Skimming de cartes au checkout : comment il fonctionne et comment le prévenir

Le skimming numérique consiste à injecter un petit script dans la page de paiement qui copie ce que le client saisit (numéro de carte, date d'expiration, CVV) et l'envoie vers un serveur de l'attaquant. Le client paie normalement et ne remarque rien. Quelques semaines plus tard, sa banque détecte la fraude.

Comment le script arrive

• Un module vulnérable qui permet d'écrire dans la base de données ou de téléverser des fichiers.
• Des identifiants du back-office volés : l'attaquant colle le script dans un bloc de texte ou dans la configuration.
• Une bibliothèque tierce compromise que votre boutique charge depuis l'extérieur.

La défense la plus efficace : que la carte ne passe pas par votre site

Utilisez des passerelles où les données de carte sont saisies dans un formulaire hébergé par la passerelle elle-même (une page de paiement externe ou un champ intégré depuis son domaine, comme Stripe Elements ou le formulaire de Redsys). Ainsi, même si quelqu'un injecte un script dans votre boutique, il ne peut pas lire ces champs.

D'autres mesures

• Mises à jour de PrestaShop et des modules, en particulier ceux de paiement et de checkout.
• Double authentification sur le back-office.
• Politique de sécurité du contenu (CSP) : elle limite les domaines depuis lesquels la page de paiement peut charger et vers lesquels elle peut envoyer des données.
• Surveillance des modifications dans les fichiers JS et dans les champs de la base de données qui acceptent du HTML.
• Passer en revue les scripts de la page de paiement au moins une fois par mois : savez-vous ce que fait chacun d'eux ?