Un sofisticado campaña de *skimming* web dirigida a compradores en línea ha surgido con renovada intensidad en 2026, comprometiendo sitios web de comercio electrónico y extrayendo información sensible de pagos durante los procesos de pago en línea. El ataque, identificado como parte de la familia más amplia de amenazas Magecart, representa un desafío en evolución para la seguridad del comercio electrónico

Una sofisticada campaña de web skimming dirigida a compradores en línea ha resurgido con mayor intensidad en 2026, comprometiendo sitios web de comercio electrónico y extrayendo información sensible de pagos durante los procesos de checkout.

El ataque, identificado como parte de la familia más amplia de amenazas Magecart, representa un desafío en evolución para la seguridad del comercio electrónico. Investigadores de amenazas han documentado una extensa infraestructura asociada a esta campaña de larga duración, que ha estado activa desde al menos principios de 2022.

La red maliciosa apunta a los principales proveedores de pagos, incluyendo American Express, Diners Club, Discover, Mastercard, JCB y UnionPay, lo que podría afectar a millones de clientes en todo el mundo.

El ataque opera mediante la inyección de JavaScript, donde un código malicioso se incrusta en sitios web legítimos de comercio electrónico sin activar alertas de seguridad evidentes. Una vez inyectado, el código permanece inactivo hasta que los visitantes llegan a la página de checkout, momento en el que inicia su carga útil de robo de credenciales.

La infraestructura se basa en dominios comprometidos y proveedores de hosting bulletproof para mantener la persistencia y evitar la detección. Analistas de Silent Push señalaron que los atacantes tienen un conocimiento avanzado de los internos de WordPress, aprovechando características menos conocidas como los hooks de acción wp_enqueue_scripts para integrar scripts maliciosos en el proceso de renderizado del sitio web.

La sofisticación técnica radica en cómo el malware crea una fachada convincente durante el proceso de pago. El skimmer establece un MutationObserver para monitorear cambios en la página web en tiempo real, asegurando una vigilancia continua del entorno del formulario de pago.

Luego oculta el formulario legítimo de Stripe e inyecta uno falso casi idéntico que captura números de tarjeta, fechas de vencimiento, códigos CVV e información de facturación. El formulario falso incluye lógica de detección de marcas que reconoce los tipos de tarjeta y muestra las imágenes correspondientes, reforzando la legitimidad ante las víctimas.

Mecanismo sofisticado de exfiltración de datos

El proceso de recolección de datos captura más que solo detalles de pago. El malware monitorea cada campo de entrada en la página de checkout, recolectando nombres, direcciones e información de correo electrónico. Una vez que las víctimas completan el formulario y hacen clic en el botón Realizar pedido, el skimmer compila todos los datos recopilados en un objeto estructurado, aplica cifrado XOR con una clave codificada de 777 y lo codifica en formato Base64.

La carga útil cifrada se transmite mediante una solicitud HTTP POST a servidores de exfiltración ubicados en infraestructura comprometida.

El ataque explota la psicología del usuario mostrando errores de pago después de enviar el formulario, engañando a las víctimas para que crean que ingresaron información incorrecta. Los clientes desprevenidos suelen volver a ingresar sus credenciales en el formulario legítimo, completando su compra con éxito mientras permanecen ajenos a que sus datos ya fueron robados. Esta manipulación psicológica aumenta drásticamente las tasas de éxito del ataque al evitar sospechas.

El malware incluye tácticas de evasión que detectan el estado de administrador de WordPress a través del elemento admin bar y se desactiva automáticamente cuando los administradores ven el sitio, extendiendo significativamente la vida operativa de la campaña.

Los investigadores de seguridad predicen que esta amenaza de varios años continuará atacando tiendas en línea vulnerables durante 2026.