ZDNet獲悉，黑客團(tuán)體和在線欺詐者正在濫用Magento在線商店的功能，以測試被盜借記卡和信用卡號的有效性。

該技術(shù)由攻擊者嘗試使用被盜的支付卡進(jìn)行數(shù)百次$ 0交易以檢查卡的有效性。

這些交易是針對支持PayPal Payflow Pro集成的Magento商店執(zhí)行的。

PayPal Payflow Pro集成是Magento商店提供的一種付款選項(xiàng)，允許在線商店通過PayPal商家(企業(yè))帳戶處理卡交易。

許多商店之所以使用它，是因?yàn)樗试S他們使用嵌入在其網(wǎng)站上的結(jié)帳表格通過PayPal接收付款，而用戶無需離開商店即可在PayPal門戶上輸入詳細(xì)信息。

在野外發(fā)現(xiàn)濫用行為

根據(jù)Magento團(tuán)隊(duì)發(fā)布的安全公告，并由ZDNet看到，黑客正在濫用Magento 2.1.x和2.2.x版本中包含的PayPal Payflow Pro集成，以測試被盜卡的有效性。

騙子們不會使用被盜的卡來下單訂購真實(shí)產(chǎn)品，而只是發(fā)起一筆$ 0大小的交易，看看它是否返回任何錯誤-并間接確認(rèn)卡的詳細(xì)信息有效。

據(jù)認(rèn)為，黑客是從所謂的“刷卡論壇”(地下網(wǎng)絡(luò)犯罪論壇)購買這些卡的，那里的黑客和ATM掠奪組織正在出售卡的詳細(xì)信息。

這些“ 卡轉(zhuǎn)儲 ”中的許多經(jīng)常包含舊的和過期的付款卡的詳細(xì)信息，并且購買者經(jīng)常需要一種方法來驗(yàn)證新購買的卡轉(zhuǎn)儲的詳細(xì)信息，然后再將其用于銀行或在線商店的欺詐操作或創(chuàng)建卡克隆。

Magento團(tuán)隊(duì)表示，Magento CMS的兩個版本都容易受到攻擊-自托管的開放源代碼版本以及本地或基于云的商業(yè)Magento產(chǎn)品。

Magento 2.3.x版本也可能容易受到攻擊，但是Magento團(tuán)隊(duì)迄今尚未發(fā)現(xiàn)任何濫用此類網(wǎng)站的跡象。

保護(hù)商店是必須的

Magento團(tuán)隊(duì)現(xiàn)在建議店主考慮建立一個Web應(yīng)用程序防火墻(WAF)或其他反暴力或機(jī)器人檢測系統(tǒng)，以保護(hù)商店免受此類濫用。

商店老板可能會認(rèn)為他們并沒有遭受任何損失，因?yàn)楹诳椭皇窃跍y試某些支付卡詳細(xì)信息，但事實(shí)并非如此。

Magento團(tuán)隊(duì)警告商店所有者，PayPal在重復(fù)進(jìn)行自動操作后可能會暫停其帳戶。他們建議商店所有者聯(lián)系PayPal，并詢問可以為PayPal商業(yè)帳戶推出的其他反欺詐安全措施。