Magecart: ano ito at paano protektahan ang e-commerce mo

Magecart ang tawag sa mga atakeng naglalagay ng malicious code sa payment page ng isang lehitimong online store para ilihis ang tina-type o binabayaran ng customer. Sa loob ng maraming taon, card number ang target. Noong Setyembre 2026, isang campaign sa Brazil ang nagpakita ng parehong uri ng code na nagpapalit ng QR ng Pix (ang instant payment system ng Banco Central do Brasil, ang central bank ng Brazil). Online pa rin ang tindahan, tama ang brand at tama ang presyo, at walang napapansing mali ang customer.

Saan galing ang pangalan

Pinagsama ng pangalan ang Mage, mula sa Magento, at cart, mula sa shopping cart. Sinimulan itong gamitin ng mga researcher noong kalagitnaan ng nakaraang dekada para sa mga grupong umaatake sa mga shopping cart ng platform na iyon. Kalaunan, naging tawag na ito sa mismong technique, sa kahit anong e-commerce platform, sariling tindahan man o serbisyo ng third party.

Ang nagtatakda kung Magecart ang atake ay hindi ang tool na ginamit, kundi ang lugar: ang page kung saan sinasabi ng customer kung paano siya magbabayad.

Paano gumagana ang Magecart attack

1. Pagpasok. Dumarating ang code sa pamamagitan ng hindi na-patch na butas sa platform, ng vulnerable na plugin o theme, ng na-leak na password ng panel o ng nakompromisong third-party script. Noong Hunyo 2024, isang script service na ginagamit ng mahigit 100 libong site ang nagsimulang magpadala ng malicious code matapos itong magpalit ng may-ari.
2. Pagbabalatkayo. Kadalasang ilang linya lang ito ng obfuscated code at nakatago sa loob ng lehitimong file, ng isang larawan o ng serbisyong itinuturing nang mapagkakatiwalaan ng tindahan. Noong Abril 2026, natagpuan ng mga researcher ang code na nakatago sa isang invisible na larawan sa humigit-kumulang 100 tindahan. Noong Hunyo, isa pang pamilya ng code ang nag-imbak ng code at ng ninakaw na data sa loob ng isang kilalang payment service, para magmukhang normal ang traffic.
3. Kumikilos lang sa checkout. Tahimik ang code sa ibang page. Pagdating ng customer sa bayaran, binabasa nito ang mga field ng credit card o ng debit card, o pinapalitan ang QR, ang Pix Copia e Cola (ang payment code na text na kinokopya ng customer at idinidikit sa app ng bangko) o ang linha digitável (ang numero ng boleto) ng boleto (ang Brazilian na bank payment slip).
4. Paglabas. Sa card, napupunta ang data sa server ng attacker at ginagamit sa ibang araw. Sa Pix, ang customer mismo ang nagpapadala ng pera sa maling account, agad-agad.

Ang mga kasong humubog sa problema

• British Airways, 2018. Isang binagong script sa website at sa app ang kumopya ng payment data sa loob ng humigit-kumulang dalawang linggo. Binilang ng data protection authority ng UK ang 429,612 apektadong tao at nagpataw ito ng multang 20 milyong pound noong Oktubre 2020.
• Europol, 2023. Isang operasyong pinangunahan ng Europol ang nag-abiso sa daan-daang online store sa iba't ibang bansa na may aktibong code na nagnanakaw ng card data sa kanilang payment page, at karamihan sa kanila ay walang kaalam-alam.
• 2026. Ipinapakita ng mga pananaliksik ngayong taon na lumilipat ang code sa mga lugar na hindi binabantayan ng karaniwang depensa: sa loob ng mga larawan at ng mga lehitimong payment service, kung saan bihirang maghanap ang tindahan.
• Brazil, Setyembre 2026. Natukoy ng independent researcher na kilala bilang eremit4, at kinumpirma ng Kaspersky, ang 90 maliliit at katamtamang laking tindahan na may code na nagpapalit ng QR at ng Pix Copia e Cola sa checkout. Kapag card ang pinili ng customer, kinokopya ng parehong code ang data. Tinawag ito ng researcher na "ang bagong magecart ng Brazil". Dinetalye namin ang kasong ito sa Magecart sa Pix.

Bakit natatagalan bago ito mapansin ng tindahan

Sa card, aprubado ang benta at pumapasok ang pera. Lumalabas ang pinsala makalipas ang ilang linggo, sa billing statement ng customer, at kapag pinagtugma lang ng issuing bank ang maraming kaso saka nito nalalaman na lahat sila ay bumili sa iisang tindahan.

Sa Pix, hindi na lang pumapasok ang benta. Pending o abandoned na order ang nakikita sa panel, at dumarating ang reklamo makalipas ang ilang araw, kapag hindi naipadala ang produkto. Ang mga merchant na tinamaan noong 2026 ay unang nakapansin ng pagdami ng mga hindi itinuloy na order, bago nila naintindihan ang nangyayari.

Sa lahat ng kaso, maaaring mukhang malinis ang server. Kung galing sa labas ang code o binubuo ito sa browser, hindi nagbabago ang kopya ng mga file ng tindahan. Ang nagbabago ay ang nakikita ng customer.

Ano ang hinihingi ng PCI DSS

Mula 31 Marso 2025, mandatory na ang mga requirement 6.4.3 at 11.6.1 ng PCI DSS para sa mga tumatanggap ng card online. Hinihingi ng 6.4.3 ang inventory ng mga script sa payment page, na may justification at garantiya ng integridad ng bawat isa. Hinihingi ng 11.6.1 ang mekanismong nakaka-detect ng hindi awtorisadong pagbabago sa page at sa mga security header, na sinusuri nang hindi bababa sa isang beses kada linggo.

Isinulat ang dalawa dahil sa Magecart sa card. Hindi nila binabanggit ang Pix o ang boleto, kahit tumatakbo ang code na nagpapalit ng QR sa parehong page at sa parehong daan. Tingnan ang pagsunod sa PCI DSS.

Paano protektahan ang e-commerce laban sa Magecart

1. Isara ang mga daanan. I-update ang platform, theme at plugins, at alisin ang hindi ginagamit. Karamihan sa mga campaign ay sinasamantala ang mga kilalang butas na may patch na.
2. Protektahan ang panel. Two-factor authentication para sa lahat ng admin, pagsusuri sa mga account na may access at pagpapalit ng mga password ng integrations.
3. Bawasan ang tumatakbo sa checkout. Bawat script sa payment page ay kailangang may may-ari at may dahilan. Bihirang kailangan doon ang chat, heatmap at ad pixel.
4. Piliin ang mga card field na naka-host sa provider. Binabawasan nito ang panganib ng direktang pagkopya, pero ang page sa paligid ay maaari pa ring magpakita ng pekeng form.
5. Limitahan kung saan maaaring magpadala ng data ang page. Hinahadlangan ng maayos na naka-configure na content security policy ang pagpapadala sa mga hindi kilalang server. Hindi ito nakakatulong kapag gumagamit ang attacker ng serbisyong pinayagan na ng tindahan.
6. I-monitor ang page gaya ng nakikita ng customer. Maaaring tama ang file sa server pero mali ang nasa screen. Basahin ang paano i-monitor ang pagbabago sa checkout.
7. Suriin ang ipinapakitang payment code. Sa Pix, sa boleto at sa stablecoin wallet, ihambing ang ipinapakita ng screen sa inilabas ng tindahan, bago magbayad ang customer.
8. Magkaroon ng plano para sa araw ng insidente. Sino ang magpapatay sa apektadong payment method, sino ang kakausap sa provider, paano aabisuhan ang mga customer at paano itatabi ang ebidensya.

Mga senyales na maaaring natamaan ang tindahan

• Pagdami ng pending na Pix, nang walang katumbas na pagbaba sa bisita sa checkout.
• Mga customer na nagsasabing nagbayad sila pero hindi naaprubahan ang order, na may resibo sa pangalan ng ibang kumpanya.
• Abiso mula sa payment provider o sa acquirer tungkol sa mga card na ginamit sa fraud matapos bumili sa tindahan.
• Mga file na nabago kahit walang nag-publish, o isang admin na walang nakakakilala.
• Payment page na nagpapadala ng data sa mga domain na hindi kilala ng team.

Kung dalawa sa mga senyales na ito ang sabay na lumitaw, ituring itong insidente hangga't hindi napapatunayang hindi.

Saan pumapasok ang Proteside

Ang Proteside ay isang cybersecurity layer na sinusuri, sa screen ng nagbabayad, kung ang payment data ay ang mismong inilabas ng nagbebenta, at hinaharangan ang pagpapalit bago ang kumpirmasyon. Ginagawa nito ang script inventory na hinihingi ng PCI DSS at higit pa: inihahambing nito ang QR, ang Copia e Cola, ang linha digitável at ang card form sa ginawa ng tindahan, sa bawat order, at itinatala ang bawat pagtatangka bilang ebidensya. Tingnan kung paano ito gumagana para sa credit card at para sa pagsunod sa PCI DSS.