चेकआउट में बदलावों की निगरानी कैसे करें: क्या देखें और कब

चेकआउट में बदलावों की निगरानी का मतलब है समय रहते यह जानना कि भुगतान पेज पर कोई चीज़ उस तरह काम करने लगी है जिसकी स्टोर ने इजाज़त नहीं दी। इसमें सर्वर की फ़ाइलें, पेज द्वारा लोड की जाने वाली स्क्रिप्ट, सुरक्षा हेडर और सबसे बढ़कर खरीदार की स्क्रीन पर दिखने वाली चीज़ें शामिल हैं। हर परत के लिए अलग तरीका चाहिए, और कोई भी तरीका चारों को नहीं देखता।

सिर्फ़ साइट नहीं, भुगतान पेज की निगरानी क्यों

चेकआउट अकेला पेज है जहाँ हमला उसी पल पैसे में बदल जाता है। कार्ड कॉपी करने वाले या Pix (ब्राज़ील के केंद्रीय बैंक Banco Central do Brasil की तत्काल भुगतान प्रणाली) का QR बदलने वाले कोड को सिर्फ़ वहीं काम करना होता है, इसलिए वह बाकी साइट पर आम तौर पर बंद रहता है। सितंबर 2026 में ऐसे कोड से प्रभावित ब्राज़ीलियाई स्टोर को किसी भी तकनीकी अलर्ट से पहले एक कारोबारी लक्षण दिखा: Pix में खरीद छोड़ने वालों की बढ़ोतरी।

भुगतान पेज की निगरानी एक अनिवार्यता भी है। 31 मार्च 2025 से PCI DSS की आवश्यकता 11.6.1 ऐसी व्यवस्था माँगती है जो पेज की सामग्री और सुरक्षा हेडर में अनधिकृत बदलावों को पकड़े, और जाँच कम से कम हर हफ़्ते हो या उस आवृत्ति पर जो कंपनी अपने जोखिम विश्लेषण से तय करे।

किस पर नज़र रखें: चार परतें

1. सर्वर की फ़ाइलें

प्लेटफ़ॉर्म, थीम और प्लगइन की फ़ाइलें। किसी तय पब्लिश के बाहर हुआ बदलाव सेंधमारी का सबसे क्लासिक संकेत है।

यह परत क्या नहीं देखती: वह कोड जो किसी बाहरी पते से आता है और सिर्फ़ ब्राउज़र में मौजूद होता है।

2. पेज द्वारा लोड की गई स्क्रिप्ट

भुगतान पेज जो कुछ भी खींचता है उसकी सूची: अपनी फ़ाइलें, एनालिटिक्स टूल, चैट, विज्ञापन पिक्सेल, भुगतान प्रदाता की स्क्रिप्ट। यही वह सूची है जो PCI DSS की आवश्यकता 6.4.3 माँगती है, हर चीज़ के ज़िम्मेदार, कारण और अखंडता की गारंटी के साथ।

यह परत क्या नहीं देखती: कोई पहले से मंज़ूर स्क्रिप्ट जो नाम बदले बिना अपना व्यवहार बदल ले, या ग्राहक के ब्राउज़र में कोई एक्सटेंशन।

3. सुरक्षा हेडर

वे निर्देश जो सर्वर पेज के साथ ब्राउज़र को भेजता है, जैसे वह नीति जो तय करती है कि स्क्रिप्ट कहाँ से लोड हो सकती हैं और डेटा कहाँ भेजा जा सकता है। अगर कोई इस नीति को ढीला कर दे, तो कोई फ़ाइल बदले बिना दरवाज़ा खुला रह जाता है।

यह परत क्या नहीं देखती: ऐसा हमला जो पहले से मंज़ूर सेवा का इस्तेमाल करे। जून 2026 में शोधकर्ताओं ने कार्ड डेटा चुराने वाले एक कोड के बारे में बताया जो एक जानी-मानी भुगतान सेवा को सहारे की तरह इस्तेमाल करता था, ठीक इसलिए कि उस पर भरोसा करने वाली नीतियों से बच निकले।

4. ग्राहक की स्क्रीन पर क्या दिखता है

Pix का QR, Pix Copia e Cola (भुगतान का टेक्स्ट कोड, जिसे ग्राहक कॉपी करके अपने बैंक ऐप में पेस्ट करता है) का टेक्स्ट, बोलेटो (boleto, ब्राज़ील की बैंक भुगतान पर्ची) का भुगतान नंबर (linha digitável), वॉलेट का पता, क्रेडिट कार्ड और डेबिट कार्ड लेने वाला फ़ॉर्म, और यह कि वह फ़ॉर्म डेटा कहाँ भेजता है। ठगी यहीं होती है और यहीं पूरी तरह दिखती है।

इस परत के लिए क्या चाहिए: स्क्रीन पर जो है उसकी तुलना स्टोर द्वारा जारी चीज़ से करना, सिर्फ़ यह दर्ज करना नहीं कि कुछ बदला।

कितनी बार

कोई एक आवृत्ति नहीं है। व्यावहारिक नियम है: हर परत के लिए अलग आवृत्ति तय करें।

• सर्वर की फ़ाइलें: हर पब्लिश पर और रोज़, पब्लिश के बाहर हुए बदलाव पर तुरंत अलर्ट के साथ।
• स्क्रिप्ट और हेडर: लगातार, कम से कम हर हफ़्ते इंसानी समीक्षा के साथ, जो 11.6.1 का न्यूनतम है।
• ग्राहक की स्क्रीन: भुगतान पेज के हर लोड पर। मंगलवार सुबह 10 बजे बदले गए QR पर 10 बजकर 1 मिनट तक पैसा आ चुका होता है।

तरीके और हर एक क्या देखता है

• सर्वर पर फ़ाइलों की निगरानी। उन सेंधमारियों के लिए अच्छी जो स्टोर का कोड छेड़ती हैं। ब्राउज़र में तैयार होने वाली चीज़ों के लिए अंधी।
• बॉट से बाहरी स्कैन। एक बॉट समय-समय पर चेकआउट खोलता है और दर्ज करता है कि पेज क्या लोड करता है। सूची बनाने में मदद करता है, लेकिन सिर्फ़ बॉट का सेशन देखता है, और दुर्भावनापूर्ण कोड स्वचालित लगने वाले विज़िटर के साथ अलग बर्ताव कर सकता है।
• सुरक्षा नीति पर ब्राउज़र की रिपोर्ट। ग्राहक का ब्राउज़र बताता है कि किसी चीज़ ने गलत जगह से लोड होने की कोशिश की। यह रोकी गई कोशिशें दिखाती है, किसी मंज़ूर पते से निकल गई चीज़ नहीं।
• पेज पर ही निगरानी स्क्रिप्ट। असली ग्राहक के ब्राउज़र में चलती है और देखती है कि पेज ने खुलने के बाद सच में क्या लोड किया और क्या बदला।
• भुगतान डेटा की जाँच। पिछले तरीके से एक कदम आगे: यह देखने के साथ कि QR बदला है, उसकी तुलना स्टोर द्वारा जारी QR से करती है और मेल न खाने पर रोक देती है।

पहले तीन तरीके कहते हैं “कुछ बदला है”। सिर्फ़ आख़िरी कहता है “ग्राहक गलत व्यक्ति को भुगतान करने वाला है”।

ऐसे अलर्ट कैसे बनाएँ जिन पर कोई कार्रवाई करे

1. तय करें कि क्या मंज़ूर है। स्क्रिप्ट और अपेक्षित गंतव्यों की सूची के बिना हर अलर्ट शोर है।
2. ज़रूरी को रोज़मर्रा से अलग करें। भुगतान पेज पर नई स्क्रिप्ट और मेल न खाता QR ज़रूरी हैं। किसी एनालिटिक्स टूल का वर्ज़न बदलना रोज़मर्रा की बात है, जिसे हफ़्ते की समीक्षा में देखा जा सकता है।
3. ज़रूरी अलर्ट उसे भेजें जो कार्रवाई कर सके। ऑन-कॉल वाला चैनल, कोई ई-मेल इनबॉक्स नहीं।
4. तकनीकी और कारोबारी संकेत मिलाएँ। पेंडिंग Pix की दर, चेकआउट पर खरीद छोड़ना और बिना ऑर्डर वाले भुगतान की शिकायतें उतनी ही मायने रखती हैं जितना फ़ाइल का अलर्ट।
5. सबूत संभालकर रखें। तारीख, पेज, क्या बदला और किसने मंज़ूरी दी। PCI DSS ऑडिटर यही माँगता है, और ग्राहक को घटना समझाते समय यही काम आता है।

झटपट चेकलिस्ट

• भुगतान पेज की स्क्रिप्ट की सूची, ज़िम्मेदार और कारण के साथ।
• पब्लिश के बाहर बदली गई फ़ाइल पर अलर्ट।
• कंटेंट सिक्योरिटी पॉलिसी, रिपोर्टिंग चालू के साथ।
• असली ग्राहक के ब्राउज़र में निगरानी, सिर्फ़ बॉट से नहीं।
• QR, Copia e Cola, बोलेटो के भुगतान नंबर और कार्ड फ़ॉर्म की उससे जाँच जो स्टोर ने जारी किया।
• पेंडिंग Pix की दर वाला रोज़ का डैशबोर्ड।
• हर मंज़ूर बदलाव और हर निपटाए गए अलर्ट का रिकॉर्ड।

इस निगरानी से रुकने वाले हमलों का संदर्भ जानने के लिए पढ़ें Magecart क्या है और ई-कॉमर्स को कैसे बचाएँ।

Proteside कहाँ काम आता है

Proteside खरीदार के ब्राउज़र में दूसरी और चौथी परत संभालता है: भुगतान पेज की स्क्रिप्ट की सूची रखता है और हर ऑर्डर में जाँचता है कि QR, Copia e Cola, बोलेटो का भुगतान नंबर और कार्ड फ़ॉर्म वही हैं जो स्टोर ने जारी किए थे। अगर नहीं हैं, तो पुष्टि से पहले बदलाव रोकता है, स्टोर को सूचना देता है और मामले को PCI DSS के सबूत के रूप में दर्ज करता है। देखें यह कैसे काम करता है।