Cyberataki na e-sklepy w czasie Black Friday? Opinie ekspertów

Skimmery i ataki MageCart

Skimmery i ataki MageCart w 2023 roku stanowią jedno z największych zagrożeń dla bezpieczeństwa e-sklepów. Te techniki cyberprzestępcze skupiają się na kradzieży danych kart kredytowych i innych wrażliwych informacji bezpośrednio z formularzy płatności na stronach internetowych. Ataki te są szczególnie niebezpieczne, ponieważ mogą być trudne do wykrycia zarówno dla właścicieli sklepów, jak i dla klientów.

Minister rolnictwa: “Każde oszustwo sklepu będzie wykryte” Monika Świetlińska

Skimmery to skrypty, które cyberprzestępcy umieszczają w kodzie strony internetowej sklepu. Gdy klient wprowadza dane swojej karty kredytowej w formularzu płatności, skimmer przechwytuje te informacje i przesyła je do przestępców. Ataki MageCart działają na podobnej zasadzie, ale są jeszcze bardziej wyrafinowane. Przestępcy infekują całe sieci dostawców, które obsługują wiele sklepów internetowych, co pozwala im na kradzież danych z wielu źródeł jednocześnie.

Platformy takie jak WordPress, OpenCart i Prestashop są szczególnie narażone na tego typu ataki ze względu na swoją popularność i otwartość. Wiele e-sklepów korzysta z tych systemów zarządzania treścią (CMS) ze względu na ich elastyczność i łatwość użytkowania. Jednak ta sama otwartość sprawia, że są one podatne na ataki, szczególnie jeśli nie są regularnie aktualizowane lub jeśli używane są niezaufane wtyczki i rozszerzenia.

Skutki ataków skimmingowych mogą być dewastujące dla e-sklepów. Poza bezpośrednią kradzieżą danych finansowych klientów, sklepy mogą doświadczyć utraty przychodów i zaufania ze strony konsumentów. W dłuższej perspektywie, takie incydenty mogą prowadzić do utraty reputacji i zaufania. Ponadto, sklepy mogą być zobowiązane do zapłaty kar za naruszenie przepisów o ochronie danych.

- Rynek e-commerce jest bardzo łakomym kąskiem dla cyberprzestępców. Dość rzec, że w okresie od stycznia 2022 r. do końca marca 2023 r. ataki poprzez aplikacje webowe i API na sektor handlu w regionie EMEA były najbardziej rozpowszechnione, plasując się na pierwszym miejscu pod względem liczby ataków sieciowych - przekazała nam Marta Fydrych-Gąsowska, InfoSec & Compliance Advisor z Akamai Technologies.

Zaznaczyła, że cyberprzestępcy obmyślają coraz to bardziej wyrafinowane sposoby zagrabienia danych klientów, podając dwa konkretne przykłady. - Na początku października tego roku eksperci cyberbezpieczeństwa z Akamai odkryli kampanię skimmingową, której celem było pozyskanie danych kart płatniczych i innych danych osobowych użytkowników głównie z branży spożywczej i detalicznej. W kampanii tej zaobserwowano wcześniej nieznaną technikę: manipulowanie domyślną stroną błędu 404 witryny w celu ukrycia złośliwego kodu. Wcześniej, tej jesieni, Akamai odkryło także wieloetapową kampanię kradzieży informacji, w której przestępcy włamują się do systemów hoteli, stron rezerwacyjnych i biur podróży, a następnie wykorzystując swój dostęp, podają się za pracowników tych firm i kradną dane finansowe klientów. 

Phishing, czyli stara metoda, nowe zagrożenia

Phishing, mimo że jest dobrze znaną metodą cyberataków, wciąż pozostaje jednym z największych zagrożeń dla e-sklepów. Ta stara technika adaptuje się do nowych realiów, stając się coraz bardziej wyrafinowaną i trudniejszą do wykrycia.

Kary w branży e-commerce, o których głośno się nie mówi Monika Świetlińska

Ataki phishingowe często przybierają formę fałszywych landing page lub wiadomości e-mail, które na pierwszy rzut oka wydają się być wiarygodne. Cyberprzestępcy starają się naśladować oficjalne komunikaty od znanych marek, instytucji finansowych czy nawet od samego sklepu internetowego. Celem jest skłonienie odbiorcy do podania wrażliwych danych, takich jak dane logowania, informacje o karcie kredytowej czy dane osobowe.

Z raportu ProofPoint wynika, że straty finansowe z powodu udanych ataków phishingowych wzrosły o 76% w 2022 roku. Ten alarmujący wzrost podkreśla, jak skuteczne, ale i jak kosztowne mogą być te ataki dla biznesów. W przypadku e-sklepów, straty mogą obejmować nie tylko bezpośrednie kradzieże finansowe, ale także koszty związane z naruszeniem bezpieczeństwa danych, naprawą systemów i potencjalnymi karami regulacyjnymi.

Skutki phishingu wykraczają poza bezpośrednią kradzież danych. Ataki te mogą powodować poważny uszczerbek na reputacji sklepu, zwłaszcza, że przecież e-commerce bazuje na lojalności i zaufaniu konsumentów.

- Po pierwsze, ważne jest, aby właściciele e-sklepów zrozumieli, że phishing nie jest już tylko kwestią techniczną, ale również psychologiczną. Cyberprzestępcy wykorzystują zaawansowane techniki inżynierii społecznej, aby manipulować ofiarami, co wymaga od sklepów nie tylko technologicznych zabezpieczeń, ale także edukacji pracowników i klientów - zauważył Rafał Stępniewski, prezes spółki Rzetelna Grupa, właściciela Rzetelnego Regulaminu, dodając: - Po drugie, sklepy internetowe powinny inwestować w rozwiązania oparte na sztucznej inteligencji i uczeniu maszynowym. Te technologie mogą skutecznie identyfikować i blokować podejrzane działania, zanim wyrządzą one szkody. Ponadto, regularne audyty bezpieczeństwa i testy penetracyjne są fundamentem wykrywania potencjalnych luk w zabezpieczeniach.

Rafał Stępniewski zaznaczył również, że ważne jest, aby sklepy internetowe informowały swoich klientów o potencjalnych zagrożeniach i sposobach ich unikania. Budowanie świadomości wśród użytkowników jest równie ważne, co techniczne aspekty bezpieczeństwa.

Różnorodność ataków na łańcuch dostaw

Jednym z najbardziej niepokojących scenariuszy jest atak na łańcuch dostaw poprzez oprogramowanie. Wystarczy kompromitacja jednej aplikacji lub elementu oprogramowania, aby zainstalować złośliwe oprogramowanie w całym systemie. Często celem takich ataków jest kod źródłowy, gdzie złośliwy kod jest wstrzykiwany do zaufanych aplikacji. Cyberprzestępcy skupiają się na aktualizacjach oprogramowania jako punktach wejścia, co sprawia, że takie ataki są trudne do wykrycia, szczególnie gdy wykorzystują skradzione certyfikaty do pozornego uwierzytelnienia kodu.

Jakie są korzyści z posiadania modułu opinii w Twoim serwisie internetowym? Monika Świetlińska

Ataki na sprzęt, takie jak wykorzystanie zainfekowanych urządzeń USB, stanowią fizyczne zagrożenie dla łańcucha dostaw. Hakerzy mogą celować w pojedyncze urządzenia, aby uzyskać dostęp do szerszego systemu, co pozwala im na rozszerzenie skali ataku i wyrządzenie większych szkód.

Z kolei wprowadzenie złośliwego oprogramowania do kodu rozruchowego komputera jest formą ataku, która działa błyskawicznie. Gdy komputer jest włączony, złośliwe oprogramowanie aktywuje się, zagrażając całemu systemowi. Ataki te są szczególnie niebezpieczne ze względu na ich szybkość, potencjalne rozległe szkody i trudność wykrycia bez specjalistycznych kontroli bezpieczeństwa.

- Różnorodność ataków na łańcuch dostaw wymaga kompleksowego podejścia do bezpieczeństwa. Firmy muszą skupić się na zaawansowanym monitorowaniu oprogramowania i sprzętu, aby wykrywać i zapobiegać potencjalnym zagrożeniom. Ponadto, edukacja i świadomość pracowników są kluczowe w zapobieganiu atakom fizycznym, takim jak zainfekowane urządzenia USB. Wreszcie, ciągłe aktualizacje i specjalistyczne narzędzia bezpieczeństwa są niezbędne do ochrony przed skomplikowanymi atakami, takimi jak te na kod rozruchowy komputerów. Współpraca i wymiana informacji w branży również odgrywają ważną rolę w zwiększaniu ogólnego poziomu bezpieczeństwa — przekazał prezes Rzetelnej Grupy.

Jak sklepy internetowe mogą dbać o cyberbezpieczeństwo?

W związku ze zbliżającym się okresem promocji i wyprzedaży, właściciele e-sklepów muszą podjąć konkretne kroki, aby zabezpieczyć swoje platformy przed rosnącymi cyberzagrożeniami. Co mogą zrobić?

Aktualizacje oprogramowania i WAF

Regularne aktualizacje oprogramowania, w tym systemów zarządzania treścią (CMS) i wtyczek, są niezbędne. Warto również zainwestować w zaawansowane rozwiązania bezpieczeństwa, takie jak firewalle aplikacji internetowych (WAF) i skanowanie pod kątem złośliwego oprogramowania.

Świadomość pracowników to podstawa

Bez świadomości zagrożeń wśród pracowników, najlepsze zabezpieczenia nie pomogą. Pracownicy powinni wiedzieć, na czym polega phishing czy socjotechnika. Regularne szkolenia i testy phishingowe mogą pomóc w zwiększeniu świadomości i gotowości na ataki.

Jak zgodnie z prawem przygotować się do Black Friday?Monika Świetlińska

Sprawdzanie dostawców

Dalej, weryfikacja i monitorowanie dostawców oraz ich oprogramowania są niezwykle istotne. Warto również rozważyć implementację bezpiecznych praktyk w zakresie zarządzania kodem źródłowym i aktualizacji oprogramowania.

Uwierzytelnienie wieloskładnikowe, gdzie tylko to możliwe

Warto też wiedzieć, że użycie uwierzytelniania wieloskładnikowego dla wszystkich kont administracyjnych i użytkowników może znacząco zwiększyć bezpieczeństwo.

Plan reagowania na naruszenia

To samo dotyczy posiadania gotowego planu na wypadek naruszenia bezpieczeństwa. Każdy e-sklep musi go mieć. Taki plan powinien obejmować procedury identyfikacji, reagowania i komunikacji z klientami oraz organami regulacyjnymi.

Kopie zapasowe — bez nich nie ruszysz dalej po incydencie

I na koniec to co wiedzą wszyscy, a niekoniecznie to realizują: regularne tworzenie kopii zapasowych danych sklepu i ich bezpieczne przechowywanie. Może to pomóc w szybkim przywróceniu działalności po ewentualnym ataku.

Podjęcie tych działań może znacząco zwiększyć odporność e-sklepów na cyberzagrożenia, minimalizując ryzyko i potencjalne straty w tym kluczowym okresie sprzedażowym.