Una operación de skimming web a gran escala ha surgido en internet, apuntando a compradores y titulares de cuentas online con un alcance sin precedentes. Investigadores de seguridad han identificado una campaña global de más de 50 scripts que intercepta información sensible durante los procesos de pago y creación de cuentas. 

Una operación de skimming web a gran escala ha surgido en internet, apuntando a compradores y titulares de cuentas en línea con una envergadura sin precedentes.

Los investigadores de seguridad han identificado una campaña global de más de 50 scripts que intercepta información sensible durante los procesos de pago y creación de cuentas.

El ataque demuestra una evolución significativa en la forma en que los ciberdelincuentes atacan a las plataformas de comercio electrónico, pasando de un simple robo de tarjetas de crédito a robar identidades completas de clientes.

La campaña emplea cargas útiles modulares diseñadas para procesadores de pago específicos. Los atacantes han creado variaciones localizadas que se dirigen específicamente a Stripe, Mollie, PagSeguro, OnePay, PayPal y otras pasarelas de pago importantes.

Este enfoque personalizado permite que el malware se mezcle perfectamente con las interfaces de pago legítimas, lo que dificulta significativamente la detección tanto para los equipos de seguridad como para los clientes que completan las transacciones.

Los analistas de Source Defense Research identificaron la infraestructura del malware, descubriendo una red sofisticada de nombres de dominio utilizados para distribuir y controlar el ataque.

Dominios como googlemanageranalytic.com, gtm-analyticsdn.com y jquery-stupify.com fueron diseñados para parecer legítimos, a menudo imitando bibliotecas y servicios de análisis populares que los sitios web normalmente cargan.

Este engaño permite que los scripts maliciosos se ejecuten sin levantar sospechas inmediatas.

El ataque opera a través de múltiples vectores de infección que lo hacen excepcionalmente peligroso. Scripts maliciosos inyectan formularios de pago falsos directamente en los sitios web, creando interfaces de phishing convincentes que capturan los datos del cliente.

La campaña

La campaña también implementa técnicas de skimming silencioso, grabando silenciosamente la información mientras los usuarios escriben.

Además, los scripts implementan medidas antilavado forense, que incluyen entradas de formulario ocultas y generación de tarjetas falsas válidas según Luhn, lo que complica los esfuerzos de respuesta a incidentes y análisis.

Lo que distingue a esta campaña es su alcance ampliado más allá de los detalles de las tarjetas de pago. El malware recolecta activamente credenciales de usuario, información de identificación personal y direcciones de correo electrónico.

Esta recopilación integral de datos permite a los atacantes realizar ataques de toma de control de cuentas y establecer acceso persistente a través de cuentas de administrador ilegítimas. La amenaza ha evolucionado eficazmente de un skimming específico de tarjetas a una operación de compromiso de identidad completa.

La campaña revela cómo el skimming web ha madurado hasta convertirse en un mecanismo sofisticado de persistencia a largo plazo.

Al robar credenciales y establecer acceso de administrador, los atacantes pueden mantener el control sobre los sitios web comprometidos durante períodos prolongados, recolectando continuamente datos de múltiples flujos de transacciones.

Las organizaciones que ejecutan plataformas de comercio electrónico deben fortalecer la seguridad del lado del cliente, implementar políticas de seguridad de contenido y desplegar un monitoreo de formularios de pago en tiempo real para detectar y bloquear tales inyecciones maliciosas antes de que lleguen a los clientes.