Magecart: ما هو وكيف تحمي متجرك الإلكتروني، من البطاقة إلى Pix

Magecart اسم يُطلق على الهجمات التي تضع شيفرة خبيثة في صفحة الدفع بمتجر إلكتروني شرعي لتحويل ما يكتبه العميل أو يدفعه. لسنوات كان الهدف رقم البطاقة. وفي سبتمبر 2026، كشفت حملة في البرازيل أن النوع نفسه من الشيفرات صار يستبدل رمز QR الخاص بـ Pix (نظام المدفوعات الفورية التابع للبنك المركزي البرازيلي). يبقى المتجر يعمل، بالعلامة التجارية الصحيحة والسعر الصحيح، ولا يرى العميل أي خلل.

من أين جاء الاسم

يجمع الاسم بين Mage، من Magento، وcart، أي عربة التسوق بالإنجليزية. بدأ الباحثون استخدامه في منتصف العقد الماضي للإشارة إلى المجموعات التي كانت تهاجم عربات التسوق في هذه المنصة. ومع الوقت، صار المصطلح يدل على الأسلوب نفسه، على أي منصة تجارة إلكترونية، سواء في متجر يديره صاحبه أو في خدمة من طرف ثالث.

ما يحدد هجوم Magecart ليس الأداة المستخدمة، بل المكان: الصفحة التي يحدد فيها العميل طريقة الدفع.

كيف يعمل هجوم Magecart

1. الدخول. تصل الشيفرة عبر ثغرة غير مُصلحة في المنصة، أو إضافة أو قالب فيه ثغرة، أو كلمة مرور مسرّبة للوحة التحكم، أو سكربت مخترق من طرف ثالث. في يونيو 2024، بدأت خدمة سكربتات واحدة يستخدمها أكثر من 100 ألف موقع بتوزيع شيفرة خبيثة بعد أن تغيّر مالكها.
2. التمويه. يتكون المقطع عادة من أسطر قليلة مموّهة، ويختبئ داخل ملف شرعي أو صورة أو خدمة يعدّها المتجر موثوقة. في أبريل 2026، عثر باحثون على الشيفرة مخبأة في صورة غير مرئية في نحو 100 متجر. وفي يونيو، كانت عائلة أخرى تخزّن الشيفرة والبيانات المسروقة داخل خدمة دفع معروفة، حتى تبدو حركة البيانات طبيعية.
3. العمل في صفحة الدفع فقط. تبقى الشيفرة ساكنة في الصفحات الأخرى. وعندما يصل العميل إلى الدفع، تقرأ حقول بطاقة الائتمان أو بطاقة الخصم، أو تستبدل رمز QR، أو رمز Pix Copia e Cola (رمز الدفع النصي الذي ينسخه العميل ويلصقه في تطبيق البنك)، أو رقم الدفع (linha digitável) في boleto (القسيمة المصرفية البرازيلية).
4. الخروج. في البطاقة، تذهب البيانات إلى خادم المهاجم وتُستخدم لاحقًا. وفي Pix، يرسل العميل نفسه المال إلى الحساب الخطأ، في اللحظة نفسها.

الحالات التي رسمت ملامح المشكلة

• British Airways، 2018. سكربت معدَّل في الموقع والتطبيق نسخ بيانات الدفع لنحو أسبوعين. أحصت الهيئة البريطانية لحماية البيانات 429,612 شخصًا متضررًا، وفرضت غرامة قدرها 20 مليون جنيه إسترليني في أكتوبر 2020.
• Europol، 2023. عملية نسّقتها Europol أبلغت مئات المتاجر الإلكترونية في عدة دول بأن في صفحات الدفع لديها شيفرة نشطة لسرقة بيانات البطاقات، ومعظمها لم يكن يعلم.
• 2026. تُظهر أبحاث هذا العام أن الشيفرة تنتقل إلى أماكن لا تنظر إليها الدفاعات المعتادة: داخل الصور وداخل خدمات دفع شرعية، حيث نادرًا ما يبحث المتجر.
• البرازيل، سبتمبر 2026. حدّد الباحث المستقل المعروف باسم eremit4، وأكدت Kaspersky، 90 متجرًا صغيرًا ومتوسطًا فيها شيفرة تستبدل رمز QR ورمز Pix Copia e Cola في صفحة الدفع. وعندما يختار العميل البطاقة، كانت الشيفرة نفسها تنسخ البيانات. وسمّى الباحث الحالة «Magecart البرازيلي الجديد». نشرح هذه الحالة بالتفصيل في Magecart في Pix.

لماذا يتأخر المتجر في الملاحظة

في البطاقة، تُعتمد عملية البيع ويدخل المال. يظهر الضرر بعد أسابيع، في كشف حساب العميل، ولا يصل البنك المُصدر إلى أن جميع المتضررين اشتروا من المتجر نفسه إلا عندما يقارن عدة حالات.

في Pix، لا يدخل البيع أصلًا. تعرض لوحة التحكم طلبًا معلقًا أو متروكًا، وتصل الشكوى بعد أيام، عندما لا يُشحن المنتج. وقد أفاد تجار تضرروا في 2026 بأنهم لاحظوا أولًا زيادة في حالات التخلي عن الشراء، قبل أن يفهموا ما يحدث.

في كل الحالات، قد يبدو الخادم نظيفًا. إذا كانت الشيفرة تأتي من الخارج أو تُركَّب في المتصفح، فلن تتغير نسخة ملفات المتجر. ما يتغير هو ما يراه العميل.

ما الذي يطلبه PCI DSS

منذ 31 مارس 2025، أصبح المتطلبان 6.4.3 و11.6.1 من PCI DSS إلزاميين لكل من يقبل البطاقات عبر الإنترنت. يطلب 6.4.3 حصرًا لسكربتات صفحة الدفع، مع مبرر وضمان لسلامة كل منها. ويطلب 11.6.1 آلية تكشف التغييرات غير المصرّح بها في الصفحة وفي ترويسات الأمان، مع فحص أسبوعي على الأقل.

كُتب المتطلبان بسبب Magecart في البطاقات. ولا يتحدثان عن Pix ولا عن boleto، مع أن الشيفرة التي تستبدل رمز QR تعمل في الصفحة نفسها وتدخل من الطريق نفسه.

كيف تحمي متجرك الإلكتروني من Magecart

1. أغلق منافذ الدخول. حدّث المنصة والقالب والإضافات، واحذف ما لا تستخدمه. معظم الحملات تستغل ثغرات معروفة صدرت لها إصلاحات.
2. احمِ لوحة التحكم. المصادقة الثنائية لجميع المديرين، ومراجعة الحسابات التي لديها صلاحية الدخول، وتغيير كلمات مرور عمليات الربط مع الخدمات الأخرى.
3. قلّل ما يعمل في صفحة الدفع. كل سكربت في صفحة الدفع يحتاج إلى مسؤول وسبب. نادرًا ما تحتاج أدوات الدردشة وخرائط الحرارة وبكسلات الإعلانات إلى أن تكون هناك.
4. فضّل حقول البطاقة التي يستضيفها مزوّد الدفع. فهي تقلل خطر النسخ المباشر، لكن الصفحة المحيطة بها قد تعرض نموذجًا مزيفًا.
5. حدّد الوجهات التي يمكن للصفحة أن ترسل إليها البيانات. سياسة أمان المحتوى المضبوطة جيدًا تعرقل الإرسال إلى خوادم مجهولة. لكنها لا تفيد عندما يستخدم المهاجم خدمة سمح بها المتجر من قبل.
6. راقب الصفحة كما يراها العميل. قد يكون الملف على الخادم سليمًا والشاشة خاطئة. اقرأ كيف تراقب التغييرات في صفحة الدفع.
7. تحقق من رمز الدفع المعروض. في Pix وفي boleto وفي محفظة العملات المستقرة، قارن ما تعرضه الشاشة بما أصدره المتجر، قبل أن يدفع العميل.
8. ضع خطة ليوم الحادث. من يوقف وسيلة الدفع المتضررة، ومن يتواصل مع المزوّد، وكيف يُبلَّغ العملاء، وكيف تُحفظ الأدلة.

علامات على أن المتجر ربما تعرّض للهجوم

• زيادة دفعات Pix المعلقة، من دون انخفاض مماثل في زيارات صفحة الدفع.
• عملاء يقولون إنهم دفعوا ولم يُعتمد الطلب، ومعهم إيصال باسم شركة أخرى.
• تنبيه من مزوّد الدفع أو من البنك المحصِّل بشأن بطاقات استُخدمت في احتيال بعد الشراء من المتجر.
• ملفات تغيّرت من دون أن ينشر أحد شيئًا، أو مدير لا يعرفه أحد.
• صفحة الدفع ترسل بيانات إلى نطاقات لا يعرفها الفريق.

إذا ظهرت علامتان من هذه العلامات معًا، فتعامل مع الأمر كحادث أمني إلى أن يثبت العكس.

أين يأتي دور Proteside

Proteside طبقة أمن سيبراني تتحقق، على شاشة الدافع، من أن بيانات الدفع هي التي أصدرها البائع، وتمنع الاستبدال قبل التأكيد. يُعد حصر السكربتات الذي يطلبه PCI DSS ويتجاوزه: يقارن رمز QR ورمز Copia e Cola ورقم الدفع ونموذج البطاقة بما أصدره المتجر، في كل طلب، ويسجّل كل محاولة كدليل. اطّلع على طريقة عمله مع بطاقة الائتمان ومع الامتثال لمعيار PCI DSS.