Visa waarschuwt webwinkels voor code die creditcarddata steelt
Creditcardmaatschappij Visa heeft een waarschuwing afgegeven waarin het webwinkels wijst op malafide JavaScriptcode die creditcardgegevens van klanten steelt. Het gaat om een 'JavaScript-skimmer' die door Visa 'Pipka' wordt genoemd (pdf).
Pipka is al bij zeventien Noord-Amerikaanse webwinkels aangetroffen. Gegevens die klanten op de betaalpagina van de webwinkel invoeren, zoals creditcardnummer, verloopdatum, CVV-code, naam en adresgegevens, worden door Pipka naar de aanvallers gestuurd. "In tegenstelling tot andere JavaScript-skimmers kan Pipka na te zijn uitgevoerd zichzelf van de html van een gecompromitteerde website verwijderen, wat de kans op detectie verkleint", aldus de waarschuwing van Visa.
De creditcardmaatschappij stelt dat het de eerste keer is dat een JavaScript-skimmer zichzelf verwijdert en het een significante ontwikkeling in JavaScript-skimming betreft. Hoe aanvallers de code aan websites toevoegen laat Visa niet weten. Wel doet de creditcardmaatschappij verschillende aanbevelingen, zoals het scannen van websites op kwetsbaarheden, het updaten van software, het gebruik van sterke beheerderswachtwoorden en het beperken van toegang tot het beheerdersportaal.
Het Internet gaat aan zijn "succes"ten onder.
Wie gaat welke maatregelen nemen om "het tij te keren"?
Ik ga zo langzamerhand denken om alles weer in fysieke winkels te kopen/bestellen.
En bankieren via papier te regelen.
Zeer zorgwekkend.
met een soort van digitale enkelband,
zodat de pakkans zo vergroot wordt, dat men nog wel twee keer nadenkt
met het lanceren van malware.
Op de manier, waarop het nu gaat, de put weer dempen als het kalf reeds verdronken is,
gaat het inderdaad van kwaad tot erger.
Aan de ene kant dus niet voldoende handhavingsbeleid
en aan de andere kant niet voldoende veilig coderen aanleren en toepassen.
Ziet niemand het dan, dat het zo langzamerhand echt helemaal fout dreigt te gaan.
Klik je als onderzoeker nooit eens Ctrl+Shift+I aan.
Dan zie je toch in developer modus wat er allemaal "onder de moterkap" steeds schever gaat.
Dat kan toch een kind met een beetje JavaScript kennis ontwaren.
Kennelijk is er niemand geinteresseerd. Ego-ego-ego-money-money-money, luidt het credo,
#sockpuppet
Ze kunnen beter adviseren om Subresource Integrity (SRI) https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity te gebruiken en leveranciers te verplichten dit te ondersteunen. Dan weet je 100% zeker in browsers die het ondersteunen dat het script dat je binnenhaalt ook identiek is aan het script toen je het plaatste.
Het Internet gaat aan zijn "succes"ten onder.
Wie gaat welke maatregelen nemen om "het tij te keren"?
Het woord - pipka - is bijvoorbeeld in het Pools een vies woord (brzydki wyraz)
voor het vrouwelijk geslachtsdeel, net als de Engelse equivalent, het vierletterwoord,
dat begint met een c... en ons eigen k*tje. (pipka, als diminutief van pipa).
Je zoekt de uitdrukking daar nog tevergeefs in het woordenboek.
Het platvloerse laag-culturele niveau van de gemiddelde cybercrimineel is daarmee weer voldoende aangeduid,
lijkt me zo. Malware verspreiders, het schuim der natie en ander low-life-vormen.
m.vr.gr.
luntrus (3rd party cold recon website security analist en foutenjager).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
