JS-sniffer FakeSecurity rouba dados de cartão em lojas Magento durante o checkout
A Group-IB identificou uma campanha do sniffer de JavaScript FakeSecurity injetado diretamente no código-fonte de lojas Magento, capturando dados de cartão de pagamento no momento do checkout e enviando-os a servidores controlados por criminosos hospedados em domínios como magento-security[.]org. Lojas como healthcare4all.co.uk, genstattu.com e tokyoflash.com foram identificadas como comprometidas.
JS-sniffers como o FakeSecurity são a versão digital do 'chupa-cabra' em caixas eletrônicos: em vez de clonar um cartão físico, o código malicioso é inserido diretamente no HTML/JavaScript da página de pagamento de um e-commerce e captura, em tempo real, os dados digitados pelo cliente — número do cartão, validade, CVV e dados pessoais — antes mesmo de eles serem processados pelo gateway de pagamento legítimo. Esse tipo de ataque, popularizado sob o nome genérico de 'Magecart', costuma explorar plugins desatualizados, credenciais de administração fracas ou vulnerabilidades conhecidas em plataformas como o Magento para inserir o script malicioso.
O diferencial do FakeSecurity, segundo a análise da Group-IB, é o disfarce: o próprio nome do domínio de exfiltração (magento-security[.]org) tenta se passar por um serviço de segurança legítimo da plataforma, dificultando a detecção por administradores de loja que revisam o código-fonte superficialmente. Uma vez capturados, os dados de cartão são enviados a servidores dos atacantes e posteriormente revendidos em mercados de cartões clonados ou usados diretamente em fraudes de cartão não presente (CNP) — compras online feitas com o número roubado sem posse física do plástico.
Do ponto de vista de quem opera um e-commerce, a defesa passa por integridade de código: monitoramento de mudanças não autorizadas no checkout, Content Security Policy (CSP) restritiva que bloqueie conexões de saída para domínios desconhecidos, e auditorias regulares de scripts de terceiros carregados na página de pagamento — muitos ataques desse tipo entram justamente por meio de widgets ou pixels de terceiros comprometidos. Ferramentas de integrity monitoring (como Subresource Integrity) e WAFs com regras específicas para skimmers ajudam a reduzir a janela de exposição.
Já para o consumidor, o sinal de alerta é sutil, já que a loja em si é legítima e o ataque ocorre 'por baixo do capô': a recomendação prática é usar cartões virtuais de uso único para compras online, ativar notificações de transação em tempo real no aplicativo do banco, e monitorar a fatura em busca de cobranças pequenas e não reconhecidas — testes de validade que fraudadores costumam fazer antes de uma compra maior.