Cyberattack on Magento: Hackers Inject Skimmer, Card Data Stolen
2024/08/25 SecurityOnline — 最近のことだが、Magento プラットフォームを利用する、多数のオンライン・ストアに対するサイバー攻撃が発生している。この攻撃では、サイトにスキマーが挿入され、カード番号／有効期限／CVV/CVC コードといった、顧客の支払いカード・データが盗まれている。それを受けて、Malwarebytes の専門家たちが、ハッカーによる情報窃取の方法について詳述している。
Continue reading “Magento コマース・サイトへのスキマー注入：データ入力の瞬間にデータを傍受する手口とは？”Magecart Attackers Pioneer Persistent E-Commerce Backdoor
2024/04/06 DarkReading — Magecart 攻撃者たちが、新しい手口を確立しようとしている。それは、自動的にマルウェアをプッシュできる永続的なバックドアを、電子商取引 Web サイト内に隠し持つ戦術である。Sansec の研究者たちによると、その脅威アクターが悪用するのは、Adobe Magento eコマース・プラットフォームに存在する、深刻なコマンド・インジェクションの脆弱性 CVE-2024-20720 (CVSS：9.1) であるという。
Continue reading “Magento の脆弱性 CVE-2024-20720：Magecart 攻撃が観測されている”DDoS Evolves: 2023 Trends Reveal Attackers Shift Tactics, Target E-commerce
2024/02/18 SecurityOnline — 分散型サービス拒否 (DDoS) 攻撃の世界において、2023年は著しく変革する年となった。Qrator Labs の力作であるレポートでは、商業ツールとしての DDoS の戦略的武器化や、電子商取引プラットフォームを狙った攻撃の執拗な増加、そして、適応的な防御戦略を必要とする複雑化する脅威の状況などの、いくつかの憂慮すべき動向が明らかにされている。
Continue reading “DDoS 2023 調査：UDP フラッド攻撃が急増 – Qrator Labs”Scams Now Make Up 75% of Cyber-Threats
2023/09/21 InfoSecurity — Norton の最新データによると、2023年上半期において、デスクトップを標的とする脅威の 75％ を、人為的な操作を伴う詐欺が占めているという。コンシューマ向けのセキュリティ・ベンダーである Norton は、Consumer Cyber Safety Pulse レポートを作成するために、トラッキング／ブロックにおける独自のデータを分析した。その結果として、2023年上半期に 15億件以上の脅威をブロックしたが、そこに含まれるものとして、800万件のフィッシング試行および、350万件のデスクトップ脅威、約 33,000件のモバイル脅威があると主張している。
Continue reading “オンライン詐欺の動向：偽 Eショップ／性的脅迫／偽技術サポートが急増 – Norton 調査”Ongoing Xurum Attacks on E-commerce Sites Exploiting Critical Magento 2 Vulnerability
2023/08/14 TheHackerNews — Adobe の Magento 2 ソフトウェアを使用する E コマース・サイトが、遅くとも 2023年1月以降に発生しているキャンペーンで、継続的に標的とされている。この、Akamai により Xurum と名付けられた攻撃は、Adobe Commerce および Magento Open Source の、すでにパッチ適用されている深刻な脆弱性 CVE-2022-24086 (CVSS：9.8) を利用するものであり、その悪用に成功した攻撃者は、任意のコード実行を可能にするという。この攻撃者は、過去 10 日間に Magento ストアで行われた、注文の支払い統計に興味を持っているらしい。
Continue reading “Magento 2 の脆弱性 CVE-2022-24086 が狙い：Xurum いう名のキャンペーンとは？”E-commerce Fraud Surges By Over 50% Annually
2023/07/11 InfoSecurity — Ravelin によると、世界の大半の eコマース業者は、過去12ヶ月間において詐欺に悩まされた後に、今年に入ってからは詐欺対策のスペシャリストを雇う予定だという。不正対策ベンダーである同社は、年間売上高 $50m の企業に勤務する世界の不正対策専門家 1,900人を対象に、Global Fraud Trends 2023 調査を実施した。その結果として、59％ の回答者がオンライン決済詐欺の増加を経験し、51％ がアカウント乗っ取りについても、同様の回答をしていることが明らかになった。
Continue reading “E コマース調査：59％ の決済詐欺の増加を経験し、51％ がアカウント乗っ取りを経験”WordPress Stripe payment plugin bug leaks customer order details
2023/06/13 BleepingComputer — WordPress 用プラグイン WooCommerce Stripe Gateway に脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、プラグイン経由で注文された購入履歴を、未認証の状態で閲覧できるようになる。WooCommerce Stripe Payment は、WordPress のＥコマースサイト向けの決済ゲートウェイであり、現時点で、90万件のアクティブ・インストールがある。このプラグインを利用することで、それぞれの Web サイトから Stripe 決済処理 API を通じて、Visa／MasterCard／American Express／Apple Pay／Google Pay などによる決済が可能になる。
Continue reading “WooCommerce Stripe Gateway の IDOR 脆弱性 CVE-2023-34000 が FIX”Massive phishing campaign uses 6,000 sites to impersonate 100 brands
2023/06/13 BleepingComputer — 2022年6月より発生している、大規模な有名ブランドなりすましキャンペーンにより、百社以上の人気アパレル／フットウェア／衣料品などの偽 Web サイトが展開され、騙された被害者たちはアカウント認証情報や金融情報を騙し取られている。偽の Web サイトが展開されるブランドには、Nike／Puma／Asics／Vans／Adidas／Columbia／Superdry Converse／Casio／Timberland／Salomon／Crocs／Sketchers／The North Face／UGG／Guess／Caterpillar／New Balance／Fila／Doc Martens／Reebok／Tommy Hilfiger などが含まれる。
Continue reading “大規模フィッシング・キャンペーンを検出：100の有名ブランドを装う 6,000 の偽サイト”Vulnerabilities in Honda eCommerce Platform Exposed Customer, Dealer Data
2023/06/08 SecurityWeek — 各種の機器や美品などの販売に利用されている、ホンダの eコマース・プラットフォームで発見された深刻な脆弱性の詳細が、ある研究者により公開された。この欠陥の悪用に成功した攻撃者は、顧客やディーラーの情報にアクセスできる可能性があったという。このセキュリティ・ホールとデータ流出の可能性は、米国在住の研究者 Eaton Zveare により、今年の初めに発見された後に、３月中旬にはホンダに通知された。同社は直ちに問題に対処するための措置を講じ、このホワイトハット・ハッカーに感謝の意を表したが、バグバウンティ・プログラムを設けていないため、報酬は与えなられなかった。なお、ホンダは、悪用の証拠は見つからなかったと述べている。
Continue reading “ホンダの機器類を販売する e コマース・サイトに脆弱性：甚大な被害が発生する可能性があった”Magento, WooCommerce, WordPress, and Shopify Exploited in Web Skimmer Attack
2023/06/05 TheHackerNews — 電子商取引サイトから PII (Personally Identifiable Information) やクレジットカードのデータを盗むことを目的とした、現在進行中の Magecart スタイルの Web スキマー・キャンペーンをサイバー・セキュリティ研究者たちが発見した。これまでの Magecart キャンペーンと異なる点は、乗っ取られたサイトが間に合せの Command and Control (C2) サーバとして機能することで、知らないうちに被害者のサイトが、悪質なコードの配布に悪用されている点である。Akamai は、北米／中南米／欧州などで、さまざまな規模の被害者を確認したと述べている。何千人ものサイト訪問者の、個人情報が不正に収集され売却されるという、危機的な状況に陥る可能性があると指摘している。
Continue reading “Magento／WooCommerce などが標的：商取引サイトを狙う Magecart キャンペーン”Online sellers targeted by new information-stealing malware campaign
2023/06/03 BleepingComputer — Vidar という情報窃取マルウェアを展開し、オンライン販売業者たちを標的とする新たなキャンペーンを介して、認証情報を盗み出す脅威アクターが、これまで以上に有害な攻撃を仕掛けている。この、今週に発見された新しいキャンペーンは、電子メールや Web サイトの問い合わせフォームを悪用して、オンラインストアの管理者に苦情を送りつけるところから始まる。それらの電子メールは、オンライン・ストアの顧客のふりをして、注文が適切に処理されないままに、銀行口座から $550 が差し引かれたと主張する。
Continue reading “Vidar 情報スティーラーの手口を分析：オンライン販売業者たちを狙う悪質キャンペーンとは？”Critical WooCommerce Payments Plugin Flaw Patched for 500,000+ WordPress Sites
2023/03/24 TheHackerNews — WordPress のプラグインであり、50万以上の Web サイトにインストールされている WooCommerce Payments に影響を及ぼす、深刻なセキュリティ欠陥に対するパッチがリリースされた。この欠陥を放置すると、脆弱なオンラインショップに対して、脅威アクターによる不正なアクセスが可能になると、2023年3月23日のアドバイザリで同社は発表している。この問題は、バージョン 4.8.0〜5.6.1 に影響を及ぼすという。
Continue reading “WooCommerce 決済プラグインの深刻な脆弱性：WordPress サイト 50万以上に影響を及ぼす？”Shopify Fails to Prevent Known Breached Passwords
2022/09/08 TheHackerNews — 最近のレポートにより、e コマース・プロバイダーである Shopify は、同社の Web サイトの顧客向けセクションで、特に脆弱なパスワード・ポリシーを使用していることが判明した。報告書によると、Shopify は顧客に対して、少なくとも５文字以上で、スペースで開始／終了しないパスワードの使用を要求しているという。
Continue reading “Shopify の脆弱なパスワード・ポリシー：e コマース業界全体としての改善が必要”Hackers Exploit PrestaShop Zero-Day to Steal Payment Data from Online Stores
2022/07/25 TheHackerNews — 脅威アクターたちが、オープンソースの eコマース・プラットフォーム PrestaShop の未知の脆弱性を悪用し、機密情報の窃取を目的としたスキマー・コードを注入するという、悪質な攻撃を行っているようだ。7月22日に発表されたアドバイザリで PrestaShop は、「攻撃者は、PrestaShop を運用しているサーバー上で任意のコードを実行するために、セキュリティの脆弱性を悪用する方法を発見した」と説明している。
Continue reading “PrestaShop のゼロデイ CVE-2022-36408 の悪用：オンラインストアから決済データを窃取”
IoT OT Security News 