Clé à emporter
- Les attaquants ont récemment réussi à installer des skimmers de cartes numériques sur plus de 500 sites Web.
- La responsabilité de la protection incombe aux propriétaires de sites Web.
-
Les experts en sécurité suggèrent différents moyens que les utilisateurs peuvent utiliser pour se protéger.
Au lieu de compromettre des comptes individuels, les pirates ont changé de tactique et s'attaquent maintenant au fil conducteur en installant des écumeurs de cartes sur les boutiques en ligne.
Le 8 février 2022, des chercheurs en sécurité ont partagé des détails sur une violation massive dans plus de 500 boutiques en ligne exécutant la plate-forme de commerce électronique Magento. Les attaquants ont chargé un skimmer de carte de paiement sur tous les magasins, dans ce qu'on appelle une attaque magecart. Bien que la solution réside dans les magasins en ligne, les cibles sont les utilisateurs finaux qui, selon les experts, devraient également être plus vigilants lorsqu'ils effectuent des transactions en ligne.
"[Cette] attaque récente devrait être un rappel brutal à tous les clients en ligne [qu'] ils ont le devoir de se protéger en plus de ce que vous attendez de votre fournisseur de boutique en ligne", Ron Bradley, vice-président des évaluations partagées, a déclaré à Lifewire par e-mail.
Écrémage numérique
Gustavo Palazolo, ingénieur de recherche sur les menaces chez Netskope, a déclaré à Lifewire par e-mail que Magento est l'une des plates-formes de commerce électronique populaires ciblées par les attaquants, car de nombreux magasins exécutent des instances obsolètes du logiciel, tandis que d'autres utilisent des plugins tiers qui contiennent parfois des failles de sécurité non corrigées qui permettent aux attaquants d'implanter des skimmers numériques.
Il a déclaré que bien qu'il ne soit pas simple de vérifier si le site Web sur lequel vous faites vos achats a été la cible d'une campagne de magecart, il existe quelques mesures que les utilisateurs peuvent suivre pour renforcer leur sécurité en ligne.
Palazolo recommande d'utiliser des extensions de navigateur pour bloquer les scripts inconnus, tels que NoScript pour Firefox. Il a également préconisé l'utilisation de solutions antivirus qui fournissent des extensions de navigateur car elles peuvent analyser le site Web visité et bloquer les scripts malveillants.
Il a ajouté qu'Adobe ne prend plus en charge Magento v1, mais en raison de sa popularité, il existe plusieurs correctifs de sécurité fournis par la communauté pour aider à sécuriser cette version. Cependant, il suggère aux utilisateurs d'éviter d'effectuer des transactions sur des sites Web alimentés par cette plate-forme non prise en charge.
Pour vérifier si le site Web sur lequel vous magasinez exécute la dernière version de Magento v2, Palazolo a indiqué le Wappalyzer pour Chrome et Firefox, qui peut détecter la technologie derrière une page Web.
Si l'installation d'une extension de navigateur n'est pas une option, les outils en ligne peuvent être un bon choix pour vérifier les détails de Magento, tels que MageReport, qui peut vous montrer non seulement la version mais aussi des informations sur les failles de sécurité trouvées dans le site Web que vous êtes sur le point d'acheter », a conseillé Palazolo.
Soyez votre propre pare-feu
Bradley a déclaré que les acheteurs en ligne n'ont pas besoin d'être des experts en cybersécurité pour se protéger, mais doivent avoir une mentalité de défense approfondie pour éviter de devenir des victimes.
"La cybersécurité est comme un oignon [composé] de plusieurs couches. Il est important de définir votre périmètre et de mettre en œuvre des mesures de sécurité pour vous protéger", a déclaré Bradley. "Commencez par votre banque ou l'émetteur de votre carte de crédit. Activez toutes les alertes que vous pouvez, au point où c'est ennuyeux, et vous devez revenir en arrière et composer le numéro."
Il suggère également d'activer l'authentification multifacteur dans la mesure du possible et déconseille l'utilisation des cartes de débit tout en profitant de la fonction de gel du crédit, qui ne coûte rien et aide à protéger les clients contre les vols d'identité.
Palazolo a déclaré que les utilisateurs devraient utiliser la possibilité de générer des numéros de carte numériques uniques et temporaires pour les achats en ligne. Même si le site Web est infecté, cette option garantira que les détails de la carte volée ne seront d'aucune utilité pour les attaquants.
Les yeux grands ouverts
Erich Kron, un défenseur de la sensibilisation à la sécurité chez KnowBe4, a suggéré aux acheteurs de consulter régulièrement leur carte de crédit et leurs relevés bancaires, en gardant les yeux ouverts pour détecter des frais ou des achats inhabituels.
"Beaucoup trop souvent, les frais sont simplement ajoutés au solde de la carte de crédit sans que la victime ne s'en aperçoive. Même de petits frais, un dollar ou deux à la fois, qui peuvent être utilisés pour confirmer au cybercriminel que la carte est toujours valide, peut être un signe que la carte a été compromise ", a partagé Kron avec Lifewire par e-mail.
"Il est important de définir votre périmètre et de mettre en place des mesures de sécurité pour vous protéger."
Il a également suggéré aux utilisateurs de comprendre les protections offertes par leurs cartes de crédit et de connaître toutes les options qui s'offrent à eux pour signaler rapidement les débits suspects.
Cependant, en fin de compte, il incombe aux propriétaires de sites de commerce électronique de s'assurer qu'ils gèrent un navire sécurisé, a souligné Kunal Modasiya, directeur principal de la gestion des produits chez la société de cybersécurité PerimeterX. Il a déclaré que les actions des consommateurs étant limitées, les propriétaires de sites Web de commerce électronique doivent utiliser des solutions qui offrent une visibilité continue sur les actions qui se déroulent sur leurs sites Web.
"Les entreprises de commerce électronique doivent utiliser une solution de défense en profondeur multicouche qui aide à protéger les informations de compte et d'identité des utilisateurs tout au long de leur parcours numérique."
