Вместо да празнуват Св. Валентин или Трифон Зарезан, собствениците на стотици български онлайн магазини прекараха втория уикенд на февруари в чистене на последствия от хакреска атака.
Става дума за няколко уязвимости в един от най-използваните тракинг модули за WordPress – PixelYourSite, включително PRO версията му.
В електронната търговия винаги има напрежение между usability и security.
Когато трябва да изберем, често избираме удобството. Напълно човешко е.
Обикновено плащаме цената малко по-късно под формата на принудително спиране на магазина и загуба на поръчки, респективно – пари.
Този случай го показа ясно.
Уроците, които научихме за пореден път, са:
1. Не даваме администраторски права, защото е по-лесно
WooCommerce има роля Shop Manager. Тя е създадена точно за работа с поръчки. Въпреки това масово се работи с Administrator.
Когато зловреден код се изпълни в сесия с администраторски права, последствията са директни: нов админ, бекдор, пълен контрол.
Не защото плъгинът е „всемогъщ“. А защото му даваме среда с максимални права.
2. Не трябва да третираме всяка поръчка като легитимна
Stored XSS в този случай се активира при отваряне на поръчка.
Фалшива поръчка. Българско име. Нищо подозрително на пръв поглед. Отваряш я.
И всъщност стартираш атаката. В електронната търговия сме свикнали да гледаме на checkout-а като на бизнес поток.
Нападателите го гледат като входна точка.
3. 2FA и Zero Trust трябва да се въведат сега
Двуфакторна автентикация? „Да, ще я включим.“
Cloudflare Zero Trust? „Имаме го в плана.“
Реалността е проста: ако сесията на администратор е защитена с 2FA и има допълнителни ограничения, атаката става значително по-трудна за ескалация (дори и да се създаде зловреден администраторски акаунт, той е неизползваем).
4. Не се доверяваме сляпо на външни модули
Маркетингов плъгин. Тракер. Интеграция с рекламни платформи. Звучи безобидно.
Но всеки модул, който записва входящи данни и има достъп до админ панела, е част от attack surface-а.
Supply chain рискът вече не е теория. Той е ежедневие.
5. Въвеждаме мониторинг
Уязвимости винаги ще има. И те винаги ще бъдат експлоатирани.
Въпросът не е дали ще се появят, а дали ще ги засечем навреме.
Логове, Аларми при създаване на нов администратор. Мониторинг на необичайни POST заявки.
Проследяване на промени по файловата система.
Ако имаш видимост, имаш шанс да ограничиш щетите. Ако нямаш — разчиташ на късмет.
Какво незабавно трябва да направите:
- проверете кой какви права има в магазина ви
- 3 пъти мерете, 1 път режет, преди да отворите каквото и да било
- не отлагайте базови мерки за сигурност
- не приемайте външния код като „доверен по подразбиране“, евтиното винаги излиза скъпо
Сигурността е процес.
