¿Cómo protegerse de un ataque de Magecart?

¿Qué es Magecart?

Ya le hemos hablado de la necesidad de proteger adecuadamente sus tiendas online en este artículo sobre la seguridad del comercio electrónico. Aquí puede obtener más información sobre uno de los tipos de ataque más peligrosos, Magecart, que afecta principalmente a sitios web de comercio electrónico.

¿Quieres comprender en profundidad todos los aspectos modernos de Magecart? Lee atentamente este artículo y marcalo como favorito para volver más tarde, ya que actualizamos esta página con regularidad.

Los hackers de Magecart suelen atacar tiendas online desarrolladas con Magento CMS con el objetivo de robar la información de las tarjetas de crédito de los clientes. Este tipo de ataque también se conoce como ataque a la cadena de suministro, web skimming o e-skimming. El código JavaScript inyectado en el código durante el ataque también se suele denominar Magecart.

En primer lugar, los expertos en ciberseguridad detectaron la actividad de este grupo criminal en 2010, aunque Magecart no se hizo ampliamente conocido hasta hace poco. Durante más de 10 años de observación, el ataque de Magecart fue detectado unas 2 millones de veces. En total, desde 2010, Magecart es responsable de hackear más de 18 000 hosts. Para introducir código malicioso, los delincuentes utilizaron 573 dominios con aproximadamente 10 000 enlaces de descarga con malware Magecart.

Hoy, los investigadores informan de una nueva serie de ataques Magecart. Los delincuentes han cambiado de táctica y automatizado los ataques. Ahora buscan buckets mal configurados e infectan cualquier sitio web y archivo JavaScript al que puedan acceder.

Desde abril de 2019, los ciberdelincuentes han comprometido más de 17.000 dominios al publicar código JavaScript (también llamado «skimmers») en estos sitios web. Los recursos vulnerables alojaban contenido relacionado con servicios de emergencia y foros de chat para bomberos, policías y profesionales de la seguridad.

Según Computerweekly, durante la pandemia de COVID-19, los ataques Magecart en minoristas online aumentaron un 20 %.

¿Quién está bajo ataque de Magecart?

En 2018, la empresa británica de boletería Ticketmaster sufrió un ataque Magecart notable. Los delincuentes introdujeron un skimmer a través del widget de atención al cliente.

Posteriormente, se encontró un script malicioso en los productos de otros proveedores. En general, más de 800 tiendas en línea y aproximadamente diez mil usuarios sufrieron los efectos de Magecart.

En 2019, los atacantes de Magecart utilizaron la mala configuración de los buckets de Amazon S3 para infectar más de 17 000 sitios web. Los delincuentes escanearon la web en busca de buckets de Amazon S3 mal configurados con documentos JavaScript e introdujeron un script malicioso para inyectar el skimmer.

Los nuevos ataques a sitios de comercio electrónico son, en general, similares a los anteriores ataques Magecart, pero hay un grupo relativamente nuevo detrás de ellos, al que los expertos han llamado Magecart Group 12. En total, atacaron 277 servicios relacionados con la reserva de billetes de avión, tiendas online de cosméticos y ropa, entre otros.

Además del código JavaScript, los especialistas también descubrieron un código adicional llamado jqueryapi1oad. Los delincuentes lo utilizaron durante una larga campaña maliciosa que comenzó en abril de 2019. El código instala comprobaciones de bots, establece la cookie jqueryapi1oad con una fecha de caducidad basada en los resultados del escaneo, y también crea un elemento DOM en la página.

A continuación, se descarga código JavaScript adicional que, a su vez, carga una cookie asociada al Sistema de Distribución de Tráfico (TDS) para redirigir el tráfico a anuncios fraudulentos como parte de la campaña publicitaria maliciosa HookAds.

Los analistas estiman que un script malicioso funciona en promedio durante unos veinte días. Sin embargo, ocasionalmente un skimmer puede permanecer en la página web durante años, robando los registros del tráfico del sitio. Algunos grupos criminales de Magecart utilizaron el kit comprado Inter Skimmer Kit, que ha estado a la venta en la Dark Web durante más de un año.

Por lo tanto, significa que teóricamente cualquier tienda en línea puede estar expuesta al ataque Magecart.

A menudo ocurre que los datos robados de sitios web se venden a través de la Dark Web. Ahora puede comprobar de forma gratuita si los datos de su sitio web están a la venta con la ayuda de ImmuniWeb Domain Security Test.

¿Cómo funciona el ataque Magecart?

Como ya dijimos, Magecart se distribuye principalmente a través de código JavaScript malicioso inyectado en complementos o add-ons descargables para tiendas online de Magento. Recientemente, los atacantes han empezado a utilizar anuncios publicitarios para distribuir skimmers. Según los investigadores, casi una quinta parte de todos los anuncios maliciosos en la red incorporan scripts de ataque Magecart.

Aunque los hackers suelen infectar sitios que no son tiendas en línea y que ni siquiera tienen páginas de pago, los expertos afirman que, al enfatizar el número de ataques, los atacantes lograron inyectar skimmers en un número suficiente de páginas de pago. Se informa que entre las víctimas se encontraban empresas que prestan servicios a otros sitios, y que la infección de varios archivos JS provocó la propagación del malware a miles de otros recursos.

En 2019, durante un ataque fulminante, los ciberdelincuentes comprometieron casi 1000 sitios web de comercio electrónico en solo 24 horas, lo que demuestra que no actuaron manualmente, sino que utilizaron herramientas automatizadas. La mayoría de los recursos afectados eran pequeñas tiendas online, aunque también había varias grandes empresas entre ellos.

El script de skimming se utilizó para robar información de los visitantes de tiendas en línea, en particular, datos de sus tarjetas bancarias, nombres, números de teléfono y direcciones. Luego, el script registra todos los datos introducidos en las páginas de pago y los almacena en el navegador hasta que la víctima recarga la página o cambia a otra pestaña. Los datos robados se envían luego a un servidor controlado por ciberdelincuentes.

¿Cómo protegerse de Magecart?

Para proteger a tu empresa de un ataque Magecart, realiza un inventario completo de tus activos digitales utilizando ImmuniWeb Discovery. Identifica todas las aplicaciones web y móviles posibles, asigna una puntuación de seguridad a cada una y muestra cuáles aplicaciones son críticas para corregir. Además, puede buscar en la Dark Web, almacenes en la nube y repositorios de código cualquier posible fuga de datos.

Este enfoque de Attack Surface Management y Dark Web Monitoring le permite obtener una visión completa del estado de seguridad de su sistema digital.

Después de realizar un inventario completo, puede proceder a las pruebas de penetración mejoradas con IA, que en última instancia protegen a su organización de cualquier amenaza de seguridad, incluidos los ataques Magecart y otros métodos de ataque de hackers más modernos que los ciberdelincuentes inventan constantemente.

Recursos adicionales

• Aprenda más sobre la gestión de la superficie de ataque con IA con ImmuniWeb^® Discovery
• Más información sobre pruebas de penetración de aplicaciones con IA en ImmuniWeb.
• Más información sobre las oportunidades del programa de partners de ImmuniWeb.
• Síganos en LinkedIn, X, Telegram y WhatsApp.