【以假亂真】Magecart入侵網購平台偷信用卡資料 精美結帳頁面更勝官方
專門盜取信用卡資料的黑客集團 Magecart 再度出擊，一如以往騎劫了多個網購平台的網站，植入惡意程式盜取客戶輸入的信用卡資料。專家指由於這次黑客製作的虛假收費頁面非常用心，甚至比官方的更精美，因而令受害者不虞有詐，大方交出信用卡帳戶及卡面資料。
黑客為了神不知鬼不覺盜取網民的信用卡資料，最常見的手法是於網購平台植入稱為 Credit card skimmer 的惡意程式碼，以當中最惡名昭彰的黑客集團 Magecart 為例，他們便曾利用網購平台或第三方服務供應商的漏洞入侵，不少知名網站如 newegg、Forbes 亦曾中招。
網絡安全機構 Malwarebytes 發表調查報告，指在這次攻擊中，Magecart 成員以複雜的手段入侵網站，並於網站安裝名為 Kritec 的 Javascript card skimmer，由於惡意程式碼被混淆化及加密，因此可以避過防毒工具的偵測。
專家解釋，這次攻擊的精妙之處是當網民進入信用卡結帳頁面，畫面便會彈出一個製作得非常精美的視窗，有齊網購平台的商標及互動式輸入選項，並將下層的官方結帳頁面模糊化或調暗，令網民誤信彈出式頁面屬於官方設計，在上面輸入自己的信用卡資料及安全碼。
這時畫面會假裝正在處理資料，並在片刻後顯示付款錯誤訊息，再誘導網民回到官方付款頁面，讓網民可完成交易手續，但其實信用卡資料已被黑客記錄下來。除此之外，黑客還會在受害者的瀏覽器留下一個 Cookies，當偵測到受害者再次通過平台交易，也不會再彈出虛假結帳頁面，令行動保持隱密。
Malwarebytes 專家指這款惡意工具最早於 2022 年發現，相信這次攻擊與當時的攻擊者屬於同一批人，而由於一般的 card skimmer 都有一個固定模版，所以估計這一波攻擊是屬於一種新的形式，且開始成為 Magecart 黑客成員所慣常使用的手段。
由於消費者難以發現網購平台已被入侵，因此專家建議網民應使用其他電子付費方式例如 Apple Pay，又或開通一張 Debit card，每次只增值所需款項交易，便可有效阻止信用卡資料被收集的機會及減少金錢損失。
相關文章：【桃色陷阱】勒索軟件扮「甜相」 一經執行電腦檔案全毀
