Jak hakerzy mogli wykorzystać luki AliExpress
Broda Świętego Mikołaja jest zwykle biała, ma kolor czystości i niewinności. Jednak cyberprzestępcy, którzy atakują kupujących w internecie w okresie poprzedzającym Czarny Piątek i Święta Bożego Narodzenia, mogą próbować wykorzystać tę niewinność.
Badacze z Check Point niedawno odkryli, że przestępcy mają nowy sposób na oszukiwanie kupujących prezenty za pośrednictwem popularnego portalu sprzedażowego AliExpress. Posiadając ponad 100 milionów klientów i 23 miliardów dolarów przychodów na całym świecie, AliExpress, część grupy AliBaba, jest jednym z najpopularniejszych stron dedykowanych zakupom online.
Po wykryciu luki, badacze z firmy Check Point natychmiast poinformowali AliExpress, który ze względu na bardzo poważne podejście do cyberbezpieczeństwa, podjął szybkie działania i naprawił je w ciągu dwóch dni od powiadomienia. Jest to bardzo godne pochwały i stanowi przykład dla innych portali tego typu.
Nowa luka umożliwiała przestępcom namierzanie użytkowników AliExpress, wysyłając im link do strony internetowej AliExpress zawierającej złośliwy kod JavaScript. Po otwarciu strony kod był uruchamiany w przeglądarce użytkownika, tym samym omijając ochronę AliExpress przed atakami z wykorzystaniem skryptów cross-site przy użyciu luki w zabezpieczeniach na stronie internetowej.
Teoretycznie cyberprzestępcy mogli zainicjować ten atak poprzez e-mailową kampanię phishingową, wykorzystując regularną podróż klienta (ang. customer journey) AliExpress, bez sygnalizowania użytkownikowi, że dzieje się coś niezwykłego lub niecodziennego. W związku z tym jest mało prawdopodobne, aby użytkownik w ogóle zauważył cokolwiek podejrzanego.
Atakujący mogli następnie za pomocą okienka pop-up wyświetlić ofertę kuponu na ekranie głównym - działającym pod domeną podrzędną AliExpress - prosząc klientów o podanie danych karty kredytowej, aby umożliwić płynniejsze i bardziej wydajne zakupy.
Atakujący kontrolowali tylko to okno pop-up, zbierając dane dotyczące wszystkich kart kredytowych, które w tym wypadku przesłane zostały bezpośrednio do nich, a nie do witryny zakupowej.
Z ostatnich doniesień wynika, że cyberataki na sprzedawców online podwoiły się od 2016 r., dlatego kupujący powinni mieć świadomość, że broda Świętego Mikołaja nie zawsze jest tak biała, jak się wydaje i zachowywać czujność podczas robienia zakupów online w dowolnym miejscu w tym sezonie świątecznym.
