Web skimming é um tipo de ataque cibernético no qual scripts maliciosos são incorporados em um site para roubar informações de cartão de crédito e dados pessoais inseridos pelos usuários. Os formulários de pagamento em sites e-commerce frequentemente são alvos, e houve inúmeros incidentes relatados no Japão em que informações dos usuários foram roubadas sem o conhecimento deles.

Acessos não autorizados e violações de dados direcionadas a sites de e-commerce tornaram-se uma grande preocupação de segurança para as empresas, tornando a implementação de sistemas de pagamento seguros essencial.

Este artigo apresenta uma visão geral acessível do web skimming — abordando como ele funciona, suas causas subjacentes, contramedidas eficazes e estudos de caso relevantes do Japão.

O que vamos abordar neste artigo?

• O que é o web skimming?
  
• Como o web skimming funciona
  
• Fatores de risco para o web skimming
  
• Contramedidas de web skimming
  
• Exemplos de web skimming no Japão
  
• Como o Stripe Radar pode ajudar
  

O que é web skimming?

Web skimming é um tipo de ciberataque no qual código malicioso é inserido em um site para roubar informações inseridas pelos usuários.

Apesar da presença desse código malicioso, a página de pagamento e os formulários de entrada de dados do site parecem ser genuínos. Como resultado, os usuários não percebem a alteração e inserem suas informações de cartão de crédito e dados pessoais no site como de costume. No entanto, existe o risco de que essas informações sejam transmitidas ao atacante sem o conhecimento dos usuários.

Incidentes de web skimming

Houve inúmeros relatos de informações de cartão de crédito comprometidas ou vazadas devido a acessos não autorizados a sites de e-commerce.

Em março de 2022, a Comissão de Proteção de Dados Pessoais realizou uma pesquisa sobre acessos não autorizados a sites de e-commerce. Os resultados mostraram que, para sites que sofreram acesso não autorizado, informações de cartão de crédito foram vazadas em 93% dos casos, e o uso fraudulento de cartões ocorreu em 77% dos casos. Aproximadamente 80% das empresas suspenderam temporariamente a operação de seus sites de e-commerce em decorrência do acesso não autorizado.

Assim, o web skimming e outros ataques cibernéticos podem ter um impacto significativo nas operações das empresas. Isso pode levar não apenas ao vazamento de informações dos clientes, mas também à suspensão das operações de e-commerce e a danos à reputação da empresa.

Diferenças em relação ao skimming

"Skimming" é um conceito semelhante ao web skimming. As principais diferenças entre skimming e web skimming são as seguintes:

O skimming é um ato criminoso que envolve a leitura não autorizada dos dados da banda magnética de um cartão de crédito e outras informações. Um método comum envolve a instalação de um dispositivo em um caixa eletrônico ou máquina de cartão para roubar informações do cartão.

Já o web skimming é um ataque realizado pela internet; envolve a inserção de scripts ou código malicioso em sites para roubar dados inseridos pelos usuários.

Como funciona o web skimming

No web skimming, código malicioso ou script inserido no site é usado para transmitir informações inseridas pelos usuários para terceiros. Atacantes usam vários métodos para comprometer sites e serviços externos, criando as condições necessárias para acessar os dados inseridos pelos usuários.

O processo típico de web skimming é o seguinte:

• Um atacante adultera um site ou serviço externo e insere um script malicioso.
  
• Um usuário insere informações de cartão de crédito ou dados pessoais em um formulário de pagamento ou outro semelhante.
  
• O script captura as informações que foram inseridas.
  
• Essas informações adquiridas são enviadas para o servidor do atacante.
  

Mesmo que o script esteja inserido no site, a aparência visual do site permanece inalterada; consequentemente, os usuários digitam suas informações de cartão de crédito e dados pessoais acreditando que estão usando o site normalmente.

Como isso ilustra, esquemas de web skimming são extremamente sofisticados; há muitos casos em que meses se passam sem que usuários ou empresas percebam que uma violação ocorreu. Portanto, cabe aos operadores de empresas eliminar vulnerabilidades potenciais que possam torná-los alvos de web skimming e implementar contramedidas robustas.

Fatores de risco para web skimming

Web skimming ocorre quando atacantes exploram vulnerabilidades como fraquezas em sites, manipulação de serviços externos ou segurança insuficiente em sites de e-commerce.

Vulnerabilidades de sites

Um dos fatores que contribuem para o web skimming são as vulnerabilidades em sites. Se houver vulnerabilidades de segurança em um sistema de gerenciamento de conteúdo (CMS) ou na plataforma de desenvolvimento usada para o site de e-commerce, há um risco maior de que o site seja comprometido por atacantes.

Por exemplo, ataques cibernéticos — como a injeção de SQL (um ataque que envia comandos maliciosos para o banco de dados de um site) — podem resultar na inserção de scripts maliciosos em um site.

Os sites ficam mais vulneráveis a ataques se atualizações de software não forem aplicadas ou se versões desatualizadas de plugins forem utilizadas.

Serviços externos ou scripts comprometidos

Se scripts em serviços externos forem adulterados, ataques de web skimming podem ocorrer mesmo que o próprio site não tenha sido comprometido.

Sites de e-commerce utilizam uma grande variedade de scripts externos, incluindo ferramentas de análise, funcionalidades de chat e serviços de pagamento. Se esses scripts externos forem comprometidos, há o risco de que as informações inseridas pelos usuários sejam enviadas a atacantes.

Esse tipo de ataque também pode afetar um grande número de outros sites que usam o mesmo serviço externo.

Medidas de segurança inadequadas

Se medidas de segurança adequadas e sistemas de gerenciamento não forem implementados, o risco de acesso não autorizado ou manipulação de dados aumenta.

Por exemplo, restrições insuficientes de acesso ao portal de administração ou gerenciamento inadequado de senhas podem levar a acesso não autorizado.

Se o monitoramento de segurança e as auditorias de vulnerabilidades forem inadequados, scripts maliciosos inseridos podem passar despercebidos por muito tempo.

Contramedidas de web skimming

Para combater o web skimming, é importante abordar vulnerabilidades em sites, gerenciar scripts externos e realizar o monitoramento de segurança. Também é uma boa ideia implementar um sistema para prevenir fraudes em pagamentos, caso informações de cartão de crédito sejam realmente roubadas do seu site.

Web skimming é um ataque que explora vulnerabilidades em sites ou fraquezas em seus sistemas de administração. Atualizar continuamente o software, gerenciar corretamente scripts externos e monitorar a segurança pode ajudar a prevenir que incidentes ocorram ou se agravem.

Por exemplo, implementar o 3D Secure 2 (3DS2) pode ajudar a reduzir o risco de que informações de cartão de crédito roubadas por meio de web skimming ou métodos semelhantes sejam usadas para fraude.

Exemplos de web skimming no Japão

Casos reais de web skimming foram relatados em sites de e-commerce japoneses.

Em 2023, um suspeito foi preso por supostamente instalar malware projetado para roubar informações de cartão no servidor da loja oficial de um grupo musical japonês, obtendo assim essas informações de forma ilegal. Segundo reportagens da mídia, acredita-se que o suspeito tenha obtido as informações de cerca de 500 cartões de crédito.

Como este caso ilustra, o web skimming ocorre quando sites legítimos de e-commerce são comprometidos, dificultando que os usuários detectem o ataque. Isso mostra a necessidade de os operadores de sites de e-commerce implementarem continuamente medidas de segurança, como atualizações de software, gerenciamento de scripts externos e monitoramento do site.

Como o Stripe Radar pode ajudar

O Stripe Radar usa modelos de IA para detectar e prevenir fraudes, treinados com dados da rede global da Stripe. Ele atualiza continuamente esses modelos com base nas últimas tendências de fraude, protegendo sua empresa à medida que a fraude evolui.

A Stripe também disponibiliza o Radar for Fraud Teams, que possibilita que os usuários criem regras personalizadas voltadas a cenários de fraude específicos aos seus negócios, além de oferecer acesso a informações avançadas de fraude.

O Radar pode auxiliar sua empresa a:

• Prevenir perdas por fraude: a Stripe processa anualmente mais de US$ 1 trilhão em pagamentos. Essa escala exclusiva permite que o Radar detecte e evite fraudes com precisão, economizando seu dinheiro.

• Aumentar a receita: os modelos de IA do Radar são treinados com dados de contestações reais, informações de clientes, dados de navegação e mais. Isso permite que o Radar identifique transações arriscadas e reduza falsos positivos, aumentando sua receita.

• Economizar tempo: o Radar é integrado à Stripe e exige zero linhas de código para ser configurado. Você também pode monitorar o desempenho de sua prevenção de fraudes, criar regras e mais em uma única plataforma, aumentando a eficiência.

Saiba mais sobre o Stripe Radar ou comece já.