Płatności kartą kredytową w sklepie: luki bezpieczeństwa, o których prawie nikt nie wie

Oszustwa kartowe to dla wielu właścicieli sklepów e-commerce abstrakcyjne ryzyko — aż do momentu, gdy sami je doświadczą. Obciążenia zwrotne, zablokowane konta dostawców płatności, grzywny za nieodpowiednie standardy bezpieczeństwa.

A jednak wiele z najczęstszych wzorców ataków jest dobrze znanych i możliwych do uniknięcia.

Jak działają atakujący

Najczęstsze formy ataków na dane kart kredytowych w e-commerce:

Skimming za pomocą złośliwego oprogramowania: Szkodliwy kod jest wstrzykiwany na stronę kasy i odczytuje dane karty bezpośrednio podczas ich wprowadzania. Znany jako atak Magecart — szczególnie powszechny w przestarzałych instalacjach Magento.

Credential stuffing: Skradzione kombinacje loginów są automatycznie testowane. Każdy, kto używa tych samych haseł w wielu miejscach, jest narażony.

Carding: Skradzione dane kart są testowane małymi kwotami przed użyciem do większych zakupów.

PCI-DSS: co muszą wiedzieć właściciele sklepów

Każdy, kto akceptuje płatności kartą kredytową, jest zobowiązany do przestrzegania standardu PCI-DSS. Większość sklepów korzysta z dostawców usług płatniczych, takich jak Stripe lub PayPal, którzy przejmują większość wymagań. Jednak odpowiedzialność za stronę kasy leży po stronie właściciela sklepu.

Konkretnie: nie przechowywać danych kart we własnych systemach, przeprowadzać regularne kontrole bezpieczeństwa, utrzymywać aktualne wersje oprogramowania.

Natychmiastowe działania

Trzy rzeczy, które możesz zrobić jeszcze w tym tygodniu:

1. Aktualizacja oprogramowania sklepu — szczególnie Magento, WooCommerce i wszystkich zainstalowanych wtyczek
2. Ustawienie Content Security Policy (CSP) w celu blokowania nieautoryzowanym skryptom dostępu do danych
3. Sprawdzenie strony płatności pod kątem zewnętrznych skryptów — audyt przeglądarki pokazuje, jakie zewnętrzne zasoby są ładowane podczas kasy

Jeśli nie jesteś pewien, czy Twój sklep spełnia te wymagania, możemy pomóc krótkim audytem bezpieczeństwa.