Magecart क्या है और ई-कॉमर्स को कैसे बचाएँ, कार्ड से Pix तक

Magecart उन हमलों का नाम है जो किसी असली ऑनलाइन स्टोर के भुगतान पेज पर दुर्भावनापूर्ण कोड डालकर ग्राहक जो टाइप करता है या चुकाता है, उसे दूसरी ओर मोड़ देते हैं। कई सालों तक निशाना कार्ड नंबर था। सितंबर 2026 में ब्राज़ील के एक अभियान ने दिखाया कि इसी तरह का कोड Pix (ब्राज़ील के केंद्रीय बैंक Banco Central do Brasil की तत्काल भुगतान प्रणाली) का QR बदल रहा था। स्टोर चालू रहता है, सही ब्रांड और सही दाम के साथ, और ग्राहक को कुछ भी गलत नहीं दिखता।

नाम कहाँ से आया

यह नाम Mage (Magento से) और cart (अंग्रेज़ी में शॉपिंग कार्ट) को जोड़कर बना है। शोधकर्ताओं ने पिछले दशक के मध्य में इसका इस्तेमाल उन गिरोहों के लिए शुरू किया जो इस प्लेटफ़ॉर्म की शॉपिंग कार्ट पर हमला करते थे। समय के साथ यह शब्द खुद इस तकनीक का नाम बन गया, चाहे ई-कॉमर्स प्लेटफ़ॉर्म कोई भी हो, स्टोर अपना हो या किसी थर्ड-पार्टी सेवा पर।

Magecart हमले की पहचान इस्तेमाल किया गया टूल नहीं, बल्कि जगह है: वह पेज जहाँ ग्राहक बताता है कि वह कैसे भुगतान करेगा।

Magecart हमला कैसे काम करता है

1. घुसपैठ। कोड प्लेटफ़ॉर्म की किसी बिना ठीक की गई खामी से, किसी कमज़ोर प्लगइन या थीम से, पैनल के लीक हुए पासवर्ड से या किसी हैक हुई थर्ड-पार्टी स्क्रिप्ट से आता है। जून 2024 में 1 लाख से ज़्यादा साइटों पर इस्तेमाल होने वाली एक स्क्रिप्ट सेवा ने मालिक बदलने के बाद दुर्भावनापूर्ण कोड देना शुरू कर दिया।
2. छिपाव। यह हिस्सा आम तौर पर कुछ ही उलझाई गई पंक्तियों का होता है और किसी असली फ़ाइल, किसी इमेज या किसी ऐसी सेवा के अंदर रहता है जिसे स्टोर पहले से भरोसेमंद मानता है। अप्रैल 2026 में शोधकर्ताओं को लगभग 100 स्टोर में एक अदृश्य इमेज के अंदर छिपा कोड मिला। जून में एक और परिवार अपना कोड और चुराया गया डेटा एक जानी-मानी भुगतान सेवा के अंदर रखता था, ताकि ट्रैफ़िक सामान्य लगे।
3. सिर्फ़ चेकआउट पर हरकत। बाकी पेजों पर कोड चुप रहता है। जब ग्राहक भुगतान तक पहुँचता है, तो यह क्रेडिट कार्ड या डेबिट कार्ड के फ़ील्ड पढ़ लेता है, या QR, Pix Copia e Cola (भुगतान का टेक्स्ट कोड, जिसे ग्राहक कॉपी करके अपने बैंक ऐप में पेस्ट करता है) या बोलेटो (boleto, ब्राज़ील की बैंक भुगतान पर्ची) का भुगतान नंबर (linha digitável) बदल देता है।
4. निकासी। कार्ड के मामले में डेटा हमलावर के सर्वर पर जाता है और बाद में इस्तेमाल होता है। Pix में ग्राहक खुद, उसी पल, पैसा गलत खाते में भेज देता है।

वे मामले जिन्होंने समस्या को परिभाषित किया

• British Airways, 2018। वेबसाइट और ऐप में बदली गई एक स्क्रिप्ट ने लगभग दो हफ़्ते तक भुगतान डेटा कॉपी किया। ब्रिटेन के डेटा संरक्षण नियामक ने 4,29,612 प्रभावित लोग गिने और अक्टूबर 2020 में 2 करोड़ पाउंड का जुर्माना लगाया।
• Europol, 2023। Europol के समन्वय में चले एक अभियान ने कई देशों के सैकड़ों ऑनलाइन स्टोर को सूचित किया जिनके भुगतान पेज पर कार्ड डेटा चुराने वाला कोड सक्रिय था। ज़्यादातर को इसकी जानकारी नहीं थी।
• 2026। इस साल के शोध दिखाते हैं कि कोड उन जगहों पर जा रहा है जहाँ आम सुरक्षा उपाय नहीं देखते: इमेज के अंदर और असली भुगतान सेवाओं के अंदर, जहाँ स्टोर शायद ही कभी खोजता है।
• ब्राज़ील, सितंबर 2026। eremit4 नाम से जाने जाने वाले स्वतंत्र शोधकर्ता ने, और फिर Kaspersky ने पुष्टि करके, 90 छोटे और मझोले स्टोर पहचाने जिनमें ऐसा कोड था जो चेकआउट पर QR और Pix Copia e Cola बदल देता था। जब ग्राहक कार्ड चुनता था, वही कोड डेटा कॉपी कर लेता था। शोधकर्ता ने इस मामले को “नया ब्राज़ीलियाई magecart” कहा। इस मामले का विस्तार Pix पर Magecart में है।

स्टोर को पता चलने में देर क्यों होती है

कार्ड के मामले में बिक्री मंज़ूर हो जाती है और पैसा आ जाता है। नुकसान हफ़्तों बाद ग्राहक के बिल में दिखता है, और जब कार्ड जारी करने वाला बैंक कई मामलों को आपस में मिलाता है, तभी यह नतीजा निकलता है कि सबने एक ही स्टोर से खरीदा था।

Pix में बिक्री आती ही नहीं। पैनल में ऑर्डर पेंडिंग या छोड़ा हुआ दिखता है, और शिकायत कई दिन बाद आती है, जब सामान नहीं भेजा गया। 2026 में प्रभावित स्टोर मालिकों ने बताया कि असल बात समझने से पहले उन्हें खरीद छोड़ने वालों में बढ़ोतरी दिखी।

हर मामले में सर्वर साफ़ दिख सकता है। अगर कोड बाहर से आता है या ब्राउज़र में तैयार होता है, तो स्टोर की फ़ाइलों की कॉपी नहीं बदलती। बदलता है वह, जो ग्राहक देखता है।

PCI DSS क्या माँगता है

31 मार्च 2025 से, ऑनलाइन कार्ड स्वीकार करने वालों के लिए PCI DSS की आवश्यकताएँ 6.4.3 और 11.6.1 अनिवार्य हैं। 6.4.3 भुगतान पेज की स्क्रिप्ट की एक सूची माँगती है, हर स्क्रिप्ट के कारण और उसकी अखंडता की गारंटी के साथ। 11.6.1 एक ऐसी व्यवस्था माँगती है जो पेज और सुरक्षा हेडर में अनधिकृत बदलावों को पकड़े, और कम से कम हर हफ़्ते जाँच करे।

दोनों कार्ड पर हुए Magecart हमलों की वजह से लिखी गई थीं। वे Pix या बोलेटो की बात नहीं करतीं, जबकि QR बदलने वाला कोड उसी पेज पर और उसी रास्ते से चलता है।

Magecart से ई-कॉमर्स को कैसे बचाएँ

1. घुसपैठ के रास्ते बंद करें। प्लेटफ़ॉर्म, थीम और प्लगइन अपडेट करें, और जो इस्तेमाल नहीं होता उसे हटा दें। ज़्यादातर अभियान जानी-पहचानी और पहले से ठीक की जा चुकी खामियों का फ़ायदा उठाते हैं।
2. पैनल सुरक्षित करें। सभी एडमिन के लिए टू-फ़ैक्टर ऑथेंटिकेशन, एक्सेस वाले खातों की समीक्षा, और इंटीग्रेशन के पासवर्ड बदलना।
3. चेकआउट पर चलने वाली चीज़ें कम करें। भुगतान पेज की हर स्क्रिप्ट का एक ज़िम्मेदार और एक कारण होना चाहिए। चैट, हीटमैप और विज्ञापन पिक्सेल की वहाँ शायद ही कभी ज़रूरत होती है।
4. प्रदाता द्वारा होस्ट किए गए कार्ड फ़ील्ड चुनें। ये सीधे कॉपी होने का जोखिम कम करते हैं, लेकिन आसपास का पेज अब भी एक नकली फ़ॉर्म दिखा सकता है।
5. तय करें कि पेज डेटा कहाँ भेज सकता है। सही तरह से सेट की गई कंटेंट सिक्योरिटी पॉलिसी अनजान सर्वर पर डेटा भेजने में रुकावट डालती है। जब हमलावर ऐसी सेवा इस्तेमाल करता है जिसे स्टोर पहले ही मंज़ूरी दे चुका है, तब यह मदद नहीं करती।
6. पेज की निगरानी वैसे करें जैसे ग्राहक उसे देखता है। सर्वर पर फ़ाइल सही हो सकती है और स्क्रीन गलत। देखें चेकआउट में बदलावों की निगरानी कैसे करें।
7. दिखाए गए भुगतान कोड की जाँच करें। Pix, बोलेटो और स्टेबलकॉइन वॉलेट में, ग्राहक के भुगतान से पहले, स्क्रीन पर दिख रही चीज़ को स्टोर द्वारा जारी चीज़ से मिलाएँ।
8. घटना वाले दिन की योजना रखें। प्रभावित भुगतान तरीका कौन बंद करेगा, प्रदाता से कौन बात करेगा, ग्राहकों को कैसे बताना है और सबूत कैसे संभालना है।

संकेत कि स्टोर पर हमला हुआ हो सकता है

• चेकआउट पर आने वालों में उतनी ही कमी के बिना पेंडिंग Pix में बढ़ोतरी।
• ग्राहक कह रहे हैं कि उन्होंने भुगतान किया पर ऑर्डर मंज़ूर नहीं हुआ, और रसीद किसी दूसरी कंपनी के नाम पर है।
• भुगतान प्रदाता या एक्वायरर की चेतावनी कि स्टोर पर खरीद के बाद कार्ड धोखाधड़ी में इस्तेमाल हुए।
• फ़ाइलें बदली हुई हैं जबकि किसी ने कुछ पब्लिश नहीं किया, या कोई ऐसा एडमिन है जिसे कोई नहीं पहचानता।
• भुगतान पेज ऐसे डोमेन पर डेटा भेज रहा है जिन्हें टीम नहीं जानती।

अगर इनमें से दो संकेत एक साथ दिखें, तो जब तक उल्टा साबित न हो, इसे सुरक्षा घटना मानें।

Proteside कहाँ काम आता है

Proteside एक साइबर सुरक्षा परत है जो भुगतान करने वाले की स्क्रीन पर जाँचती है कि भुगतान का डेटा वही है जो विक्रेता ने जारी किया था, और पुष्टि से पहले बदलाव रोक देती है। यह PCI DSS द्वारा माँगी गई स्क्रिप्ट सूची बनाती है और उससे आगे जाती है: हर ऑर्डर में QR, Copia e Cola, बोलेटो के भुगतान नंबर और कार्ड फ़ॉर्म की तुलना उससे करती है जो स्टोर ने बनाया था, और हर कोशिश को सबूत के रूप में दर्ज करती है। देखें यह क्रेडिट कार्ड और PCI DSS अनुपालन के लिए कैसे काम करती है।