Onlineshops, die auf Software der Adobe-Tochter Magento basieren, sind einer wesentlichen Sicherheitslücke ausgesetzt. So berichten Sicherheitsforscher von mehr als 20 Add-ons, mit deren Hilfe Kreditkarten-Scammer eure Daten abgreifen wollen. Die Betrüger suchen sich dafür angreifbare Erweiterungen und schleusen anschließen Schadcode ein.
Magecart-Kampagne gegen anfällige Add-ons
Als Kunde bemerkt ihr den Betrug offenbar erst dann, wenn es bereits zu spät ist. Die Fake-Formulare öffnen sich mit der Eingabeanfrage der Kreditkartendaten und schließen sich im anschluss. Das echte Formular bleibt offen, sodass es lediglich so aussieht, als müsstet ihr die Daten aufgrund eines Fehlers erneut eintippen. Betroffen von der Sicherheitslücke sind Kunden Magentos. Darunter falle unter anderem bekannte Firmen wie der PC- und Druckerhersteller HP und Bauhaus, aber auch diverse Fashion-Anbieter.
Der niederländische Sicherheitsforscher Willem de Groot hat im Rahmen eines Blogbeitrags als erster auf die neue Scam-Kampagne „Magecart“ aufmerksam gemacht. Neben der selbstgegebenen Aufgabe, die Menschen auf die gefälschten Formulare aufmerksam zu machen, die die Hacker nutzen, um an die Daten der Kunden zu gelangen, zeigt de Groot unter anderem auf, welche Erweiterungen anfällig sind und ob bereits entsprechende Sicherheitspatches ausstehen.
Die Onlineshop-Software Magento schwächelt unter der „CVE-2016-4010“-Lücke, die bereits seit 2016 eine bekannte Gefährdung darstellt. Sie ermöglicht es Hackern, aus der Ferne PHP-Code einzuspielen und auszuführen. Zwar haben die Entwickler Magentos die Sicherheitslücke noch im selben Jahr mit dem Patch 8788 geschlossen, jedoch scheint diese Anpassung noch nicht von sämtlichen Erweiterungen übernommen worden zu sein. Das macht sie weiterhin zu einem nennenswerten Sicherheitsrisiko.