Breaking News
เอาเครื่องเก่ามาแลก แล้วรับเงินคืนไปเลย!!

พบแฮ็กเกอร์ลอบขโมยข้อมูลเลขบัตรเครดิตในเว็บไซต์ผ่าน Google Analytics

Google Analytics เป็นเครื่องมือที่ช่วยให้เจ้าของเว็บได้ข้อมูลการเข้าเยี่ยมชม แต่ล่าสุดแฮ็กเกอร์ก็หาทางใช้ประโยชน์จากช่องทางนี้เพื่อรันแคมเปญการขโมยข้อมูลของเว็บไซต์ E-commerce อีกจนได้

credit : Bleepingcomputer – JavaScript code abusing GA for exfiltration purposes

มาถึงตรงนี้หลายคนอาจจะงงว่า เอ๊ะแล้วปกติเว็บไซต์ไม่มีการป้องกันอะไรไว้เลยหรอ ความจริงก็คือต้องอธิบายก่อนว่าปกติแล้วเว็บไซต์มีกลไกที่ชื่อ Content Security Policy (CSP) ที่ช่วยป้องกันไม่ให้โค้ดที่ไม่ปลอดภัยรันในเว็บได้ แต่ประเด็นคือปกติมักจะมีการเปิดยกเว้น Google Analytics API ในผู้ใช้ CSP อยู่แล้ว ซึ่งตรงนี้เองสิ่งที่คนร้ายทำก็คือการใช้สคิร์ปต์ของ Analytics แบบพิเศษด้วย TAG-ID ของตนเองเข้ามาลอบขโมยข้อมูลในหน้าเว็บไซต์ได้ โดย CSP ไม่สามารถแยกแยะได้ระดับ TAG-ID ด้วยเหตุนี้จึงเกิดการ Bypass ขึ้นแล้ว โค้ดสาธิตจาก PerimeterX (ตามรูปด้านบน)

ถัดมา Sansec ได้รายงานว่าตั้งแต่ 17 มีนาคมที่ผ่านมา พบแคมเปญการโจมตีลักษณะนี้ในเว็บไซต์ด้าน E-commerce หลายสิบแห่ง ซึ่งคนร้ายได้ทำให้เนียนมาขึ้นไปอีก ด้วยการรับข้อมูลที่ได้ผ่าน firebasestorage.googleapis.com ที่เป็นบริการปกติ ซึ่งโดยทั่วไปมักคิดว่าคนร้ายต้องใช้เซิร์ฟเวอร์ที่ลึกลับ สิ่งที่เกิดขึ้นคือ Skimmer จะเข้าไปขโมยข้อมูล input บัตรเครดิต เข้ารหัสและส่งข้อมูลไปยัง Google Analytics Dashboard ของคนร้ายโดยอัตโนมัตินั่นเอง

สำหรับการป้องกันผู้เชี่ยวชาญแนะว่าให้ใช้ Adaptive URL ประกอบกับการเพิ่ม ID ในส่วนของ URL และ Subdomain เพื่อให้ใช้งาน CSP ได้อย่างจำกัดมากขึ้น หรือใช้ XHR proxy enforcement เพื่อควบคุมประเภทข้อมูลที่ถูกส่งออก

ที่มา :  https://www.hackread.com/attackers-steal-payment-data-google-analytics/ และ https://www.hackread.com/attackers-steal-payment-data-google-analytics/



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[Guest Post] เคล็ดไม่ลับกับการจัดทัพเพื่อรับมือภัยคุกคามทางไซเบอร์

ในระยะนี้เราจะพบเห็นข่าวที่ว่าองค์กรต่างๆ ได้ถูกภัยคุกคามทางไซเบอร์เข้ามาสร้างความเสียหายอยู่เป็นระยะ ซึ่งก็ไม่ได้มีทีท่าว่าจะน้อยลงไปเลย กลับกันภัยคุกคามเหล่านี้ยังมาพร้อมกับรูปแบบใหม่ๆ ที่สร้างความเสียหายให้กับองค์กรที่มีมูลค่ามหาศาล ทั้งในรูปแบบของสูญเสียเงิน หรือระบบสำคัญไม่สามารถให้บริการลูกค้าได้ เนื่องจากข้อมูลถูกเข้ารหัส องค์กรต้องเสียเวลาในการที่จะกู้ข้อมูลกลับมาเพื่อให้ระบบทำงานได้ และองค์กรยังเสียภาพลักษณ์หรือลดความเชื่อมั่นจากลูกค้า  

Fujitsu Webinar : Smarter Data Protection with Smarter Data Security

TechTalkThai ขอเรียนเชิญ CEO, CIO, CTO, IT Manager, ผู้ดูแลระบบ IT และผู้ที่สนใจทุกท่าน เข้าร่วมฟัง Webinar ในหัวข้อเรื่อง “Smarter Data Protection with Smarter Data Security” เพื่อศึกษาถึง พรบ. คุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับธุรกิจของท่านและรู้ถึงแนวทางการปกป้องข้อมูลให้ตอบโจทย์กฏหมายดังกล่าว ในวันพุธที่ 7 ตุลาคม 2563 เวลา 10.00 - 12.00 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้