Resumo: incidentes notáveis do Magecart
- O padrão simples: Violações de grandes marcas fazem manchetes, mas o padrão por trás delas é simples: um script de terceiros comprometido numa página de checkout, e semanas de skimming silencioso enquanto a transação continua a concluir-se normalmente.
- Semanas de skimming: A British Airways teve cerca de 380.000 transações vítimas de skimming e a campanha contra a Ticketmaster durou meses, e a cside monitoriza todos os scripts em todas as sessões reais de utilizador, para que uma mudança comportamental surja logo na primeira vez que o código age.
- Você é o alvo: Se assume que a sua marca é demasiado grande para ser alvo, é exatamente o perfil que estas campanhas escolhem, por isso coloque monitorização em runtime na página de checkout antes de o próximo script de um fornecedor terceiro se tornar malicioso.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
Os ataques Magecart são ataques de fraude de pagamento no e-commerce em que os hackers injetam secretamente JavaScript malicioso, normalmente comprometendo um script de terceiros confiável, em páginas de checkout, para roubar silenciosamente números de cartão, códigos CVV e moradas enquanto os clientes os digitam. O nome combina "Magento" e "cart" (carrinho), a partir da plataforma originalmente visada, mas hoje abrange todo o skimming do lado do navegador, independentemente do CMS.
De onde vem o termo "Magecart"
Os ataques Magecart são um tipo de ciberataque em que os hackers injetam código JavaScript malicioso, muitas vezes chamado de scripts de "skimming", em sites. Isto pode acontecer em qualquer tipo de site, mas quando falamos de Magecart, trata-se quase sempre de sites de e-commerce, na tentativa de capturar dados de cartões de crédito.
O termo "Magecart" tem origem na combinação de "Magento", uma plataforma de e-commerce open-source popular, com "cart" (carrinho), referindo-se à funcionalidade de carrinho de compras nestes sites. A primeira vaga de ataques visou sites baseados em Magento, o que deu origem ao termo.
Estes tipos de ataques também se enquadram nos termos gerais "ataques do lado do cliente" e "ataques à cadeia de fornecimento web".
Evolução para um termo genérico
Com o tempo, "Magecart" evoluiu de uma referência a um grupo específico de hackers para um termo genérico usado para descrever um estilo mais amplo de ataques:
- À medida que os métodos do grupo Magecart original se mostraram eficazes, outros grupos cibercriminosos adotaram técnicas semelhantes.
- Enquanto os primeiros ataques Magecart se concentravam sobretudo em sites Magento, o âmbito alargou-se significativamente. Os atacantes visam agora uma variedade de sistemas de gestão de conteúdos (CMS) e plataformas de e-commerce, como o WooCommerce, o PrestaShop, o Shopify e sites personalizados.
- Os ataques Magecart modernos exploram frequentemente vulnerabilidades em serviços de terceiros integrados nos sites, como widgets de chat, scripts de análise ou processadores de pagamento. Esta mudança, de visar diretamente plataformas de e-commerce para atacar o ecossistema web mais amplo, é a razão pela qual o termo abrange hoje mais terreno.
- Incidentes de grande visibilidade envolvendo marcas importantes como a British Airways, a Ticketmaster e a Newegg trouxeram atenção mediática significativa aos ataques Magecart. Muitas vezes os artigos mencionam o nome como referência, sem que se trate necessariamente de um ataque "Magecart" no sentido original da palavra.
Em geral, quando alguém menciona Magecart, pense em skimming digital.
Os maiores ataques Magecart até agora
Estes são os ataques Magecart que conhecemos atualmente. É provável que estejam a acontecer muitos mais neste momento. Se descobrirmos ataques adicionais, atualizaremos este artigo.
Classificámo-los de forma ampla com base no número de pessoas impactadas, nas implicações financeiras, na cobertura mediática e nos danos reputacionais.
1. British Airways
Este é frequentemente considerado o maior e mais mediático ataque Magecart. É também o que mais citamos. Em parte, porque comprámos o domínio usado nesse ataque, baways.com (agora seguro), e contámos ali a história completa do ataque.
Embora gostássemos de dizer que tivemos de percorrer esquemas elaborados para o conseguir, limitámo-nos a comprá-lo num registo público. Leia essa história aqui.
Neste ataque, o domínio foi comprado pelos atacantes e inserido num script de terceiros adulterado para se manter sob o radar durante mais tempo. Afinal, BAWAYS soa a um domínio legítimo da British Airways.
Mas noutros casos, domínios expirados ou vendidos que aparecem em scripts de terceiros abrem um caminho direto para explorar muitos sites de uma só vez. Embora não seja um ataque Magecart, o recente ataque Polyfill mostrou-nos por que é importante proteger o seu site contra isto.
O ataque à British Airways (BA) de setembro de 2018 foi um ataque Magecart bastante sofisticado que comprometeu as informações pessoais e financeiras de cerca de 380.000 pessoas. Os hackers exploraram vulnerabilidades no sistema de pagamento online da British Airways, injetando código JavaScript malicioso no site e na aplicação móvel da companhia aérea. Este código foi especificamente concebido para capturar informações de pagamento em tempo real, à medida que os clientes introduziam os seus dados na página de pagamento.
Os dados roubados incluíam nomes, endereços de e-mail e dados completos de cartões de crédito, incluindo códigos CVV, tornando-os altamente valiosos para atividades fraudulentas. E o ataque passou despercebido durante mais de duas semanas, dando aos atacantes tempo suficiente para recolher informações sensíveis dos clientes.
Esta violação teve repercussões significativas para a British Airways, tanto a nível financeiro como reputacional. O Information Commissioner's Office (ICO) do Reino Unido multou a British Airways em 20 milhões de libras (26 milhões de dólares), e a violação também gerou críticas generalizadas às práticas de cibersegurança da companhia.
2. Ticketmaster
Este ataque afetou cerca de 40.000 clientes, mas foi significativo devido ao envolvimento de um prestador de serviços terceiro (a Inbenta).
Mais uma vez, os atacantes injetaram código JavaScript malicioso neste widget de terceiros, o que lhes permitiu desviar os dados de cartões de crédito, nomes, moradas e outras informações sensíveis dos clientes à medida que as transações eram processadas no site da Ticketmaster. O código malicioso manteve-se por detetar durante vários meses, período durante o qual os atacantes recolheram dados valiosos dos clientes.
Como resultado, a Ticketmaster foi criticada por não ter avaliado adequadamente os seus parceiros terceiros e pela demora em detetar e responder à violação.
Em maio de 2024, vivemos um pouco de déjà vu quando surgiram notícias de outro incidente na Ticketmaster com uma semelhança impressionante com a infame violação de dados de 2018.
Este novo incidente foi, de certa forma, semelhante ao primeiro, já que a Ticketmaster confirmou atividade não autorizada num ambiente de base de dados na cloud de terceiros, alegando ter exposto as informações pessoais de mais de 500 milhões de clientes. Aqui está a nossa análise completa desta violação mais recente da Ticketmaster.
3. Newegg
O ataque à Newegg é um daqueles ataques Magecart clássicos de que ainda se fala. Este foi bastante dissimulado e mostrou o quão engenhosos os atacantes podem ser. Também em 2018, os hackers conseguiram introduzir código JavaScript malicioso diretamente na página de checkout do site da Newegg. O objetivo? Como já deve ter adivinhado, fazer skimming a dados de cartões de crédito de clientes durante as suas compras. O ataque também passou despercebido durante mais de um mês, o que deu aos atacantes bastante tempo para recolher uma boa quantidade de dados sensíveis.
O que tornou este ataque particularmente interessante foi a forma como os hackers atuaram. Não atacaram diretamente o site principal da Newegg; em vez disso, imitaram o próprio script de processamento de pagamentos da Newegg, fazendo com que o seu código malicioso se misturasse quase na perfeição. Foi uma jogada inteligente que lhes permitiu passar despercebidos durante tanto tempo. Os dados roubados incluíam nomes, moradas, números de cartões de crédito e códigos CVV.
Embora a resposta da Newegg ao ataque não tenha sido tão rápida quanto alguns esperariam, o incidente colocou certamente em destaque a necessidade de práticas de segurança mais vigilantes, especialmente em torno das páginas de pagamento. É uma das razões pelas quais os requisitos atualizados da PCI DSS 4.0 incluem a proteção de scripts em páginas de pagamento. Vale a pena informar-se sobre isso se os clientes fizerem pagamentos no seu site.
4. Múltiplos sites Magento
Em vez de perseguir um único alvo de peso, os atacantes apostaram na quantidade entre 2020 e 2021, explorando vulnerabilidades em mais de 2.000 sites de e-commerce Magento. A estratégia era simples, mas eficaz: usar falhas conhecidas em instalações Magento desatualizadas para injetar scripts de skimming nas páginas de checkout e capturar dados de cartões de crédito enquanto clientes desprevenidos faziam as suas compras.
O que é fascinante aqui é a pura dimensão deste ataque. Ao explorar uma vulnerabilidade generalizada, os atacantes conseguiram impactar um número massivo de empresas de uma só vez, não apenas um punhado de sites.
Este tipo de ataque é particularmente preocupante para pequenas e médias empresas, que muitas vezes não têm o mesmo nível de segurança que os grandes players. E para quem ainda usava versões mais antigas do Magento, foi um sinal de alerta.
Um dos ataques Magecart mais recentes e maiores relacionados com o Magento aconteceu à Segway em 2022. Os atacantes visaram vulnerabilidades no próprio CMS ou num dos plugins instalados no site da Segway. Após a violação, voltaram a acrescentar JavaScript malicioso. Aqui, o código aparentava ser o aviso de direitos de autor do site, mas era na verdade usado para carregar um favicon externo.
Dentro desse ficheiro favicon, foi colocado um domínio malicioso que carregava código externo para fazer skimming a dados de pagamento de clientes desprevenidos. Leia o nosso artigo completo sobre esse ataque aqui.
5. Volusion
O ataque à Volusion em 2019-2020 é outro exemplo de ataque Magecart que ilustra na perfeição os perigos das vulnerabilidades na cadeia de fornecimento. Desta vez, os atacantes foram atrás da Volusion, um fornecedor de plataforma de e-commerce que suporta milhares de lojas online.
Ao comprometer a própria infraestrutura da Volusion, os hackers conseguiram injetar o seu JavaScript malicioso num ficheiro JavaScript servido a todos os sites que usavam os serviços da Volusion. Não precisaram de visar lojas individuais uma a uma, bastou-lhes entrar através do fornecedor da plataforma para terem acesso às páginas de pagamento de todas essas lojas de uma só vez.
O impacto foi enorme, afetando inúmeras pequenas e médias empresas que dependiam da Volusion para gerir as suas operações de e-commerce. Os clientes que compraram nestas lojas viram os seus dados de cartões de crédito serem alvo de skimming, o que, mais uma vez, incluía nomes, números de cartão, datas de validade e CVVs.
Quando o seu negócio depende de um prestador de serviços, as vulnerabilidades desse prestador tornam-se as suas vulnerabilidades.
O que aprendemos sobre o Magecart até agora
Vejamos alguns temas comuns nestes três maiores ataques Magecart:
- Visam sempre ferramentas de terceiros ativas nos sites (na maioria das vezes, scripts de terceiros).
- Os ataques permanecem sempre por detetar durante algum tempo.
- Têm sempre como alvo sites onde pessoas comuns compram online.
Por isso, se gere um site com estas características, os alarmes deveriam estar a tocar agora mesmo. Pode proteger os seus scripts de terceiros e impedir que estes ataques aconteçam.
Mais ataques Magecart
Vejamos mais alguns ataques Magecart notáveis:
Warner Music Group
O ataque à Warner Music Group em 2020 foi outro ataque notável no estilo Magecart que se prolongou por vários meses, impactando múltiplos sites de e-commerce associados a esta grande editora musical. Os hackers injetaram scripts maliciosos nas páginas de checkout das lojas online da Warner Music, permitindo-lhes fazer skimming a informações de pagamento de clientes que compravam merchandising e produtos digitais.
Sites da Claire's e da Icing
A Claire's, a popular retalhista de acessórios e joalharia, teve um ano difícil em 2020, ao ser vítima não de um, mas de dois ataques Magecart. Depois de ser inicialmente atacada, a empresa pensou ter a situação sob controlo, mas os atacantes conseguiram reinfetar os seus sites pouco depois do primeiro ataque.
American Cancer Society
A violação da American Cancer Society em 2019 foi particularmente marcante, e mostra que nem sequer as organizações sem fins lucrativos estão a salvo de ataques Magecart. Qualquer organização ou site com informações pode ser, e será, alvo.
Os atacantes injetaram código JavaScript malicioso na página de doações do site da organização, com o objetivo de roubar informações de cartões de crédito dos doadores.
Macy's
Os atacantes conseguiram comprometer o sistema de pagamento online da cadeia americana de grandes armazéns, injetando código malicioso para roubar informações de pagamento diretamente dos clientes durante o processo de checkout. Embora o número de clientes afetados fosse menor em comparação com alguns dos outros ataques Magecart, o timing foi particularmente impactante, uma vez que ocorreu durante um período de vendas significativo, precisamente quando os compradores acorriam ao site em busca de promoções.
Regal Cinemas
O ataque Magecart à Regal Cinemas em 2022 trouxe de volta as atenções para o setor do entretenimento, que, até então, não estava normalmente associado a este tipo de violações. Os atacantes visaram a plataforma de venda de bilhetes online da Regal, incorporando scripts maliciosos para capturar informações de pagamento de clientes que compravam bilhetes. Bastante semelhante ao ataque à Ticketmaster.
NutriBullet
A NutriBullet, famosa pelas suas liquidificadoras e utensílios de cozinha, entrou na lista de vítimas do Magecart no início de 2021. Os hackers injetaram JavaScript malicioso na página de checkout do site da NutriBullet, fazendo skimming a dados de cartões de crédito de clientes durante várias semanas.
Chinavasion
A Chinavasion, uma conhecida plataforma chinesa de e-commerce especializada em eletrónica, foi atingida por um ataque Magecart em 2023. Este incidente também visou as páginas de checkout para capturar dados de pagamento de clientes internacionais. Embora a violação não fosse tão grande quanto algumas das outras nesta lista, foi significativa devido à ampla base de clientes da Chinavasion, distribuída por vários países.
Dick's Sporting Goods
Em 2023, a Dick's Sporting Goods entrou na lista de vítimas do Magecart, depois de os atacantes conseguirem injetar scripts maliciosos na sua página de pagamento. A violação impactou um grande número de clientes, mas a escala e as consequências financeiras foram relativamente menos graves em comparação com alguns dos ataques mais extensos desta lista.
Marriott Hotels
A Marriott Hotels acrescentou mais um capítulo ao seu histórico problemático de violações de dados em 2023, quando o seu sistema de reservas online foi visado por atacantes Magecart. Os hackers injetaram scripts de skimming para roubar informações de cartões de crédito de clientes que reservavam quartos online.
Há uma certa preocupação crescente com este tipo de ataques a visarem sites da indústria hoteleira e de lazer. O tempo dirá se surgirão mais ocorrências deste tipo neste setor.
Aqui falámos sobre ataques do lado do cliente especificamente na indústria hoteleira.
2024: CosmicSting e a vaga de exploits de plataforma
Em junho de 2024, foi documentada a CVE-2024-34102, uma vulnerabilidade XXE (entidade externa XML) crítica e não autenticada no Adobe Commerce e no Magento Open Source 2.4.7 e anteriores, publicamente denominada CosmicSting pela Sansec. É uma leitura arbitrária de ficheiros do servidor e não uma execução remota de código por si só: para chegar à execução de código era preciso encadeá-la com a CVE-2024-2961 na biblioteca iconv da glibc. A leitura de ficheiros já bastava. Ao contrário da abordagem clássica de comprometimento de scripts de terceiros na cadeia de fornecimento, esta vulnerabilidade permitia aos atacantes retirar a chave secreta da aplicação diretamente da configuração do servidor, gerar tokens de administrador válidos e injetar skimmers nos modelos de páginas de checkout sem tocar em qualquer CDN externo. A Sansec registou múltiplos grupos ligados ao Magecart a explorar a falha simultaneamente enquanto as lojas corriam para aplicar os patches.
A cside documentou uma vítima identificada enquanto a campanha ainda decorria: Carlsberg, alvo de um ataque de malware CosmicSting no Magento, onde uma única linha de JavaScript injetada apresentava uma caixa de pagamento falsa antes do checkout real e enviava os dados do cartão diretamente para o atacante.
A vaga CosmicSting marcou uma mudança: o modelo da página de checkout tornou-se a superfície de ataque em vez de um script de terceiros carregado nela. O resultado para o comprador é idêntico: número de cartão, data de validade e CVV capturados no navegador no momento da introdução. O allowlisting padrão de scripts de terceiros não teria travado este vetor. Apenas a monitorização do que os scripts executam realmente em sessões de utilizadores reais deteta ambas as abordagens.
Carteiras digitais e exchanges de criptomoedas
De 2022 a 2024, os atacantes Magecart viraram o seu foco para carteiras digitais e exchanges de criptomoedas. Ao injetar scripts maliciosos em carteiras web e plataformas de exchange, conseguiram desviar tanto dados de cartões de crédito como ativos digitais, como criptomoedas.
Durante a nossa fase beta, várias empresas de criptomoedas e exchanges contactaram-nos para trabalhar em conjunto numa versão inicial de um âmbito de produto alargado para proteger os seus sites. É uma preocupação real neste setor.
Aqui está a história do ataque event-stream à Copay, que também aconteceu no espaço cripto. O código malicioso executava rotinas que procuravam e extraíam chaves privadas e dados de carteiras de contas que detinham quantidades substanciais de Bitcoin e Bitcoin Cash. Esses dados eram depois transmitidos para um servidor remoto controlado pelos atacantes.
Algumas menções finais:
- Soccer[.]com
- Shopify
- Olympus
- Tupperware
- Fujifilm
- Boom! Mobile
- Procter & Gamble
- Smith & Wesson
- Puma
- Crucial (Micron)
- Elekta
Como proteger o seu site contra ataques Magecart
Cada ataque nesta lista segue a mesma estrutura: um script de terceiros é carregado numa página de checkout, altera o seu comportamento algum tempo após a implementação, e exfiltra silenciosamente dados de cartão até alguém se aperceber. Três controlos fecham essa lacuna.
1. Monitorização de scripts no navegador em tempo real
As defesas de camada de rede e os scanners do lado do servidor veem um script uma única vez, no momento em que o descarregam. Os payloads do Magecart são projetados precisamente para contornar isso: apresentam código limpo aos crawlers e ativam-se apenas para user agents, geografias ou janelas temporais específicas. A única forma de detetar um skimmer é observar o que os scripts realmente fazem em sessões reais de utilizadores.
cside funciona como um único snippet de JavaScript first-party nas suas páginas de checkout, sem alterações de DNS nem reencaminhamento do seu tráfego. Monitoriza cada script de terceiros que é executado em navegadores reais e deteta alterações de comportamento logo que estas ocorrem, incluindo payloads condicionais que só se ativam em condições específicas.
2. PCI DSS 6.4.3 e 11.6.1
Os requisitos atualizados do PCI DSS 4.0.1 (em vigor desde abril de 2025) impõem um mecanismo para detetar e alertar sobre alterações não autorizadas nos scripts das páginas de pagamento (§6.4.3) e sobre manipulação de cabeçalhos HTTP e conteúdo da página de pagamento (§11.6.1). Estes requisitos existem precisamente por causa de ataques como os descritos acima. A monitorização contínua da integridade dos scripts é agora uma obrigação de conformidade para todos os comerciantes que aceitam pagamentos com cartão online. Veja como a cside mapeia para o PCI DSS §6.4.3.
3. Content Security Policy e lista de permissões de scripts
Uma lista de permissões Content-Security-Policy: script-src impede que os navegadores carreguem scripts de domínios não explicitamente aprovados. Combine-a com um inventário atualizado de cada fornecedor de scripts no seu fluxo de checkout. A CSP sozinha não é suficiente (a injeção inline, o comprometimento de domínios confiáveis e os contornos de nonce continuam a ser riscos), mas aumenta significativamente o custo para o atacante e é um controlo de base do PCI DSS.
Comece e proteja as suas páginas de checkout gratuitamente, ou visite a página de comparação para ver como a cside se posiciona face a outras ferramentas de segurança do lado do cliente.
