Pułapka w brodzie św. Mikołaja: jak hakerzy mogli wykorzystać luki AliExpress

Podobne tematy

Firewall nowej generacji od Citrix i Check Point Software Technologies

Nagły i znaczny wzrost liczby osób pracujących w domu spowodował zwiększenie powierzchni ataku i zagrożeń przed którymi firmy muszą...

Wyłudzenia danych online w 2017 roku

W 2017 roku technologie antyphishingowe firmy Kaspersky Lab wykryły ponad 246 milionów podejmowanych przez użytkowników prób odwiedzenia różnego rodzajów stron...

90 procent sklepów online naraża klientów na phishing

Phishing nadal pozostaje jednym z najczęstszych sposobów wykorzystywanych przez cyberprzestępców do kradzieży danych. Eksperci z firmy Bitdefender ostrzegają, że...

Broda Świętego Mikołaja jest zwykle biała, ma kolor czystości i niewinności. Jednak cyberprzestępcy, którzy atakują kupujących w Internecie w okresie poprzedzającym Czarny Piątek i Święta Bożego Narodzenia, mogą próbować wykorzystać tę niewinność.

Badacze z Check Point niedawno odkryli, że przestępcy mają nowy sposób na oszukiwanie kupujących prezenty za pośrednictwem popularnego portalu sprzedażowego AliExpress. Posiadając ponad 100 milionów klientów i 23 miliardów dolarów przychodów na całym świecie, AliExpress, część grupy AliBaba, jest jednym z najpopularniejszych stron dedykowanych zakupom online.

Po wykryciu luki, badacze z firmy Check Point natychmiast poinformowali AliExpress, który ze względu na bardzo poważne podejście do cyberbezpieczeństwa, podjął szybkie działania i naprawił je w ciągu dwóch dni od powiadomienia. Jest to bardzo godne pochwały i stanowi przykład dla innych portali tego typu.

Nowa luka umożliwiała przestępcom namierzanie użytkowników AliExpress, wysyłając im link do strony internetowej AliExpress zawierającej złośliwy kod JavaScript. Po otwarciu strony kod był uruchamiany w przeglądarce użytkownika, tym samym omijając ochronę AliExpress przed atakami z wykorzystaniem skryptów cross-site przy użyciu luki w zabezpieczeniach na stronie internetowej.

Teoretycznie cyberprzestępcy mogli zainicjować ten atak poprzez e-mailową kampanię phishingową, wykorzystując regularną podróż klienta (ang. customer journey) AliExpress, bez sygnalizowania użytkownikowi, że dzieje się coś niezwykłego lub niecodziennego. W związku z tym jest mało prawdopodobne, aby użytkownik w ogóle zauważył cokolwiek podejrzanego.

Atakujący mogli następnie za pomocą okienka pop-up wyświetlić ofertę kuponu na ekranie głównym – działającym pod domeną podrzędną AliExpress – prosząc klientów o podanie danych karty kredytowej, aby umożliwić płynniejsze i bardziej wydajne zakupy. Atakujący kontrolowali tylko to okno pop-up, zbierając dane dotyczące wszystkich kart kredytowych, które w tym wypadku przesłane zostały bezpośrednio do nich, a nie do witryny zakupowej.

Z ostatnich doniesień wynika, że cyberataki na sprzedawców online podwoiły się od 2016 r., dlatego kupujący powinni mieć świadomość, że broda Świętego Mikołaja nie zawsze jest tak biała, jak się wydaje i zachowywać czujność podczas robienia zakupów online w dowolnym miejscu w tym sezonie świątecznym.

- Reklama -

Gorące tematy

- Reklama -
Używamy plików cookie, aby zapewnić lepszą jakość przeglądania. Kontynuując korzystanie z tej witryny, wyrażasz zgodę na korzystanie z plików cookie.
Używamy plików cookie, aby zapewnić lepszą jakość przeglądania. Kontynuując korzystanie z tej witryny, wyrażasz zgodę na korzystanie z plików cookie.