Skimming delle carte nel checkout: come funziona e come prevenirlo

Lo skimming digitale consiste nell'iniettare un piccolo script nella pagina di pagamento che copia ciò che il cliente digita (numero di carta, scadenza, CVV) e lo invia a un server dell'attaccante. Il cliente paga normalmente e non si accorge di nulla. Settimane dopo, la sua banca rileva la frode.

Come arriva lo script

• Un modulo vulnerabile che permette di scrivere nel database o di caricare file.
• Credenziali del back office rubate: l'attaccante incolla lo script in un blocco di testo o nella configurazione.
• Una libreria di terze parti compromessa che il tuo negozio carica dall'esterno.

La difesa più efficace: la carta non passa dal tuo sito

Usa gateway in cui i dati della carta si inseriscono in un modulo ospitato dal gateway stesso (una pagina di pagamento esterna o un campo incorporato dal suo dominio, come Stripe Elements o il modulo di Redsys). Così, anche se qualcuno inietta uno script nel tuo negozio, non può leggere quei campi.

Altre misure

• Aggiornamenti di PrestaShop e dei moduli, soprattutto quelli di pagamento e checkout.
• Doppio fattore nel back office.
• Content Security Policy (CSP): limita da quali domini la pagina di pagamento può caricare e inviare dati.
• Monitoraggio delle modifiche ai file JS e ai campi del database che accettano HTML.
• Controllare gli script della pagina di pagamento almeno una volta al mese: sai cosa fa ognuno?