3 min., lai izlasītu

Masīvi kiberuzbrukumi skāra 4,200+ Magento veikalus, izmantojot “CosmicSting” ievainojamību

Plaši izplatīti uzbrukumi ietekmē tūkstošiem tiešsaistes veikalu. Virkne sarežģītu kiberuzbrukumu, izmantojot CosmicSting ievainojamību, šovasar skāra aptuveni 5% no visām Adobe Commerce un Magento e-komercijas platformām. Pārkāpums, kas skāra vairāk nekā 4,200 tiešsaistes veikalus, tostarp ievērojamus starptautiskus zīmolus ( Whirlpool un Ray-Ban), ir kritiskas drošības ievainojamības, kas pazīstama kā CVE-2024-34102 vai "CosmicSting", rezultāts.

So rakstu jums iztulkojis maksligais intelekts
Masīvi kiberuzbrukumi skāra 4,200+ Magento veikalus, izmantojot “CosmicSting” ievainojamību
Avots: Depositphotos

Perfekta vētra: aizkavēta reakcija atbilst ievainojamībai

Šī būtiskā drošības pārkāpuma pamatā ir faktoru kombinācija. Adobe Commerce sistēmas ir identificētas ar kritisku ievainojamību. Daudzi tirgotāji ir aizkavējuši lāpīšanas procesu. Problēmas ar pilnīgu sistēmu drošību pat pēc atjauninājumu ieviešanas.

Adobe atklāja ievainojamību 2024. gada jūnijā un jūlijā izlaida labojumfailu, taču līdz tam laikam uzbrukumi jau turpinājās. Automatizētie uzbrukumi apdraudēja kriptogrāfiskās atslēgas, kuras turpināja izmantot pat tad, ja veikali tika atjaunināti bez atslēgu anulēšanas.

Septiņas hakeru organizācijas cīnās par autoritāti

Septiņas atšķirīgas hakeru grupas (piemēram, “Bobry”, “Polyovki” un citas) sacenšas, lai kontrolētu šos kompromitētos veikalus. Viņi izmanto nozagtās kriptogrāfiskās atslēgas, lai ģenerētu API žetonus un norēķinu procesos ievietotu ļaunprātīgus maksājumu skimmerus. Viņu uzbrukuma metodika ietver:

  • CosmicSting ievainojamības izmantošana, lai iegūtu konfidenciālas kriptogrāfiskās atslēgas
  • Šo atslēgu izmantošana, lai ģenerētu API autorizācijas marķierus
  • Konfidenciālas klientu informācijas iegūšana
  • Ļaunprātīga koda (skimmeru) iekļaušana norēķinu procesos

Šī konkurence ir radījusi savdabīgu situāciju, kurā vairākas hakeru grupas atkārtoti iefiltrējas un izliek viena otru no vieniem un tiem pašiem kompromitētajiem veikaliem.

Adobe disclosed the vulnerability in June 2024 and released a hotfix in July, but by then, attacks were already ongoing. Automated attacks compromised cryptographic keys, which continued to be used even if stores were updated without key invalidation.

Source. Depositphotos

Ceļš uz atveseļošanos

Lai mazinātu šo apdraudējumu, kiberdrošības speciālisti iesaka skartajiem tirgotājiem īstenot tūlītējus pasākumus:

  • Jaunināšana uz jaunāko Magento vai Adobe Commerce versiju
  • Novecojušu šifrēšanas atslēgu nederīgums un pagriešana
  • Izveidot noturīgas ļaunprogrammatūras un ievainojamības uzraudzības sistēmas

Nākotnes perspektīvas: papildu uzbrukumi horizontam

Kiberdrošības uzņēmums “Sansec” paredz, ka, neraugoties uz šiem ieteikumiem, skarto veikalu skaits turpinās pieaugt. Saskaņā ar viņu pētījumiem pārsteidzoši 75% Adobe Commerce un Magento instalāciju tika atklātas, kad sākās automatizētie uzbrukumi.

Šī pastāvīgā ievainojamība uzsver preventīvo drošības pasākumu izšķirošo nozīmi e-komercijas nozarē. Kiberdraudu, kas vērsti pret šīm platformām, sarežģītība un noturība pieaug vienlaikus ar tiešsaistes mazumtirdzniecības paplašināšanos.

Bieži uzdotie jautājumi

Kā veikalu īpašnieki var pārliecināties, ka ir piemērojuši jaunāko drošības ielāpu?

  1. Regulāri pārbaudiet, vai nav atjauninājumu: iespējojiet automātiskos atjauninājumus un manuāli pārbaudiet , vai Magento vietnē nav jaunu ielāpu.
  2. Drošības rīku izmantošana: izmantojiet Magento drošības skenēšanas rīku un pārskatiet Adobe drošības biļetenus.
  3. Ielāpu pārvaldības stratēģijas ieviešana: izstrādājiet strukturētu pieeju atjauninājumu pārbaudei un piemērošanai.
  4. Instalācijas pārbaude: pārbaudiet modificētos failus un veiciet funkcionalitātes testus pēc ielāpa.
  5. Spēcīgas drošības prakses uzturēšana: dublējiet datus un izglītojiet darbiniekus par kiberdrošības paraugpraksi.

Kādas ir iespējamās sekas, ja Magento veikali netiek nekavējoties atjaunināti?

  1. Drošības ievainojamība: novecojušas versijas ir pakļautas zināmiem ekspluatējumiem, palielinot datu pārkāpumu risku un nesankcionētu piekļuvi sensitīvai klientu informācijai.
  2. Veiktspējas problēmas: veikalos var būt lēnāks ielādes laiks un dīkstāve, kas negatīvi ietekmē lietotāju pieredzi un reklāmguvumu līmeni.
  3. Saderības problēmas: atjauninājumu trūkums var izraisīt problēmas ar trešo pušu integrāciju, izraisot funkcionalitātes nepilnības.
  4. Klientu uzticības zaudēšana: drošības pārkāpumi var kaitēt zīmola reputācijai, liekot klientiem zaudēt pārliecību par veikala spēju aizsargāt savus datus.
  5. Finansiālie zaudējumi: Dīkstāve un slikts sniegums var radīt ievērojamus ieņēmumu zaudējumus pamestu ratiņu un neizmantotu pārdošanas iespēju dēļ.

Kā veikalu īpašnieki var uzraudzīt savas sistēmas iespējamiem CosmicSting uzbrukumiem?

  1. Satura drošības politikas (CSP) pārraudzības iespējošana: izmantojiet CSP, lai noteiktu neautorizētas izmaiņas vietnes saturā.
  2. Regulāru drošības auditu veikšana: novērtējiet ievainojamības un pārbaudiet, vai nav nelabotu paplašinājumu.
  3. CMS bloku uzraudzība: uzmanieties no neatļautām izmaiņām vai injekcijām CMS saturā.
  4. Drošības rīku izmantošana: izmantojiet tādus rīkus kā Magento drošības skenēšanas rīks, lai identificētu ievainojamības.
  5. Žurnālu pārraudzība: pārraugiet servera žurnālus, lai konstatētu neparastas darbības, piemēram, negaidītus API zvanus.

 

Dalieties ar rakstu
Līdzīgi raksti
Labākās digitālā mārketinga stratēģijas mazajiem uzņēmumiem 2025. gadā
27 min., lai izlasītu

Labākās digitālā mārketinga stratēģijas mazajiem uzņēmumiem 2025. gadā

Pieredze ar daudziem e-veikaliem rāda, kā tehnoloģijas un attiecības veicina izaugsmi. 2025. gadā pārbaudītas stratēģijas ietver SEO, AI, satura mārketingu, PPC un kopienas veidošanu – lielākā daļa prasa tikai laiku un pūles, nevis lielus budžetus. Tā kā mākslīgais intelekts tagad ir būtisks, lai saglabātu konkurētspēju, izpētīsim visefektīvākās pieejas no Selltoro eksperta Jana Janouškoveca.

Jan Janouškovec Jan Janouškovec
CEO, Selltoro
Izlasi rakstu
58% dalās ar e-pastu, lai saņemtu atlaides, bet aizsargā sociālos datus
3 min., lai izlasītu

58% dalās ar e-pastu, lai saņemtu atlaides, bet aizsargā sociālos datus

Mazumtirgotāji konstatē, ka, lai gan klienti mīl atlaides, viņi ir nobažījušies arī par savu privātumu, kopīgojot personisko informāciju. Saskaņā ar digitālo transformācijas konsultāciju uzņēmuma Daemon nesen veikto pētījumu , reklāmas piedāvājumi un e-pasts atlaidēm joprojām ir spēcīgs ieguvums no paaudzes paaudzē; Mileniāļi ir vadībā ar 67%, kam seko Baby Boomers ar 65% un Gen Z […]

Izlasi rakstu
Digitālā maka caurlaides: palieliniet savu e-komercijas pārdošanu, izmantojot mobilos kuponus
5 min., lai izlasītu

Digitālā maka caurlaides: palieliniet savu e-komercijas pārdošanu, izmantojot mobilos kuponus

Sākot ar pamata iekāpšanas kartēm un beidzot ar efektīviem mārketinga rīkiem, digitālā maka caurlaides ir ievērojami attīstījušās. Mobilo maku lietotnēs, piemēram, Apple Wallet, Google Pay un Samsung Pay, šajos digitālajos attēlos var būt jebkas, sākot no iekāpšanas kartēm un biļetēm līdz dalības kartēm, lojalitātes kartēm un kuponiem.

Izlasi rakstu
Bridge Now

Jaunākās ziņas TŪLĪT

10+ nelasīts

10+