Cake Box社は、同社のウェブサイトをハッキングされクレジットカード番号のデータ漏洩があったことを公表しました。
Cake Boxは、卵を使わずに作られた生クリーム入りのお祝い用ケーキを販売する英国チェーン店です。現在、Cake Boxの店舗はイギリス国内に164店舗展開しています。
Cake Box社は顧客に送られたメールで、2020年に同社のウェブサイトがハッキングされ、サイトに送信されたクレジットカードを含む顧客情報を盗む悪意のあるスクリプトが含まれていたことを明らかにしました。
Cake Boxは、2020年4月27日、決済処理プロバイダーであるGlobal Payments社から連絡を受け、サイトが侵害されていることが発覚。
Cake Boxは送付したデータ侵害の通知書の中で、「当社はこれを受け直ちにシステムの徹底的な調査を開始し、経験豊富な第三者のセキュリティ専門家の協力を得て、未承認の第三者が確かに最近Cake Boxのウェブサイトにアクセスし、特定のマルウェアを設置したことが判明しました。このマルウェアを使用して、攻撃者は当社のウェブサイトで購入する際にお客様から提供された特定の情報をコピーしており、この情報が不正な購入に使用されていることが判明しました。」と述べています。
これらの悪意のあるスクリプトは、感染した状態のサイトで顧客が購入を行うと、姓、名、電子メールアドレス、住所、3桁のCVVコードを含む決済カード情報を攻撃者が管理するリモートサーバーに送信していたようです。
MageCartによる攻撃の可能性
説明によると、今回の侵害はMageCart攻撃と考えられていまs。
MageCart攻撃とは、脅威者がEコマースサイトをハッキングし、支払い確認ページに悪意のあるスクリプトを追加するもので、これらのスクリプトは支払いページを監視し、そのページでクレジットカード情報が送信された場合、そのデータを攻撃者の制御下にあるリモートサイトに送信します。
その後、攻撃者は自社のサーバーにログインして、盗んだクレジットカード情報を取得し、ダークウェブで販売したり、不正な取引を行ったりすることができるものとなっています。
Comments