Stripe API misbrugt i skimming-angreb på nettet

Cyberkriminelle udnytter Stripe API i ny skimming-kampagne mod onlinebutikker

Cyberkriminelle har taget en ny metode i brug til at stjæle betalingsoplysninger ved at målrette angreb mod den populære betalingsløsning Stripe. I en nyligt afsløret kampagne har cybersikkerhedsforskere hos Jscrambler dokumenteret, hvordan hackere har misbrugt ældre funktioner i Stripe API'en til at gennemføre webskimming-angreb. Denne metode har kompromitteret en række onlinebutikker og gjort det muligt for trusselsaktører at opsnappe følsomme kreditkortdata fra intetanende kunder.

En ny teknik – samme gamle trussel

Webskimming, også kendt som Magecart-angreb, går typisk ud på at indsætte ondsindet JavaScript på e-handelswebsites. Dette script opsnapper kundernes betalingsoplysninger, når de indtastes under checkout. Selvom metoden i sig selv er velkendt, adskiller denne kampagne sig ved at tilføje et sofistikeret element: integrationen af Stripes API som en del af angrebskæden.

Det er vigtigt at understrege, at hackerne ikke kompromitterede Stripe som virksomhed. I stedet udnyttede de offentligt tilgængelige endepunkter i en ældre version af Stripes API til at validere de stjålne kortoplysninger. Ved at skjule deres aktivitet som legitim trafik blev det markant sværere at opdage angrebet.

Sådan fungerer kampagnen

Angrebet starter med, at hackerne indsætter en JavaScript-skimmer på en sårbar e-handelsplatform. Når en kunde indtaster sine betalingsoplysninger, opsnapper scriptet dataene og videresender dem til en server, som kontrolleres af hackerne.

Det der gør denne kampagne særligt avanceret er, at de stjålne kreditkortoplysninger bliver valideret i realtid via Stripe API’en. Denne validering gør det muligt for hackerne at bekræfte, at kortet er aktivt og klar til misbrug – hvilket minimerer tiden mellem tyveri og økonomisk udnyttelse.

Risici for onlineforhandlere

Denne kampagne sætter fokus på en væsentlig sikkerhedsrisiko for virksomheder, der driver onlinebutikker. Selv med sikre betalingsløsninger som Stripe kan en webshop blive kompromitteret, hvis der mangler beskyttelse på klientsiden.

Hackerne udnyttede Stripes API uden at kompromittere selve infrastrukturen. Det understreger behovet for at sikre frontend-miljøet – altså det sted, hvor scripts afvikles, og kunderne indtaster deres følsomme oplysninger.

Ifølge Jscrambler er realtidsovervågning af aktivitet på klientsiden afgørende. Uden denne synlighed kan skadelige scripts forblive skjulte, selv på hjemmesider, der umiddelbart virker sikre.

Hvad virksomheder kan gøre

Virksomheder bør sikre, at de anvender den nyeste version af Stripes API, og deaktivere alle forældede slutpunkter for at minimere risikoen for misbrug. Derudover bør de implementere klientbaserede sikkerhedsforanstaltninger som Content Security Policy (CSP), Subresource Integrity (SRI) og JavaScript runtime protection, der kan hjælpe med at opdage og afvise forsøg på webskimming.

Stripe har selv opfordret udviklere til at migrere væk fra ældre API-versioner, da nyere udgaver tilbyder forbedret sikkerhed og mere robust validering af betalingsoplysninger.

Den voksende trussel fra angreb på frontend-delen af websitet

Denne kampagne er en del af en bredere tendens, hvor hackere i stigende grad retter deres fokus mod frontend-delen af websitet. I takt med at backend-systemer bliver bedre sikret, fremstår den synlige og brugerrettede del som et oplagt mål – netop fordi den ofte er mere eksponeret og sværere at overvåge.

Selvom denne kampagne specifikt omhandler misbrug af betalings-API’er, ser vi også, at hackere udforsker andre metoder til at udnytte brugervendte systemer og velkendte platforme. I ét tilfælde anvendte russiske hackere fra Star Blizzard-gruppen QR-koder i phishing-e-mails for at lokke brugere til at scanne ondsindede links – en metode kendt som quishing. I et andet angreb misbrugte cyberkriminelle Zendesk-platformen til at sende beskeder i kendte brands navn og udnytte den tillid, brugerne har til legitime tjenester.

Fælles for disse angreb er, at hackerne målretter sig mod de områder, hvor brugerne interagerer direkte med teknologien. Denne hændelse viser tydeligt, at sikker betalingsteknologi ikke er nok i sig selv. Virksomheder skal også beskytte frontend-delen af websitet – for det er her, mange angreb i dag finder sted.