官網訂機票後,信用卡即遭竊取! 新式數位盜卡集團來了!該如何確保信用卡資料安全？
就像犯罪集團在 ATM 提款機上安裝的盜卡裝置一樣,駭客將一種叫做「Magecart」的惡意程式碼植入目標網站,專門竊取客戶在結帳時所提供的付款資料，只不過是數位版本。更厲害的是，這類程式碼不但強大，而且持卡人完全無法察覺。
過去這一年來 Magecart 駭客集團已證明，沒有任何一個網站可以倖免於這類盜卡攻擊。不論是知名電子商務品牌 (如 Newegg)、國內大型航空公司、全球售票網站 (Ticketmaster)，甚至服務對象遍及美國、加拿大將近 200 所大學的校園網路商店，只要網站接受線上刷卡就存在著風險 。
近年來大約有 17,000 個網站是經由此方式遭到入侵。還有另一波攻擊在短短 24 小時內就入侵了 962 家網路商店。Magecart 還變本加厲開發支援各種結帳網頁的萬用盜卡程式碼們,最高記錄可支援 57 種支付閘道，也就是說駭客可以很輕鬆地利用同一套工具來攻擊全球網站。
七月英國航空 (British Airways) 遭到了航空史上最高的罰鍰，原因是該公司的客戶在其官網訂票之後，信用卡資料便隨即遭到竊取。這筆由英國隱私權監理機構所開出的 2.28 億美元罰款，反映出這起事件的嚴重性，以及該公司未善盡保護客戶個人及金融資訊的責任。不過，這起事件的後續發展並不只侷限於英國航空公司及其客戶。這其實是一波最新的攻擊手法，歹徒專門在電子商務網站上植入「數位盜卡」程式碼來竊取使用者在網站上消費時所輸入的付款資訊。
雖然，數以萬計的網站都曾經發生同樣的情況，但你還是有一些方法可以確保自身的消費安全，最方便的作法就是安裝一套 PC-cillin 雲端版 。不過，有些事情你還是必須預先了解。
🔴 PC-cillin 雲端版30天防毒軟體 》即刻免費下載試用
Magecart 能取得完整的信用卡資料，在地下市場賣得好價錢
本文要探討的這些新式數位盜卡攻擊在於駭客必須將一種叫做「Magecart」的惡意程式碼植入目標企業的網站。此程式碼是專為躲藏在企業內部而設計，因此不易被發現。其目標非常清楚：就是竊取客戶在結帳時所提供的付款資料。簡而言之，此程式碼就像犯罪集團在 ATM 提款機上安裝的盜卡裝置一樣，只不過是數位版本。更厲害的是，這類程式碼不但強大，而且持卡人完全無法察覺。
透過這類程式碼，駭客就能取得完整的卡片資料，因此能在網路犯罪地下市場上賣到更好的價錢。以往這類針對企業後端資料庫的攻擊，歹徒會面臨的一個問題是資料庫內容大多已經過加密，不然就是少了關鍵的 CVV/CV2 驗證碼。但 Magecart 攻擊卻克服了這點。
哪些網站會有危險？只要網站接受線上刷卡就存在著風險!
其實，過去這一年來 Magecart 駭客集團已證明，沒有任何一個網站可以倖免於這類盜卡攻擊。不論是知名電子商務品牌 (如 Newegg)、國內大型航空公司、全球售票網站 (Ticketmaster)，甚至服務對象遍及美國、加拿大將近 200 所大學的校園網路商店，只要網站接受線上刷卡就存在著風險。
Magecart不斷開發新工具和增加獲利
由於 Magecart 真非常好用，因此據說有不少網路犯罪集團都在使用這份由 JavaScript 撰寫的惡意程式碼，全球各地都曾出現網站受害的案例。不僅如此，駭客更不斷開發新的工具和手法來增加獲利，包括：
• 設法感染專門提供程式碼給其他網站使用的廠商 (例如提供網路廣告服務的廠商)。如此一來，駭客只需攻擊一家廠商就能讓 Magecart 程式碼散播到數以千計的結帳網頁。
• 使用自動化工具來掃描網際網路，尋找可能含有漏洞的企業伺服器，讓這些伺服器感染 Magecart。近來大約有 17,000 個網站是經由此方式遭到入侵。還有另一波攻擊在短短 24 小時內就入侵了 962 家網路商店。
• 開發可支援各種結帳網頁的萬用盜卡程式碼。我們曾經看過的最高記錄是支援 57 種支付閘道，這讓駭客可以很輕鬆地利用同一套工具來攻擊全球網站。
這一切，對於網路消費者來說，是不幸的消息。那麼你該如何確保你消費的網站是安全的？
五招遠離數位盜卡集團
很不幸的，感染 Magecart 的網站與正常的網站並無明顯差異。被感染的網站看起來完全正常，你一樣可以正常結帳。唯一的問題是，被感染的網站背後暗藏了一段小小程式碼會將你提供的付款資料偷偷傳給駭客。那麼，你該如何確保自身的安全？
- 避免在一些較小的網站消費，他們的安全措施或許不像大型企業那麼嚴格。但話說回來，我們也看過一些大型品牌和知名企業感染 Magecart 的案例。
- 另一種作法是安裝一個像 NoScript 這樣的 Firefox 附加元件來防止瀏覽器從其他非受信賴的網站載入 JavaScript，儘管這麼做還是防不了你所信賴的知名網站遭到入侵的情況。
- Apple Pay 和 Google Pay 這類支付系統可提供更好的安全防護。這類系統在每次交易時都會產生一個單次使用的序號，因此就算駭客取得該序號，未來也無法使用。
- 隨時留意自己的信用卡帳單和銀行對帳單是否出現一些小額交易，因為這些交易有可能是駭客在測試你的卡片是否有效的跡象。
- 然而，最有效的方法還是安裝一套趨勢科技 PC-cillin 2019 雲端版。
趨勢科技能提供什麼協助?
趨勢科技 PC-cillin 2019 雲端版提供了兩項重要機制來防範 Magecart 攻擊：
- 它可偵測你要瀏覽的網站是否被注入了盜卡程式碼，並且在必要時防止你瀏覽該網站，這就是網站信譽評等機制。此外，它還能封鎖盜卡程式碼對外連線的網域。
- 它結合了多種進階技巧 (如：進階威脅掃瞄引擎與 TrendX-File 機器學習(Machine learning,ML)技術) 來偵測惡意的 JavaScript 程式碼是否已經寫入你本機硬碟並準備在瀏覽器內執行，如此就能從中加以攔截。此機制可偵測 Magecart 以及其他類似的數位盜卡程式碼。
有關 Magecart 的技術細節，請參閱資安趨勢部落格。有關 PC-cillin 的進一步詳情，請參閱趨勢科技的產品介紹網頁。
原文出處：Digital skimmers: What are they and how can I keep my card details safe online
PC-cillin 雲端版30天防毒軟體 》即刻免費下載試用
