אריק ובנץ לחוצים: חנות האונליין של רחוב סומסום נפרצה

סום וקסום ובסום, אך לא נפלא: חנות האונליין של רחוב סומסום נפרצה ופרטים אישיים של הקונים בה נגנבו – כך גילתה צ'ק פוינט.

על פי ההודעה שהחברה הוציאה אתמול (ג'), חוקר מטעמה מצא שהמידע של כרטיסי האשראי הועברו לאתר אחר, שפועל במתחם השמות של הענן של גוגל. הפריצה נעשתה באמצעות נוזקה ה-"מתמחה" בגניבת פרטי כרטיסי אשראי.

פרטי הכרטיסים של הלקוחות נאספו על ידי פיסת קוד זדוני, שמכונה Cookie JavaScript ושהוטמעה בתוכנת עגלת הקניות, שנבנתה על ידי חברת התוכנה וולוז'ן, שפועלת בעולם האי קומרס. כ-20 אלף לקוחות עסקיים קטנים משתמשים בתוכנה שלה, אך נראה כי השירות שלה נפרץ דרך אחסון שמות המתחם של גוגל.

"פרצה שאינה ייחודית"

מרסל אפרים, חוקר בצ'ק פוינט בארצות הברית, הבחין בבעיה בעת שרכש דברים בחנות המקוונת של רחוב סומסום. הוא מאמין שזה לא האתר היחיד שהוטמעה בו הנוזקה. "הפריצה אינה ייחודית לחנות האונליין של רחוב סומסום", כתב אפרים. "סביר להניח שכל אתר מסחר אלקטרוני שמתארח ב-וולוז'ין מריץ את אותה הנוזקה, שמעבירה את פרטי כרטיסי האשראי של הצרכנים מחוץ למתחם".

לפי אפרים, הקופה המקוונת נמצאת בעמוד בודד, בו כל המידע מוזן ונבדקת התקפות שלו לפני שהלקוח מועבר לעמוד האישור של הרכישות. הוא הבחין שבעוד שכל המשאבים נטענים מהאתרים של רחוב סומסום ו-וולוז'ן, הרי שקובץ ג'אווה סקריפט מוזר החל לטעון נתונים ממתחם אחסון הענן של גוגל. שם הקובץ היה volusionapi ולדברי אפרים, כל אחד יכול להירשם, לבחור בשם ייחודי ולהגיש תוכן עם הענן של גוגל.

"Google Cloud Storage (וספקיות אחסון בענן אחרות)", ציין, "נוצלו לרעה בעבר, כאשר שחקני איום או מחברי נוזקות הפיצו קוד זדוני או תוכנות זדוניות באמצעות שירותים לגיטימיים אלה".

לא התקבלה תגובת וולוז'ן.