歐洲刑警組織：數百家電商網站泄露了用戶支付信息
歐洲刑警組織在12月22日發布的新聞稿中，稱由 17 個國家聯合參與的執法行動已發現數百個電商平臺存在惡意腳本攻擊，其用戶的信用卡或支付卡數據已遭到泄露。
這項已進行兩個月的執法行動由希臘牽頭，歐洲刑警組織參與協調，并得到網絡安全公司Group-IB和 Sansec 的支持。該行動在443家電商網站上發現了竊密腳本，根據Group-IB分享的情報，已發現了包括 ATMZOW、health_check、FirstKiss、FakeGA、AngryBeaver、Inter 和 R3nin在內的 23 個 JavaScript 嗅探器。
這些惡意腳本以難以被捉摸的行為而聞名，例如濫用 Google 跟蹤代碼管理器來更新其惡意代碼片段，以及模仿 Google Analytics 代碼來躲避網站代碼檢查期間的檢測。
在竊取攻擊中，黑客將工具或惡意軟件嵌入電商網站，攔截和竊取支付卡號、驗證碼、姓名和送貨地址等數據，并將信息上傳到攻擊者控制的服務器。
研究人員稱，者利用竊取的數據執行未經授權的交易，例如在線購買，或 將其轉售給 暗網市場上的其他網絡犯罪分子。用戶通常不知道他們的數據已被泄露，直到攻擊者已進行未經授權的交易。
根據Recorded Future在去年發布的報告，2022年，在暗網平臺上出售、由竊密器導致的支付信息泄露已達 4560 萬條，而在2023年度的報告中，研究人員指出這一數據在迅速上升，被盜的支付卡數量將達1.19億張，其中有5000萬張來自美國。
歐洲刑警組織建議，電商平臺應使用具有特定網絡瀏覽功能的惡意軟件監視器；確保員工的 MFA 和強密碼策略，并對員工應對魚叉式網絡釣魚攻擊的能力進行培訓；在電子商務平臺上運行自動漏洞審核，包括定期安裝的第三方組件；確保只有特定 IP 可以訪問您商店的控制面板，拒絕員工從未知地點訪問；確保及時安裝安全補丁和關鍵軟件更新；實施內容安全策略 (CSP) 和子資源完整性 (SRI)。
