האקרים גנבו מאות אלפי פרטי כרטיסי אשראי – כולל בישראל

פרטיהם של מאות אלפי כרטיסי אשראי ופרטי תשלום אחרים, נגנבו בחצי השנה האחרונה – במהלך ביצוע תשלום בעשרות אתרי קניות ומסחר אלקטרוני באינטרנט בארץ ובעולם, כך עולה מדו"ח חדש אותו פרסמה ClearSky הישראלית. בין הנפגעים – מאות בעלי כרטיסי אשראי ישראליים.

קוד תוכנה (JavaScript) שהוזרק לדפי התשלום באתרים אלה, הפעיל תהליך ש"הקליט" והעביר בזמן אמת את פרטי ההקשות של כל הטרנזקציות הכספיות שהתבצעו באתרים אלה. הפרטים הועברו לתשתית איסוף מרכזית, מעין "ענן" הקלטות של פרטי אשראי.

בתוך פרק זמן קצר יחסית, כך גילו חוקרי ClearSky – פרטי כרטיסי אשראי אלה הוצעו למכירה בחנויות למכירת כרטיסי אשראי גנובים בדרקנט ובאתרי מסחר אחרים. הפעילות הזו מתבצעת על ידי כמה קבוצות פשיעה, שככל הנראה מגיעות ממזרח אירופה.

מרבית אתרי הקניות והמסחר האלקטרוני באינטרנט, משתמשים בתוכנה ובתשתית קיימת לפתיחת חנויות ולאתרי מסחר אלקטרוני. החדירה לאתרי הקניות באינטרנט התבצעה, ברובה, על ידי גילוי חולשות בתוכנת התשתית שמעליהן נבנו אתרי הקניות. אותן חולשות נוצלו על מנת להוסיף את קטעי הקוד ששימשו לגניבה ולהעברת פרטי התשלום להאקרים. בשל צורת התקיפה, גם אתרי קניות ומסחר אלקטרוני, שעומדים בתקני האבטחה של חברות האשראי – תקן PCI – ומוחקים את פרטי האשראי בתום כל טרנזקציה, נחשפו ונחשפים לתקיפה זו.

על פי חוקרי ClearSky, "מרבית הדיווחים אליהם אנו נחשפים בשנים האחרונות, על גניבה של פרטי כרטיסי אשראי, הינם בעקבות פריצה וגניבה של בסיסי נתונים. אלה כוללים פרטי אשראי מאתרים ומחברות ומחנויות למסחר אלקטרוני, אשר שמרו את פרטי האשראי באופן בלתי מאובטח".

לדברי החוקרים, "גניבת פרטי האשראי אותה חשפנו היא ייחודית באופייה ומצביעה על תשתית איסוף אקטיבית, תשתיתית ומתמשכת – שהיא 'מבוססת ענן'".

אנשי ClearSky חשפו את התשתית הזו במהלך חקירה לבירור שיטת הגניבה של כרטיסי אשראי מאתרי מסחר אלקטרוני בישראל. המידע על חשיפת התשתית הועבר על ידם לפני כמה שבועות לכלל חברות האשראי בישראל. החוקרים שיתפו את המידע עם כמה חוקרי סייבר וחברות אבטחה אחרות בעולם. החקירה נעשתה בשיתוף פעולה בין ClearSky הישראלית ו-Risk IQ האמריקנית. חוקרי שתי החברות עבדו במקביל על חשיפת התשתית – ניתוח הקוד, תשתית השרתים ואתרי המסחר האלקטרוני שנפגעו.

אמצעים נפוצים לגניבת פרטי אשראי

במהלך השנים האחרונות, כתבו החוקרים, "אנו מזהים כמה דרכים לגניבת פרטי אשראי: האחת, הדבקת המחשב האישי, או הטלפון של גולשים, בבית או בעבודה, בנוזקה הגונבת פרטי אשראי ממחשב הלקוח. זה לא יעיל במיוחד, מכיוון שהוא מאפשר גניבה של כרטיסי אשראי בודדים מכל מחשב. השניה, הדבקת עמדות סליקה ותשלום של חנויות/תחנות דלק/מכשירי בנק אוטומטיים, בנוזקה הגונבת פרטי אשראי במהלך תשלום פיזי בחנות. זה מסובך יחסית לביצוע".

הדרך השלישית, לפי החוקרים, היא גניבת בסיסי נתונים מאתרי מסחר מקוון הכוללים פרטי אשראי מלקוחות. הדרך הרביעית, היא גניבת פרטי אשראי, או שיבוש פעולתם של מחשבי הסליקה של חברות הסליקה והבנקים, על מנת לאפשר משיכת כספים בלתי מוגבלת בתקרה מאותם כרטיסים. "מימוש השיטה הזו מסובך ומחייב תקיפת מערך המחשוב של חברות הסליקה ו/או הבנקים. מתחילת 2016 זיהינו כמה מקרי תקיפה מסוג זה בבנקים ברוסיה".

הדרך החמישית בה השתמשו ההאקרים במקרה שנחשף כעת, היא פריצה לתשתית המסחר האלקטרוני של חנויות, והוספת קוד לתשתית, המאפשר גניבת פרטי אשראי. "כך ניצול החולשה, נעשה על מנת להדביק עשרות אתרים ומאפשר קצירה בזמן אמת של פרטי אשראי של מאות אלפי קונים".

כך, מציינים החוקרים, "דוגמה בולטת היא תשתית פלטפורמת המסחר הפופולרית Magento, אשר הפכה ליעד מועדף לתקיפה בידי גורמי פשיעה". לדברי שתי החברות, מדובר ב-keylogger חדש, מבוסס JavaScript, הנקרא Magecart.

עד כה, Magecart הדביק כמה מערכות מסחר מקוון, המסתמכות על פלטפורמות דוגמת Magento ,Powerfront CMS ,OpenCart ,Braintree ומערכות עיבוד תשלום של VeriSign. הם מציינים כי ייתכן שגם שירותי תשלום אחרים נפלו קורבן לנוזקה. שמות אלה לא אומרים הרבה לצרכן הממוצע, כי הם מספקים תהליכים עורפיים.

"אנו ממליצים לכלל החברות הישראליות המשתמשות בתשתיות מסחר אלו", מסכמים החוקרים, "לוודא כי האתר שלהם 'נקי' וכי הן אינן מהוות תשתית לגניבת כרטיסי אשראי. Risk IQ, השותפה למחקר, מזהה הקמת תשתיות תקיפה חדשות מדי יום".