🔥 Gemini Pro 170 zł -43% •CapCut Pro 460 zł -23% do niedzieli Zobacz →
Przejdź do treści
Malware

Kampania skimmingowa wykorzystuje Stripe i Google Tag Manager. Jak chronić sklep?

Nowa kampania typu Magecart wykorzystuje zaufane domeny Stripe i Google Tag Managera do kradzieży kart płatniczych. Atakujący przechowują skradzione dane w fałszywych rekordach klientów Stripe, omijając standardowe filtry bezpieczeństwa.

3 min read
An abstract composition of a transparent digital shopping cart with a glowing red lock inside, surrounded by tangled blue cables and faint shadowy figures reaching toward the cart. The background is a dark gradient with subtle grid lines, evoking a sense of hidden surveillance and data theft.

Badacze z firmy Sansec odkryli nową kampanię typu Magecart, która w innowacyjny sposób wykorzystuje zaufaną infrastrukturę Stripe oraz Google Tag Managera (GTM) do kradzieży danych kart płatniczych. Atakujący nie tylko przechowują złośliwy kod w ramach GTM, ale również używają API Stripe do przechowywania wykradzionych informacji, co pozwala ominąć standardowe reguły Content Security Policy (CSP) i filtry sieciowe. Zagrożenie dotyczy przede wszystkim sklepów internetowych opartych na platformach Magento i Adobe Commerce.

Jak działa nowa technika skimmingowa?

Mechanizm ataku opiera się na dwóch zaufanych domenach: googletagmanager.com oraz api.stripe.com. Jak wyjaśniają badacze Sansec, złośliwy kod jest ładowany z kontenera GTM i wykonuje się na każdej stronie, która go załadowała. „Zarówno payload, jak i skradzione karty przepływają przez api.stripe.com. Sklepy domyślnie zezwalają na tę domenę, więc skimmer omija reguły Content Security Policy i filtry sieciowe, które w innym przypadku oznaczyłyby ruch do nieznanej domeny skimmera” – czytamy w raporcie.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Kod aktywuje się, gdy klient dotrze do strony kasy. Następnie odwołuje się do konkretnego rekordu klienta w Stripe (o identyfikatorze cus_TfFjAAZQNOYENR), z którego pól metadanych odczytuje JavaScript, składa go w całość i wykonuje za pomocą new Function(). Celem skimmera są dane kart płatniczych (numer, data ważności, kod CVV), a także adresy e-mail, dane adresowe i numer telefonu.

Stripe jako magazyn skradzionych danych

To, co wyróżnia tę kampanię, to sposób przechowywania wykradzionych informacji. Zamiast natychmiastowej eksfiltracji na zewnętrzny serwer, dane są łączone w jeden ciąg, zaciemniane za pomocą operacji XOR i przechowywane lokalnie w przeglądarce ofiary. Osobna rutyna, uruchamiana po załadowaniu strony i co minutę, dzieli dane na pół, tworzy nowy obiekt klienta w Stripe i zapisuje skradzione informacje w polach metadanych. Każda skradziona karta staje się fałszywym rekordem klienta na koncie atakującego w Stripe. Po skopiowaniu danych lokalny plik jest czyszczony, aby zatrzeć ślady ataku.

Sansec odkrył również wariant kampanii, w którym zamiast Stripe wykorzystywana jest usługa Google Firestore – chmurowa baza danych. W tej wersji payload jest pobierany z dokumentu o nazwie tracking/captcha w projekcie braintree-payment-app, co pomaga maskować się jako legalny ruch związany z płatnościami i ochroną przed botami.

Kto jest zagrożony i jak się chronić?

Kampania jest wymierzona głównie w sklepy korzystające z platform Magento i Adobe Commerce. Rekord klienta w Stripe zawierający skimmer został utworzony 24 grudnia 2025 roku, co sugeruje, że operacja może być aktywna od co najmniej tego okresu. Właściciele sklepów powinni przede wszystkim:

  • Regularnie audytować kontenery Google Tag Managera i usuwać nieznane lub nieużywane skrypty.
  • Weryfikować, jakie domeny są dozwolone w regułach Content Security Policy – rozważyć zawężenie listy zaufanych domen.
  • Monitorować nietypowe rekordy klientów w panelu Stripe, zwłaszcza te zawierające podejrzane dane w metadanych.
  • Stosować jednorazowe karty wirtualne z ustalonym limitem dla transakcji online – to skuteczna ochrona dla klientów.

„Zarówno payload, jak i skradzione karty przepływają przez api.stripe.com. Sklepy domyślnie zezwalają na tę domenę, więc skimmer omija reguły Content Security Policy i filtry sieciowe” – podkreślają badacze Sansec.

Co dalej?

Kampania pokazuje, że atakujący coraz częściej wykorzystują zaufane usługi zewnętrzne do ukrywania swojej działalności. Właściciele sklepów internetowych powinni traktować każdą integrację z GTM i Stripe jako potencjalny wektor ataku i regularnie sprawdzać, czy nie pojawiły się nieautoryzowane skrypty. Warto również śledzić komunikaty firm takich jak Sansec, które na bieżąco raportują nowe techniki stosowane przez cyberprzestępców.

#bezpieczeństwo e-commerce #Google Tag Manager #kradzież kart płatniczych #Magecart #skimming #Stripe
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read