Protecao contra eskimming para checkouts e formularios de pagamento
JavaScript malicioso rouba dados de cartao diretamente do navegador, antes que seu servidor processe a transacao. cside monitora cada script em sessoes reais de usuarios e bloqueia skimmers antes que eles atuem.
Monitor de pagina de pagamento
Cobertura em sessoes reais do navegador
O que e eskimming?
Eskimming e um ataque em que JavaScript malicioso e injetado no checkout ou em uma pagina de pagamento para roubar dados de cartao enquanto usuarios digitam. O script roda dentro do navegador do cliente e copia numeros de cartao, datas de validade, CVV e dados de cobranca em tempo real.
A transacao termina normalmente. O cliente recebe a confirmacao e o lojista ve um pagamento limpo. Nenhum alerta do lado do servidor dispara. Quando cartoes roubados aparecem em mercados criminosos, o ataque pode estar ativo ha semanas.
Eskimming tambem e chamado de web skimming, digital skimming, formjacking ou ataque Magecart. Os nomes descrevem a mesma ameaca na camada do navegador.
Como um ataque de eskimming chega ao seu checkout
Atacantes nem sempre precisam acessar seu proprio codigo. A rota mais confiavel costuma ser pelos scripts de terceiros que seu site ja confia.
Ataques de cadeia de suprimentos
Um pixel de analytics, biblioteca de teste A/B, tag manager ou script CDN confiavel e comprometido no fornecedor. O script vem de um dominio aprovado, passa pelas regras de CSP e se comporta normalmente ate o navegador chegar ao formulario de pagamento. O ataque Polyfill.io mostrou como uma dependencia JavaScript confiavel pode virar rapidamente uma rota ampla de distribuicao.
Injecao direta
Atacantes exploram uma vulnerabilidade de CMS, um plugin sem patch ou credenciais de admin roubadas por phishing para escrever codigo malicioso em templates ou configuracoes de tag manager. O skimmer e servido como codigo first-party.
Exposicao de quarto nivel
Seus scripts de terceiros carregam suas proprias dependencias. O Web Almanac 2025 encontrou profundidade mediana 3 em cadeias de inclusao de terceiros, criando pontos de injecao que talvez nunca tenham sido auditados.
O ponto cego comum em muitas pilhas de seguranca
Eskimming vive totalmente no navegador, no lado do cliente, durante uma sessao real. E exatamente ai que muitas ferramentas de seguranca corporativa param de enxergar.
WAFs e monitoramento server-side
Um WAF monitora trafego para seus servidores. A exfiltracao de eskimming sai do navegador do cliente direto para um servidor controlado pelo atacante, entao seu WAF nao observa essa conexao. A ISACA explica por que ferramentas do lado do provedor tem visibilidade limitada sobre risco em runtime no cliente web.
Content Security Policy
CSP e valioso, mas aprova dominios, nao o que esses dominios entregam. Um script comprometido vindo de um dominio permitido passa pelo CSP sem aviso.
Scanners externos periodicos
Scanners rodam de infraestrutura conhecida e em agenda previsivel. Atacantes sofisticados podem identificar a origem da requisicao e servir codigo limpo ao scanner enquanto atacam visitantes reais.
Defesa na camada do navegador em sessoes reais
cside combina monitoramento comportamental dentro de sessoes reais com inspecao profunda de scripts na infraestrutura da cside.
Monitoramento comportamental em cada sessao real
Um script leve da cside observa como cada script se comporta no navegador: quais elementos DOM acessa, quais campos le e quais dominios externos contata.
Inspecao profunda de scripts
cside busca conteudos de scripts em sua propria infraestrutura para analise com IA e compara payloads com inteligencia de ameacas coletada em sites monitorados.
Bloqueio antes do impacto
Quando comportamento malicioso e detectado, cside impede que o script complete a acao. O checkout continua e os dados de cartao nao saem do navegador.
Inventario e deteccao de mudancas
cside inventaria scripts continuamente, rastreia alteracoes de payload e alerta quando scripts, dominios ou mudancas em headers HTTP de seguranca aparecem sem autorizacao.
Os requisitos PCI DSS 4.0.1 6.4.3 e 11.6.1 formalizam o que um bom programa contra eskimming ja deveria fazer. O PCI SSC confirma que os requisitos com data futura entraram em vigor em 31 de marco de 2025. O PCI Shield da cside cobre o fluxo do inventario de scripts aos relatorios semanais automatizados.
GDPR 
SOC 2 
PCI DSS Criado para proteger checkouts e apoiar compliance
72,000+ sites foram comprometidos por ataques client-side apenas no Q2 de 2025.
"Uma solucao PCI DSS simples com suporte excepcional."
