Se ha descubierto una nueva variante de malware de skimming de tarjetas de crédito que utiliza Stripe, una de las plataformas de pago más confiables, tanto como centro de comando como para el almacenamiento de los datos robados. Se trata de un ataque de Magecart que aprovecha la infraestructura de Stripe para evadir la detección.

Se ha descubierto una nueva forma de malware de skimming de tarjetas de crédito escondida dentro de una de las plataformas de pago más confiables de internet.

Investigadores han encontrado un ataque de Magecart que utiliza Stripe, el servicio de pago en línea ampliamente utilizado, tanto como su centro de mando como su depósito de datos.

En lugar de dirigir los datos de las tarjetas robadas a un servidor sospechoso, los atacantes están enrutando todo a través de una infraestructura en la que las tiendas en línea ya confían plenamente.

Lo que hace que este ataque sea especialmente peligroso es lo invisible que es para la mayoría de las herramientas de seguridad. El malware nunca se carga desde un dominio que pertenezca al atacante.

En su lugar, tanto la carga útil (payload) como los datos de las tarjetas robadas viajan a través de api.stripe.com, un dominio que prácticamente todas las tiendas de comercio electrónico permiten por defecto. Eso significa que los filtros de tráfico y las políticas de seguridad que normalmente detectarían un skimmer simplemente dejan pasar a este.

Analistas de Sansec, una firma especializada en seguridad de comercio electrónico, identificaron esta familia de Magecart y publicaron sus hallazgos el 4 de junio de 2026.

Según un informe de Sansec, Sansec afirmó que el atacante almacena el código de robo de tarjetas dentro de los metadatos de un cliente de Stripe, luego lo ejecuta en las páginas de pago antes de escribir los números de tarjeta robados nuevamente en la misma cuenta disfrazados como clientes falsos. Stripe está siendo utilizada como infraestructura criminal gratuita.

El ataque también se apoya en Google Tag Manager para entregar su cargador inicial. Se plantearon contenedores reales de GTM, incluido uno identificado como GTM-P6KZMF63, con una etiqueta personalizada y servidos directamente desde googletagmanager.com.

Esto permite que el cargador se mezcle con las etiquetas de análisis legítimas de una tienda, lo que hace que sea mucho más difícil de detectar sin una auditoría manual cuidadosa.

La campaña parece haber estado activa desde al menos diciembre de 2025, basándose en la fecha de creación de la cuenta de Stripe utilizada en el ataque.

El registro fue creado el 24 de diciembre de 2025, utilizando lo que parece ser una plantilla predeterminada de los datos de muestra de Stripe, completa con un nombre y una dirección de correo electrónico provisionales.

Nuevo ataque de Magecart

El malware divide su trabajo en tres pasos. Primero, el cargador embebido dentro de un contenedor real de GTM se activa en cada página que se carga.

Cuando detecta una página de pago, se conecta a un registro de cliente de Stripe específico controlado por el atacante y descarga el código del skimmer en fragmentos almacenados en múltiples campos de metadatos.

Una vez descargado, el skimmer se adjunta al botón de pago y espera. En el momento en que un comprador hace clic para completar una compra, captura el número completo de la tarjeta, la fecha de vencimiento, el CVV, la dirección de facturación y el total del pedido.

Esos datos son entonces codificados mediante XOR y almacenados silenciosamente en el almacenamiento local del navegador en lugar de ser enviados de inmediato.

El robo real ocurre con retraso. Una rutina separada busca datos de tarjetas almacenados un segundo después de cada carga de página, y nuevamente cada 60 segundos después de eso.

Cuando encuentra un registro, divide los datos a la mitad y los publica en la API de clientes de Stripe como una entrada falsa. El atacante puede recuperar posteriormente todas las tarjetas robadas simplemente enumerando los clientes en su propia cuenta de Stripe.

Una segunda variante que utiliza Google Firestore

Sansec también encontró una variante relacionada que cambia Stripe por Google Firestore, el servicio de base de datos alojado en la nube de Google.

Esta versión extrae su carga útil del skimmer desde un documento de Firestore dentro de un proyecto llamado braintree-payment-app, un nombre elegido para parecer tráfico de pago normal y evitar levantar sospechas.

Ambas variantes siguen la misma idea central: abusar de un servicio en la nube convencional y confiable como un canal oculto que ninguna regla de seguridad estándar bloquearía.

La variante de Firestore demuestra que el grupo de atacantes está construyendo activamente múltiples canales de entrega para su kit de herramientas de skimming.

Sansec recomienda que los dueños de tiendas auditen todos los scripts del lado del cliente en busca de cualquier clave secreta de Stripe, ya que ningún código de front-end legítimo lleva nunca una.

Cualquier llamada a api.stripe.com o firestore.googleapis.com encontrada en el JavaScript del navegador debe ser tratada como una señal de compromiso. Los dueños de tiendas también deben revisar cada etiqueta dentro de su cuenta de Google Tag Manager y eliminar cualquier cosa que no hayan añadido personalmente.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
ID de Contenedor GTM	GTM-P6KZMF63	Contenedor malicioso de Google Tag Manager utilizado como mecanismo de entrega del cargador
ID de Contenedor GTM	GTM-55976FLP	Contenedor malicioso de Google Tag Manager utilizado como mecanismo de entrega del cargador
ID de Contenedor GTM	GTM-MSDHV3HG	Contenedor malicioso de Google Tag Manager utilizado como mecanismo de entrega del cargador
ID de Contenedor GTM	GTM-TV4CSHVN	Contenedor malicioso de Google Tag Manager utilizado como mecanismo de entrega del cargador
ID de Cliente Stripe	cus_TfFjAAZQNOYENR	Registro de cliente de Stripe controlado por el atacante que aloja la carga útil del skimmer
URL de Exfiltración	https://api.stripe.com/v1/customers	Endpoint utilizado para exfiltrar datos de tarjetas robadas como clientes falsos de Stripe
URL de Exfiltración	https://firestore.googleapis.com/v1/projects/braintree-payment-app/databases/(default)/documents/captcha	Endpoint de Firestore utilizado en la variante secundaria para la entrega de la carga útil
Clave localStorage	cus_customer_id	Clave de almacenamiento del navegador utilizada para mantener temporalmente los datos de tarjetas robadas (variante de Stripe)
Clave localStorage	d_data_customer	Clave de almacenamiento del navegador utilizada para mantener temporalmente los datos de tarjetas robadas (variante de Firestore)

Nota: Las direcciones IP y los dominios están intencionalmente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos únicamente dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/new-magecart-attack-turns-stripe/