Door een hack van Shopper Approved is er op een onbekend aantal webwinkels een skimmer actief geweest die creditcardgegevens van klanten kon stelen. Shopper Approved is een plug-in voor webwinkels die klantenbeoordelingen verzamelt. De aanvallers wisten toegang tot Shopper Approved te krijgen en voorzagen het script dat op allerlei websites draait van een creditcardskimmer.

Hierbij maakten ze echter een fout door tijdelijk de niet geobfusceerde creditcardskimmer in het script te verwerken. Dit werd niet veel later door de criminelen opgemerkt en gecorrigeerd, zo meldt securitybedrijf RiskIQ. Het securitybedrijf ontving op de ochtend van 15 september een waarschuwing dat Shopper Approved was gehackt. Vervolgens werd Shopper Approved ingelicht en maandagmiddag 17 september was de skimmercode verwijderd.

Shopper Approved heeft duizenden webwinkels als klant. De impact van het incident zou echter beperkt zijn, aldus RiskIQ. De meeste Shopped Approved-klanten draaiden het aangepaste script namelijk niet op hun betaalpagina. De skimmercode zocht alleen naar betaalpagina's met specifieke sleutelwoorden in de url en werd niet actief op pagina's zonder deze sleutelwoorden. Daarnaast zouden populaire winkelwagentjes zoals Shopify en BigCommerce third-party scripts op de betaalpagina actief blokkeren.

Het aanvallen van derde partijen die scripts op webwinkels hebben draaien is niet niet. Onlangs overkwam dit Feedify, een dienst die webwinkels gebruiken voor contact met hun klanten. In juli werd kaartverkoper Ticketmaster nog het slachtoffer van een creditcardskimmer die via het script van een derde partij op de website terecht was gekomen.