セキュリティ研究者らは、ブラジルのEコマースプラットフォーム「Convertr」を標的としたサイバー侵入キャンペーンを明らかにしました。攻撃者は、チェックアウトプロセス中に買い物客の決済カードデータを盗むために、共有アナリティクススクリプトを改ざんすることに成功しました。このプロセスは、機密データにアクセスするためにソフトウェアサプライチェーンを狙う「ウェブスキミング」攻撃の典型例です。
攻撃の詳細と悪用された脆弱性
Eコマースセキュリティを専門とするSansec社によると、このキャンペーンは10月24日に検知され、2024年7月から活動しているブラジルのサイバー犯罪グループによるものとされています。このグループは、Magento、OpenCart、WooCommerceプラットフォームに依存するオンラインショップへの感染に焦点を当てています。今回のケースでは、攻撃者はConvertrが自社サーバー上でホストしていた、Google Analyticsのオープンソースの代替である「Plausible」ツールの追跡ファイルを標的にしました。
攻撃者は、認証不要でリモートコード実行を許可し、Plausible Community Editionの古いバージョンに影響を与える脆弱性「CVE-2026-8467」を悪用した疑いが持たれています。サーバーへの侵入後、攻撃者は正規の追跡スクリプトに悪意あるコードを挿入しました。このスクリプトは、Convertrプラットフォームを使用するすべての店舗の決済ページに自動的に読み込まれます。
盗取手法の進化とターゲットとなったデータ
研究者らは、攻撃者が悪意あるコードを急速に進化させたと指摘しています。初期バージョンでは決済フィールドに対して一般的なパターンが使用されていましたが、10月26日にはConvertrプラットフォーム特有のAPIフィールド名をターゲットにした、より精度の高いバージョンが出現しました。取得されたデータには、決済カード番号、有効期限、セキュリティコード（CVV）、カード名義人に加え、ブラジルの納税者番号（CPF）が含まれていました。
Convertrはブラジル市場における主要なプレイヤーであり、ファッション分野の数十の主要ブランドの決済システムをサポートし、約20億ブラジルレアル（約3億7000万ドル）相当の売上を管理しています。
ユーザーや店舗にとって実質的に何が変わるのか？
Sansec社は、Convertrが悪意あるコードを削除し、Plausibleツールを安全なバージョンにアップグレードしたこと、また影響を受けた店舗や決済サービスプロバイダーへの通知を開始したことを確認しました。しかし研究者らは、ブラウザの「キャッシュ」により、クリーンアップ後も最大24時間、ユーザー側で悪意あるスクリプトがアクティブなままになる可能性があると警告しています。
このニュースが重要な理由は何ですか？
- サードパーティのリスク: この攻撃は、単純な分析ツールの脆弱性が、Eコマースプラットフォーム全体の大規模な財務侵害につながる可能性があることを示しています。
- アップデートの重要性: アップデートされていないオープンソースソフトウェアの脆弱性の悪用は、セルフホストされたインフラストラクチャの脆弱性の継続的な監視の必要性を裏付けています。
- セキュリティ推奨事項: 10月24日以降に関連サイトを利用した買い物客は、直ちに銀行口座を確認することが推奨されます。また、デジタルスキミングのリスクを軽減するため、1回の取引後に有効期限が切れるバーチャルカードの使用が推奨されます。