Come capire se il tuo negozio PrestaShop è stato hackerato

L'attaccante che entra in un negozio online non vuole che tu lo veda: vuole restare. Per questo i segnali sono sottili. Se hai sospetti, questi sono i controlli che facciamo.

Segnali d'allarme

• Clienti che denunciano addebiti fraudolenti dopo aver comprato nel tuo negozio.
• Reindirizzamenti verso altri siti, soprattutto solo da Google o solo da mobile.
• Dipendenti del back office che nessuno ha creato.
• Avvisi di Google Search Console su contenuti compromessi o spam.
• Carico del server alto senza aumento delle visite.

Cercare le webshell

Una webshell è un file PHP che permette all'attaccante di eseguire comandi sul tuo server. Di solito si nasconde in cartelle di moduli o di immagini, con nomi innocui.

# PHP en carpetas donde no debería haber
find img upload download -name "*.php" ! -name index.php

# Funciones típicas de puertas traseras
grep -rlE "eval\s*\(\s*(base64_decode|gzinflate|\\\$_(POST|REQUEST|GET))" --include=*.php .

# Ficheros PHP modificados en los últimos 30 días
find . -name "*.php" -mtime -30 -not -path "./var/*"

Cercare gli skimmer

Uno skimmer ruba i dati della carta nel checkout. Di solito è JavaScript iniettato nel database (configurazione, blocchi di testo, traduzioni) o nei file JS del tema.

• Cerca <script nelle tabelle di configurazione, CMS e blocchi HTML.
• Controlla quali domini esterni carica la tua pagina di pagamento (scheda Rete del browser).
• Confronta i JS del tema con una copia pulita.

Confronta con l'originale

Scarica lo ZIP ufficiale della tua versione di PrestaShop e confronta i file del core. Qualsiasi differenza in classes/, controllers/ o src/ che non venga da un override documentato è sospetta.

Obblighi

Se sono stati esposti dati personali, il GDPR obbliga a notificarlo entro 72 ore all'autorità di controllo, in Spagna l'Agencia Española de Protección de Datos, e, se ci sono dati di carte, al tuo istituto di pagamento. Consulta il tuo consulente legale.