Magecart: apa itu dan cara melindungi e-dagang, dari kad ke Pix

Magecart ialah nama bagi serangan yang meletakkan kod berniat jahat pada halaman pembayaran kedai dalam talian yang sah untuk mencuri apa yang pelanggan taip atau bayar. Selama bertahun-tahun, sasarannya ialah nombor kad. Pada September 2026, satu kempen di Brazil menunjukkan jenis kod yang sama menukar kod QR Pix (sistem pembayaran segera Banco Central do Brasil, bank pusat Brazil). Kedai terus beroperasi, dengan jenama yang betul dan harga yang betul, dan pelanggan tidak nampak apa-apa yang salah.

Dari mana datangnya nama ini

Nama ini menggabungkan Mage, daripada Magento, dan cart, iaitu troli beli-belah dalam bahasa Inggeris. Penyelidik mula menggunakannya sekitar pertengahan dekad lalu untuk kumpulan yang menyerang troli beli-belah platform itu. Lama-kelamaan, istilah ini merujuk kepada teknik itu sendiri, pada mana-mana platform e-dagang, sama ada kedai sendiri atau perkhidmatan pihak ketiga.

Yang menentukan serangan Magecart bukan alat yang digunakan, tetapi tempatnya: halaman tempat pelanggan memilih cara membayar.

Cara serangan Magecart berlaku

1. Masuk. Kod tiba melalui kelemahan platform yang belum ditampal, plugin atau tema yang terdedah, kata laluan panel yang bocor atau skrip pihak ketiga yang terjejas. Pada Jun 2024, satu perkhidmatan skrip yang digunakan oleh lebih 100,000 laman web mula menghantar kod berniat jahat selepas bertukar pemilik.
2. Menyamar. Kod itu biasanya hanya beberapa baris yang dikaburkan dan disorok di dalam fail yang sah, imej atau perkhidmatan yang sudah dipercayai kedai. Pada April 2026, penyelidik menemui kod yang disorok dalam imej halimunan di kira-kira 100 kedai. Pada Jun, satu lagi keluarga kod menyimpan kod dan data yang dicuri di dalam perkhidmatan pembayaran yang terkenal, supaya trafiknya kelihatan biasa.
3. Bertindak hanya di checkout. Kod itu diam di halaman lain. Apabila pelanggan tiba di halaman pembayaran, ia membaca medan kad kredit atau kad debit, atau menukar kod QR, Pix Copia e Cola (kod pembayaran dalam bentuk teks yang pelanggan salin dan tampal dalam aplikasi bank) atau linha digitável (nombor boleto) pada boleto (boleto bancário, slip pembayaran bank Brazil).
4. Keluar. Pada kad, data dihantar ke pelayan penyerang dan digunakan kemudian. Pada Pix, pelanggan sendiri menghantar wang ke akaun yang salah, serta-merta.

Kes yang membentuk masalah ini

• British Airways, 2018. Skrip yang diubah di laman web dan aplikasi menyalin data pembayaran selama kira-kira dua minggu. Badan perlindungan data United Kingdom mengira 429,612 orang terjejas dan mengenakan denda 20 juta paun pada Oktober 2020.
• Europol, 2023. Satu operasi yang diselaraskan oleh Europol memberi notis kepada ratusan kedai dalam talian di beberapa negara yang mempunyai kod pencuri data kad aktif pada halaman pembayaran, kebanyakannya tanpa disedari.
• 2026. Kajian tahun ini menunjukkan kod berpindah ke tempat yang tidak diperiksa oleh pertahanan biasa: di dalam imej dan perkhidmatan pembayaran yang sah, tempat yang jarang diperiksa kedai.
• Brazil, September 2026. Penyelidik bebas yang dikenali sebagai eremit4 mengenal pasti, dan Kaspersky mengesahkan, 90 kedai bersaiz kecil dan sederhana dengan kod yang menukar kod QR dan Pix Copia e Cola di checkout. Apabila pelanggan memilih kad, kod yang sama menyalin datanya. Penyelidik itu menggelar kes ini "Magecart baharu Brazil". Kami menghuraikan kes ini dalam Magecart pada Pix.

Mengapa kedai lambat menyedarinya

Pada kad, jualan diluluskan dan wang masuk. Kerugian muncul beberapa minggu kemudian pada penyata pelanggan, dan hanya apabila bank pengeluar memadankan banyak kes barulah ia menyimpulkan bahawa semuanya membeli di kedai yang sama.

Pada Pix, jualan langsung tidak masuk. Panel menunjukkan pesanan tertunda atau ditinggalkan, dan aduan tiba beberapa hari kemudian, apabila produk tidak dihantar. Peniaga yang terjejas pada 2026 mula-mula melaporkan peningkatan pembelian yang tidak diteruskan, sebelum memahami apa yang sedang berlaku.

Dalam semua kes, pelayan mungkin kelihatan bersih. Jika kod datang dari luar atau dibina dalam pelayar, salinan fail kedai tidak berubah. Yang berubah ialah apa yang dilihat pelanggan.

Apa yang dikehendaki PCI DSS

Sejak 31 Mac 2025, keperluan 6.4.3 dan 11.6.1 PCI DSS diwajibkan bagi sesiapa yang menerima kad dalam talian. Keperluan 6.4.3 meminta inventori skrip pada halaman pembayaran, dengan justifikasi dan jaminan integriti bagi setiap satu. Keperluan 11.6.1 meminta mekanisme yang mengesan perubahan tanpa kebenaran pada halaman dan pada pengepala keselamatan, dengan semakan sekurang-kurangnya seminggu sekali.

Kedua-duanya ditulis kerana Magecart pada kad. Ia tidak menyebut Pix atau boleto, walaupun kod yang menukar kod QR berjalan pada halaman yang sama dan melalui laluan yang sama.

Cara melindungi e-dagang daripada Magecart

1. Tutup pintu masuk. Kemas kini platform, tema dan plugin, dan buang yang tidak digunakan. Kebanyakan kempen mengeksploitasi kelemahan yang sudah diketahui dan sudah ditampal.
2. Lindungi panel. Pengesahan dua faktor untuk semua pentadbir, semakan akaun yang mempunyai akses dan penukaran kata laluan integrasi.
3. Kurangkan apa yang berjalan di checkout. Setiap skrip pada halaman pembayaran perlu ada pemilik dan sebab. Chat, peta haba dan piksel iklan jarang perlu berada di situ.
4. Utamakan medan kad yang dihoskan oleh penyedia. Ia mengurangkan risiko data disalin terus, tetapi halaman di sekelilingnya masih boleh memaparkan borang palsu.
5. Hadkan ke mana halaman boleh menghantar data. Dasar keselamatan kandungan yang dikonfigurasi dengan baik menyukarkan penghantaran ke pelayan yang tidak dikenali. Ia tidak membantu apabila penyerang menggunakan perkhidmatan yang sudah dibenarkan oleh kedai.
6. Pantau halaman seperti yang dilihat pelanggan. Fail pada pelayan mungkin betul sedangkan skrin salah. Lihat cara memantau perubahan pada checkout.
7. Semak kod pembayaran yang dipaparkan. Pada Pix, boleto dan dompet stablecoin, bandingkan apa yang ditunjukkan skrin dengan apa yang dikeluarkan kedai, sebelum pelanggan membayar.
8. Sediakan pelan untuk hari insiden. Siapa yang mematikan kaedah pembayaran yang terjejas, siapa yang berhubung dengan penyedia, cara memaklumkan pelanggan dan cara menyimpan bukti.

Tanda kedai mungkin telah terjejas

• Peningkatan Pix tertunda, tanpa penurunan setara dalam lawatan ke checkout.
• Pelanggan berkata mereka sudah membayar tetapi pesanan tidak diluluskan, dengan bukti pembayaran atas nama syarikat lain.
• Notis daripada penyedia pembayaran atau pemeroleh kad tentang kad yang digunakan untuk penipuan selepas pembelian di kedai.
• Fail berubah tanpa sesiapa menerbitkan apa-apa, atau pentadbir yang tiada siapa kenal.
• Halaman pembayaran menghantar data ke domain yang tidak dikenali pasukan.

Jika dua daripada tanda ini muncul serentak, anggap ia insiden sehingga terbukti sebaliknya.

Di mana Proteside berperanan

Proteside ialah lapisan keselamatan siber yang menyemak, pada skrin pembayar, sama ada data pembayaran ialah data yang dikeluarkan oleh penjual, dan menyekat pertukaran sebelum pengesahan. Ia membuat inventori skrip yang diminta PCI DSS dan pergi lebih jauh: ia membandingkan kod QR, Copia e Cola, linha digitável dan borang kad dengan apa yang dijana kedai, pada setiap pesanan, dan merekodkan setiap percubaan sebagai bukti. Lihat cara ia berfungsi untuk kad kredit dan untuk pematuhan PCI DSS.