Scrapers de cartão de crédito continuam a ser um risco em sites Magento inseguros

Descobrir que uma loja de comércio eletrônico enviou seus dados de cartão de crédito para um terceiro mal-intencionado é o pior pesadelo de muitos compradores. Eles adotam uma atitude eminentemente sensata “uma vez mordida, duas vezes tímida” em relação aos varejistas que permitem que dados financeiros sensíveis caírem nas mãos de criminosos. O vazamento de dados do cartão de crédito é uma ótima maneira de perder clientes.

Em um artigo de blog recente, a empresa de segurança Sucuri discutiu um ataque raspador de cartão de crédito típico contra uma loja Magento. O código malicioso foi injetado na popular extensão SF9 Realex Magento. O código era simples: encaminhava os dados do cartão de crédito enviados pelos clientes para o endereço de e-mail do atacante.

A presença do raspador não era culpa da extensão. É provável que o invasor tenha explorado uma vulnerabilidade de segurança existente para obter acesso à instalação do Magento.

A melhor maneira de evitar que sua loja esteja infectada com o malware do rascunho do cartão de crédito é tornar difícil para os atacantes comprometer isso em primeiro lugar.

Primeiro, e o mais importante, mantenha a sua loja Magento atualizada. Muitos comerciantes de eCommerce consideram que, se seu site estiver funcionando como pretendido, a atualização é mais problema do que vale a pena. Mas as atualizações não são apenas para novos recursos. As atualizações contêm patches que corrigem vulnerabilidades. Uma vez que um patch foi lançado, é uma boa aposta que os criminosos conhecem a vulnerabilidade.

Eu aconselho os proprietários de lojas a seguir anúncios no Magento Security Center , que publica detalhes de vulnerabilidades de segurança e orientação de mitigação.

Os proprietários das lojas Magento também devem ter cuidado com as extensões que eles instalam e de onde elas provêm. Malware é freqüentemente encontrado em extensões provenientes de locais não verificados. O uso de versões “piratas” de extensões Magento premium é um risco sério porque geralmente incluem malware. O Magento Connectimplementa verificações rigorosas para garantir que o software mal-intencionado não seja publicado.

Finalmente, os proprietários das lojas devem garantir que eles sigam as melhores práticas de senha. A web está cheia de bots de força bruta que não amam mais do que uma senha facilmente adivinhada. Políticas de senha robustas que exigem senhas longas e aleatórias para contas de administrador são essenciais.

Para ajudá-lo a manter os criminosos fora de sua instalação do Magento, o Nexcess desenvolveu duas extensões Magento de código aberto: Sentry e Alarmbell.

Alarmbell é uma extensão de segurança que envia notificações sempre que um novo administrador é criado. A criação de um novo usuário de administrador sem o conhecimento dos administradores existentes é um indicador chave de que uma loja Magento foi comprometida. O despertador também registrará todas as alterações nas contas de administrador e as tentativas de login administrativo falhadas.

Sentry é um plugin de autenticação de dois fatos para o Magento. Como acabei de mencionar, os ataques de força bruta são uma causa freqüente de que as lojas Magento estão comprometidas. A Sentry permite aos comerciantes do eCommerce integrar sua loja com o Google Authenticator ou Duo , tornando praticamente impossível que ataques de força bruta comprometam uma loja.

Essas precauções básicas de segurança não são onerosas ou demoradas, e se você considerar o impacto potencial de um raspador de cartão de crédito ou outro malware em sua loja Magento, eles valem o investimento mínimo em tempo.

Fonte: https://blog.nexcess.net/2017/04/04/credit-card-scrapers-continue-to-be-a-risk-on-insecure-magento-sites/

Rubens Ferreira Salles

Meu nome é Rubens Ferreira Salles, tenho 35 anos, sou Administrador Linux, Analista de Sistema, Programador Php, Webdesigner e Pesquisador. Atuando na área a mais de quinze anos. Nasci em São Paulo, atualmente trabalho como Administrador de Sistemas, e Programador Magento no site Salles Host e Freelancer nas horas vagas. Desenvolvimento em Joomla, Wordpress, Drupal, Magento e outros GPLs...

Website: http://www.salleshost.com.br

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *