Los ataques de eSkimming, comúnmente conocidos como ataques Magecart, siguen afectando a sitios web de comercio electrónico en todo el mundo, robando datos de tarjetas de pago de clientes desprevenidos durante el proceso de compra. Estas campañas maliciosas inyectan código JavaScript en sitios web comprometidos, capturando información financiera sensible mientras los usuarios completan sus transacciones. 

Los ataques de eSkimming, comúnmente conocidos como ataques Magecart, siguen afectando a sitios web de comercio electrónico en todo el mundo, robando datos de tarjetas de pago de clientes desprevenidos durante el proceso de compra.

Estas campañas maliciosas inyectan código JavaScript en sitios web comprometidos, capturando información financiera sensible mientras los usuarios completan sus transacciones.

A diferencia del malware tradicional, que requiere acceso al sistema, el eSkimming opera completamente dentro del entorno del navegador, lo que lo hace especialmente difícil de detectar y eliminar por completo.

El ataque se ha vuelto cada vez más sofisticado a medida que los actores de amenazas perfeccionan sus técnicas para evadir las defensas de seguridad y mantener acceso persistente mucho después de la detección inicial.

La aparición del eSkimming como una amenaza generalizada coincidió con el aumento de las dependencias de scripts de terceros en los sitios web modernos.

Los atacantes explotan estas vulnerabilidades en la cadena de suministro al comprometer servicios de procesamiento de pagos, proveedores de análisis y plataformas de soporte al cliente.

Una vez inyectado un script malicioso, este captura silenciosamente los datos de los formularios y las credenciales de pago antes de enviarlos a servidores controlados por los atacantes.

El alcance del ataque va más allá de los grandes minoristas: las pequeñas y medianas empresas siguen siendo igualmente vulnerables, ya que a menudo carecen de los recursos para implementar controles de seguridad robustos del lado del cliente.

Analistas de Source Defense identificaron patrones críticos de persistencia a través de un estudio de un año sobre 550 sitios web de comercio electrónico previamente comprometidos en 68 países, lo que desafió fundamentalmente las suposiciones convencionales sobre la recuperación.

Su investigación reveló que el dieciocho por ciento de los sitios previamente infectados seguían comprometidos activamente un año después de la detección inicial.

Entre esas infecciones persistentes, el cincuenta y siete por ciento involucraba nuevos o evolucionados caminos de ataque, en lugar de código residual simple, lo que indica una adaptación activa del adversario en lugar de amenazas residuales pasivas.

Tácticas de cambio de los atacantes: movimiento entre capas de procesamiento de pagos

El descubrimiento más preocupante fue cómo los atacantes cambiaban entre scripts de primera y tercera parte durante los ciclos de remediación.

Cuando las organizaciones eliminaban el skimmer visible sin abordar las vulnerabilidades subyacentes, los atacantes regresaban a través de diferentes vectores.

El doce por ciento de las campañas evolucionó de la ejecución de terceros a JavaScript de primera parte, incrustándose más profundamente en la lógica central del sitio web, donde los controles de seguridad tradicionales resultaron ineficaces.

Esta estrategia de adaptación revela que los atacantes monitorean activamente las respuestas defensivas y buscan deliberadamente puntos de inyección más difíciles de detectar.

La debilidad estructural radica en el punto ciego del navegador. La mayoría de las herramientas de seguridad se centran en la protección del lado del servidor: firewalls, políticas de seguridad de contenido y escáneres de código, dejando las amenazas del lado del cliente en gran medida sin supervisión.

La limpieza puntual elimina el malware visible, pero no puede prevenir la reinfección sin visibilidad continua en tiempo de ejecución.

Las organizaciones necesitan monitoreo en tiempo real del navegador para detectar comportamientos no autorizados de scripts, bloquear el acceso a datos sospechosos y aplicar controles antes de que ocurra la exfiltración. Sin abordar esta brecha, la persistencia del eSkimming seguirá siendo la norma en lugar de la excepción.