Semáforo UOL: Atención
Un script de terceros alterado en la página de pago permitió capturar datos de tarjetas de compradores de decenas de tiendas brasileñas.
Un grupo criminal brasileño modificó un script de análisis de tráfico de la plataforma Convertr que cargaban las páginas de pago de decenas de tiendas de moda, y así capturó datos de los compradores, según Olhar Digital, que cita a la firma de seguridad Sansec.
Qué pasó
De acuerdo con la nota, los atacantes obtuvieron número de tarjeta, vencimiento, código de seguridad (CVV), nombre y CPF, el documento de identificación fiscal brasileño. Sansec, que detectó el caso, indica que el robo corre desde el 24 de octubre y que es la primera vez que este grupo ataca a través de la cadena de suministro, es decir, comprometiendo a un proveedor para llegar a sus clientes.
Convertr informó el 27 de octubre que eliminó el código malicioso y que avisa a comerciantes, servicios de pago y autoridades. Sansec señala una falla en una versión desactualizada de Plausible, otra herramienta de análisis, aunque aclara que no pudo confirmar que esa fuera la vía de entrada. Es una hipótesis, no una conclusión.
Por qué importa en Uruguay
El caso es brasileño, pero el mecanismo se repite en cualquier tienda online: la página de pago suele cargar scripts de analítica, chat, publicidad o reseñas que no controla el comercio. Si uno de esos proveedores se compromete, el código malicioso corre dentro de la tienda y ve lo que el cliente escribe. Una tienda uruguaya que use herramientas de terceros en el pago está expuesta al mismo tipo de riesgo.
También afecta a los compradores: quien haya pagado en las tiendas implicadas desde el 24 de octubre debería vigilar los movimientos de su tarjeta. La nota no publica la lista de tiendas en el texto citado, por lo que no corresponde nombrarlas aquí.
Qué hacer
- Haga un inventario de los scripts de terceros que se cargan en su página de pago y elimine los que no sean indispensables.
- Prefiera pasarelas de pago que muestren el formulario en su propio entorno seguro, de modo que los datos de la tarjeta no pasen por su sitio.
- Mantenga actualizados los plugins y herramientas de analítica; una versión vieja puede ser la puerta de entrada.
- Exija por escrito a sus proveedores un aviso rápido ante cualquier incidente.
- Si compró en tiendas brasileñas desde el 24 de octubre, revise su estado de cuenta y consulte con su banco.
Fuentes:
Por Valentina Suárez
Deje una respuesta