağlayıcıların düzenli güvenlik gözden geçirmesi

Bu tür betik enjeksiyonlarına açık kapı bırakan zafiyetler çoğu zaman sitenin kendi API ve giriş noktalarında saklıdır; E-ticaret API güvenliği açıkları, saldırganın kalıcı bir betik yerleştirmesinin en sık yoludur. Bu açıkların üretim ortamında düzenli aralıklarla taranması için Düzenli zafiyet tarama hizmetimiz ödeme akışınızdaki riskleri saldırgandan önce yakalar.