Zabezpieczcie proces zakupowy przed szczytem sezonu

Skimming Magecart zaczyna się od XSS

Większość ataków Magecart wykradających dane kart zaczyna się od podatności stored XSS, która wstrzykuje skrypt na stronę zakupu. Penetrify znajduje XSS, w tym stored XSS w recenzjach produktów, profilach użytkowników i polach CMS, zanim atakujący zamienią go w broń.

Błędy logiki zakupowej to bezpośrednia strata przychodu

Manipulacja ceną, nadużywanie kuponów i nadpisywanie sumy koszyka to podatności logiki biznesowej, których skanery DAST nie testują. AI w Penetrify rozumie przepływy aplikacji: sprawdza, czy waszą logikę cenową da się obejść, a nie tylko czy wasz serwer ma znane CVE.

PCI DSS nie obchodzi, że to była wtyczka

Jeśli podatność, która doprowadziła do ujawnienia danych kart, wprowadziła wtyczka innego dostawcy, postępowanie PCI DSS i tak spadnie na was. Wymagane są regularne testy penetracyjne, a nie tylko kwartalne skanowania sieci, a odpowiedzialność jest wasza niezależnie od pochodzenia kodu.

Wymóg 11.4.1: udokumentowana metodyka testów penetracyjnych; testy co najmniej co 12 miesięcy i po istotnych zmianach w środowisku danych posiadaczy kart

Wymogi 6.4.3 i 11.6.1: inwentaryzacja i autoryzacja skryptów na stronach płatności oraz wykrywanie manipulacji, obowiązkowe od 31 marca 2025 roku

Artykuł 32: regularne testowanie środków technicznych chroniących dane osobowe

CC6.1: logiczne kontrole dostępu z dowodami z testów penetracyjnych

PCI DSS 4.0 wziął na cel Magecart: wymogi 6.4.3 i 11.6.1

Od 31 marca 2025 roku dwa wcześniej odroczone wymogi PCI DSS 4.0 są obowiązkowe i oba istnieją z powodu e-skimmingu. Wymóg 6.4.3 nakazuje, aby każdy skrypt ładowany na waszych stronach płatności był zinwentaryzowany, autoryzowany i sprawdzany pod kątem integralności, łącznie z tagami innych dostawców, których nie napisaliście. Wymóg 11.6.1 nakazuje mechanizm wykrywania zmian i manipulacji, który alarmuje o nieautoryzowanej modyfikacji skryptów strony płatności i istotnych dla bezpieczeństwa nagłówków HTTP w postaci, w jakiej otrzymuje je przeglądarka klienta.

To kontrole anty-Magecart: zakładają, że atakujący wprowadzi skrypt do waszego procesu zakupowego, i dbają o to, żebyście to zauważyli. Test penetracyjny atakuje krok wcześniejszy: stored XSS w polu recenzji, podatny panel administracyjny lub wstrzykiwalny blok CMS, który w ogóle daje atakującemu możliwość wykonania skryptu. Proces zakupowy, do którego nie da się nic wstrzyknąć, to ta kontrola, dzięki której alarmy 6.4.3 i 11.6.1 milczą.

Jeśli przyjmujecie płatności przez iframe lub hostowaną stronę płatności, i tak przeczytajcie wymogi uważnie: sprzedawcy w trybie SAQ A nie są zwolnieni z logiki zarządzania skryptami na stronie osadzającej iframe, a wasz acquirer o to zapyta.

Logika zakupowa: podatności, które nie mają CVE

Najcenniejsze podatności w e-commerce to logika biznesowa, a nie brakujące łatki: sumy koszyka przeliczane po stronie klienta i przyjmowane po stronie serwera, kody kuponów dające się łączyć, bo każda ścieżka kodu waliduje je osobno, race conditions pozwalające wydać saldo karty podarunkowej dwa razy oraz API zamówień ujawniające adresy innych klientów przez kolejne identyfikatory. Nic z tego nie występuje w bazie CVE, więc narzędzia oparte na skanerach z natury nie mogą tego znaleźć.

Agent AI w Penetrify testuje te przepływy tak, jak obrabia je oszust: manipulując cenami i ilościami na każdym kroku między koszykiem a przechwyceniem płatności, powtarzając i zrównoleglając żądania, sondując logikę kuponów i programów lojalnościowych oraz przechodząc po identyfikatorach zamówień między kontami. Przed każdym szczytem sezonu to jest test, którego wasz proces zakupowy naprawdę potrzebuje.

Penetrify systematycznie testuje każde pole wejściowe kontrolowane przez użytkownika (recenzje produktów, pola profilu, treści CMS, formularze adresowe) pod kątem stored i reflected XSS. Znalezienie XSS, zanim dotrze do procesu zakupowego, to różnica między naprawionym błędem a zgłoszeniem naruszenia.

Manipulacja ceną, obejścia logiki kuponów i nadpisywanie sumy koszyka to podatności logiki biznesowej niewidoczne dla skanerów sprawdzających nagłówki. AI w Penetrify testuje, czy wasze przepływy zakupowe egzekwują reguły cenowe spójnie na wszystkich ścieżkach kodu.

Penetrify tworzy ustrukturyzowane raporty z testów penetracyjnych z oceną istotności i wskazówkami naprawczymi. Do oceny QSA wchodzicie z udokumentowanym dowodem ciągłego testowania bezpieczeństwa, bez organizowania zlecenia na ostatnią chwilę.

Szczyt sezonu to najgorszy moment na odkrycie podatności. Wykonajcie pełny test penetracyjny na stagingu sześć tygodni przed skokiem ruchu, a potem po każdym istotnym wydaniu. Przy $1,700/month za 20 skanowań testowanie bezpieczeństwa mieści się w kalendarzu e-commerce.