Magecart คืออะไร และวิธีปกป้องร้านค้าออนไลน์ ตั้งแต่บัตรถึง Pix

Magecart คือชื่อเรียกการโจมตีที่ฝังโค้ดอันตรายไว้ในหน้าชำระเงินของร้านค้าออนไลน์ของจริง เพื่อดักเอาสิ่งที่ลูกค้าพิมพ์หรือจ่าย หลายปีที่ผ่านมาเป้าหมายคือหมายเลขบัตร ในเดือนกันยายน 2026 แคมเปญหนึ่งในบราซิลแสดงให้เห็นโค้ดแบบเดียวกันที่สลับ QR ของ Pix (ระบบชำระเงินทันทีของ Banco Central do Brasil หรือธนาคารกลางบราซิล) ร้านค้ายังเปิดอยู่ แบรนด์และราคาถูกต้องทุกอย่าง และลูกค้าไม่เห็นความผิดปกติใด ๆ

ที่มาของชื่อ

ชื่อนี้มาจากการรวม Mage จาก Magento กับ cart ซึ่งแปลว่ารถเข็นสินค้าในภาษาอังกฤษ นักวิจัยเริ่มใช้ชื่อนี้ราวกลางทศวรรษที่แล้ว เพื่อเรียกกลุ่มที่โจมตีตะกร้าสินค้าของแพลตฟอร์มนี้ เมื่อเวลาผ่านไป คำนี้กลายเป็นชื่อของเทคนิคเอง ใช้กับแพลตฟอร์มอีคอมเมิร์ซใดก็ได้ ทั้งร้านที่ดูแลระบบเองและร้านบนบริการของผู้ให้บริการภายนอก

สิ่งที่บอกว่าการโจมตีเป็น Magecart ไม่ใช่เครื่องมือที่ใช้ แต่เป็นตำแหน่ง คือหน้าที่ลูกค้าระบุว่าจะชำระเงินด้วยวิธีใด

การโจมตีแบบ Magecart ทำงานอย่างไร

1. ช่องทางเข้า โค้ดเข้ามาทางช่องโหว่ของแพลตฟอร์มที่ยังไม่ได้แก้ ทางปลั๊กอินหรือธีมที่มีช่องโหว่ ทางรหัสผ่านแผงควบคุมที่รั่วไหล หรือทางสคริปต์ของบุคคลที่สามที่ถูกเจาะ ในเดือนมิถุนายน 2024 บริการสคริปต์เพียงรายเดียวที่เว็บไซต์กว่า 100,000 แห่งใช้งาน เริ่มส่งโค้ดอันตรายหลังเปลี่ยนเจ้าของ
2. การอำพราง โค้ดมักมีเพียงไม่กี่บรรทัดที่ถูกทำให้อ่านยาก และซ่อนอยู่ในไฟล์ที่ถูกต้อง ในรูปภาพ หรือในบริการที่ร้านไว้ใจอยู่แล้ว ในเดือนเมษายน 2026 นักวิจัยพบโค้ดที่ซ่อนอยู่ในรูปภาพที่มองไม่เห็นในร้านค้าราว 100 แห่ง ในเดือนมิถุนายน มัลแวร์อีกตระกูลหนึ่งเก็บโค้ดและข้อมูลที่ขโมยมาไว้ในบริการชำระเงินที่เป็นที่รู้จัก เพื่อให้การรับส่งข้อมูลดูปกติ
3. ทำงานเฉพาะที่หน้าชำระเงิน โค้ดจะเงียบอยู่ในหน้าอื่น เมื่อลูกค้ามาถึงขั้นชำระเงิน โค้ดจะอ่านช่องกรอกบัตรเครดิตหรือบัตรเดบิต หรือสลับ QR, Pix Copia e Cola (รหัสชำระเงินแบบข้อความที่ลูกค้าคัดลอกไปวางในแอปธนาคาร) หรือ linha digitável (ชุดตัวเลขสำหรับชำระเงิน) ของ boleto (ใบแจ้งชำระเงินผ่านธนาคารของบราซิล)
4. ส่งออก สำหรับบัตร ข้อมูลจะถูกส่งไปยังเซิร์ฟเวอร์ของผู้โจมตีและนำไปใช้ภายหลัง สำหรับ Pix ลูกค้าเป็นคนส่งเงินเข้าบัญชีผิดเองทันที

กรณีที่กำหนดภาพของปัญหา

• British Airways ปี 2018 สคริปต์ที่ถูกแก้ไขบนเว็บไซต์และแอปคัดลอกข้อมูลการชำระเงินอยู่ราวสองสัปดาห์ หน่วยงานคุ้มครองข้อมูลของสหราชอาณาจักรนับผู้ได้รับผลกระทบได้ 429,612 คน และสั่งปรับ 20 ล้านปอนด์ในเดือนตุลาคม 2020
• Europol ปี 2023 ปฏิบัติการที่ Europol ประสานงานได้แจ้งเตือนร้านค้าออนไลน์หลายร้อยแห่งในหลายประเทศ ซึ่งมีโค้ดขโมยข้อมูลบัตรทำงานอยู่ในหน้าชำระเงิน โดยส่วนใหญ่ไม่รู้ตัว
• ปี 2026 งานวิจัยของปีนี้แสดงให้เห็นว่าโค้ดย้ายไปอยู่ในที่ที่ระบบป้องกันทั่วไปไม่ได้มอง คือในรูปภาพและในบริการชำระเงินที่ถูกต้อง ซึ่งร้านค้าแทบไม่เคยตรวจ
• บราซิล เดือนกันยายน 2026 นักวิจัยอิสระที่รู้จักในชื่อ eremit4 ตรวจพบ และ Kaspersky ยืนยันว่า ร้านค้าขนาดเล็กและขนาดกลาง 90 ร้านมีโค้ดที่สลับ QR และ Pix Copia e Cola ในหน้าชำระเงิน เมื่อลูกค้าเลือกบัตร โค้ดเดียวกันก็คัดลอกข้อมูลไป นักวิจัยเรียกกรณีนี้ว่า "magecart บราซิลรุ่นใหม่" เราอธิบายกรณีนี้อย่างละเอียดใน Magecart บน Pix

ทำไมร้านค้าจึงรู้ตัวช้า

สำหรับบัตร การขายได้รับอนุมัติและเงินเข้าร้าน ความเสียหายจะปรากฏหลายสัปดาห์ต่อมาในใบแจ้งยอดของลูกค้า และต้องรอจนธนาคารผู้ออกบัตรเทียบหลายกรณีเข้าด้วยกัน จึงจะสรุปได้ว่าทุกคนซื้อจากร้านเดียวกัน

สำหรับ Pix ยอดขายไม่เข้าเลย แผงควบคุมแสดงคำสั่งซื้อที่ค้างอยู่หรือถูกทิ้ง และคำร้องเรียนมาถึงหลายวันต่อมา เมื่อสินค้าไม่ได้ถูกส่ง ร้านค้าที่โดนโจมตีในปี 2026 รายงานว่าสิ่งแรกที่เห็นคือการยกเลิกที่เพิ่มขึ้น ก่อนจะเข้าใจว่าเกิดอะไรขึ้น

ในทุกกรณี เซิร์ฟเวอร์อาจดูสะอาด ถ้าโค้ดมาจากภายนอกหรือถูกประกอบขึ้นในเบราว์เซอร์ สำเนาไฟล์ของร้านก็ไม่เปลี่ยน สิ่งที่เปลี่ยนคือสิ่งที่ลูกค้าเห็น

PCI DSS กำหนดอะไรไว้

ตั้งแต่วันที่ 31 มีนาคม 2025 ข้อกำหนด 6.4.3 และ 11.6.1 ของ PCI DSS เป็นข้อบังคับสำหรับผู้ที่รับชำระด้วยบัตรออนไลน์ ข้อ 6.4.3 กำหนดให้มีบัญชีรายการสคริปต์บนหน้าชำระเงิน พร้อมเหตุผลและการรับรองความสมบูรณ์ของแต่ละตัว ข้อ 11.6.1 กำหนดให้มีกลไกตรวจจับการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตบนหน้าเว็บและในส่วนหัวด้านความปลอดภัย โดยตรวจอย่างน้อยสัปดาห์ละครั้ง

ทั้งสองข้อเขียนขึ้นเพราะ Magecart ที่โจมตีบัตร จึงไม่ได้พูดถึง Pix หรือ boleto แม้โค้ดที่สลับ QR จะทำงานบนหน้าเดียวกันและเข้ามาทางเดียวกันก็ตาม

วิธีปกป้องร้านค้าออนไลน์จาก Magecart

1. ปิดช่องทางเข้า อัปเดตแพลตฟอร์ม ธีม และปลั๊กอิน และลบสิ่งที่ไม่ได้ใช้ แคมเปญส่วนใหญ่ใช้ช่องโหว่ที่รู้จักกันอยู่แล้วและมีการแก้ไขแล้ว
2. ปกป้องแผงควบคุม เปิดการยืนยันตัวตนสองขั้นตอนให้ผู้ดูแลระบบทุกคน ทบทวนบัญชีที่มีสิทธิ์เข้าถึง และเปลี่ยนรหัสผ่านของระบบที่เชื่อมต่อ
3. ลดสิ่งที่ทำงานในหน้าชำระเงิน ทุกสคริปต์ในหน้าชำระเงินต้องมีผู้รับผิดชอบและเหตุผล แชต ฮีตแมป และพิกเซลโฆษณาแทบไม่จำเป็นต้องอยู่ที่นั่น
4. เลือกใช้ช่องกรอกบัตรที่ผู้ให้บริการชำระเงินโฮสต์ไว้ ช่วยลดความเสี่ยงที่ข้อมูลจะถูกคัดลอกโดยตรง แต่หน้าเว็บรอบ ๆ ก็ยังแสดงแบบฟอร์มปลอมได้
5. จำกัดปลายทางที่หน้าเว็บส่งข้อมูลไปได้ นโยบายความปลอดภัยของเนื้อหา (Content Security Policy) ที่ตั้งค่าไว้ดีจะขัดขวางการส่งข้อมูลไปยังเซิร์ฟเวอร์ที่ไม่รู้จัก แต่ช่วยไม่ได้เมื่อผู้โจมตีใช้บริการที่ร้านอนุญาตไว้แล้ว
6. เฝ้าดูหน้าเว็บในแบบที่ลูกค้าเห็น ไฟล์บนเซิร์ฟเวอร์อาจถูกต้อง แต่หน้าจออาจผิด อ่าน วิธีเฝ้าดูการเปลี่ยนแปลงในหน้าชำระเงิน
7. ตรวจรหัสชำระเงินที่แสดงอยู่ สำหรับ Pix, boleto และกระเป๋าเงิน stablecoin ให้เทียบสิ่งที่หน้าจอแสดงกับสิ่งที่ร้านออกให้ ก่อนที่ลูกค้าจะจ่าย
8. มีแผนสำหรับวันที่เกิดเหตุ ใครปิดช่องทางชำระเงินที่ได้รับผลกระทบ ใครคุยกับผู้ให้บริการ จะแจ้งลูกค้าอย่างไร และจะเก็บหลักฐานอย่างไร

สัญญาณว่าร้านอาจถูกโจมตี

• Pix ที่ค้างอยู่เพิ่มขึ้น โดยจำนวนผู้เข้าหน้าชำระเงินไม่ได้ลดลงในระดับเดียวกัน
• ลูกค้าบอกว่าจ่ายแล้วแต่คำสั่งซื้อไม่ได้รับอนุมัติ และหลักฐานการโอนเป็นชื่อบริษัทอื่น
• ผู้ให้บริการชำระเงินหรือธนาคารผู้รับบัตรแจ้งว่ามีบัตรถูกนำไปใช้ฉ้อโกงหลังซื้อสินค้าจากร้าน
• ไฟล์ถูกแก้ไขโดยไม่มีใครเผยแพร่อะไร หรือมีผู้ดูแลระบบที่ไม่มีใครรู้จัก
• หน้าชำระเงินส่งข้อมูลไปยังโดเมนที่ทีมไม่รู้จัก

ถ้าสัญญาณสองข้อนี้ปรากฏพร้อมกัน ให้ถือว่าเป็นเหตุการณ์ด้านความปลอดภัยจนกว่าจะพิสูจน์ได้ว่าไม่ใช่

Proteside ช่วยได้ตรงไหน

Proteside เป็นชั้นความปลอดภัยไซเบอร์ที่ตรวจบนหน้าจอของผู้จ่ายว่าข้อมูลการชำระเงินตรงกับที่ผู้ขายออกให้หรือไม่ และบล็อกการสลับก่อนการยืนยัน ระบบนี้ทำบัญชีรายการสคริปต์ตามที่ PCI DSS กำหนดและทำได้มากกว่านั้น คือเทียบ QR, Copia e Cola, linha digitável และแบบฟอร์มบัตรกับสิ่งที่ร้านสร้างขึ้นในทุกคำสั่งซื้อ และบันทึกทุกความพยายามไว้เป็นหลักฐาน ดูวิธีการทำงานสำหรับบัตรเครดิต และสำหรับการปฏิบัติตาม PCI DSS