ECサイトを改ざんしクレジットカード情報を窃取する「Webスキミング」に注意を！ 通販サイト運営者に求められる対策とは

一般財団法人日本サイバー犯罪対策センター（JC3）は3月22日、不正スクリプトを読み込ませるようにECサイトを改ざんし、不正にクレジットカード情報などを窃取する「Webスキミング」の手口の一種を確認したと公表、EC事業者などに注意喚起を呼びかけている。
警察やラック、トレンドマイクロなどとの連携で、「Webスキミング」の手口の一種を確認した。改ざんされたECサイトで商品の購入手続きなどを行った場合、その間に入力したクレジットカード情報などが悪意の第三者に窃取される。
JC3は「Webスキミング」の流れを次のように推定している。

改ざん
攻撃者はクレジットカード情報などを窃取する不正スクリプトを用意。ECサイトを何らかの方法で当該スクリプトを参照させるように改ざんする
閲覧・購入
利用者は改ざんに気が付くことなくECサイトにおいて商品の閲覧や購入などを行う
不正スクリプトの読み込み
利用者側の環境に不正スクリプトが読み込まれ、利用者がECサイトの画面（例：ログイン画面、会員登録画面、決済画面）で入力した情報が窃取される
購入時、カード情報などを送信
利用者が決済画面で商品購入すると、正常に注文が完了すると同時に収集されていた各種情報が攻撃者側へ送信される

カード情報などが窃取されるまでの流れ

被害に遭ったECサイトでは、不正スクリプトを参照するようにH

リンク元