网络盗刷是一种网络攻击，将恶意脚本嵌入网站，窃取用户输入的信用卡信息和个人数据。电商网站上的支付表单经常成为目标，日本也曾多次报道用户信息在用户不知情的情况下被盗。

针对电商网站的未经授权访问和数据泄露已成为企业面临的主要安全隐患，这使得安全支付系统必不可少。

本文将提供通俗易懂的网络盗刷概览——涵盖其运作机制、背后原因、有效对策以及日本相关的案例研究。

本文内容

• 什么是网络盗刷？
  
• 网络盗刷的运作机制
  
• 网络盗刷的风险因素
  
• 网络盗刷对策
  
• 日本的网络盗刷示例
  
• Stripe Radar 如何提供帮助
  

什么是网络盗刷？

网络盗刷是一种网络攻击，通过在网站中嵌入恶意代码以窃取用户输入的信息。

尽管存在这些恶意代码，网站的支付页面和输入表单看起来是真实的。因此，用户并不知道这种变化，并像往常一样在网站上输入自己的信用卡信息和个人信息。然而，这些信息有可能被秘密传输给攻击者。

网络盗刷事件

有许多报告称，由于未经授权访问电商网站，信用卡信息遭窃取或泄露。

2022 年 3 月，个人信息保护委员会对电商网站遭未授权入侵事件开展了一项调查。结果显示：在发生未授权入侵的网站中，93% 的案例出现信用卡信息泄露，77% 的案例发生信用卡盗刷。约 80% 的企业因此次未授权入侵事件临时关停了其电商网站。

因此，网络盗刷和其他网络攻击可能对企业运营产生重大影响。这不仅可能导致客户信息泄露，还可能导致电商运营暂停，损害公司的声誉。

与盗刷的区别

“盗刷”的概念类似于网络盗刷。盗刷和网络盗刷的主要区别如下：

盗刷是一种涉及未经授权读取银行卡磁条数据及其他信息的犯罪行为。一种常见方法是将设备连接到 ATM 或读卡器上，窃取银行卡信息。

而网络盗刷则是一种通过互联网进行的攻击；它涉及将恶意脚本或代码嵌入网站，窃取用户输入的数据。

网络盗刷的运作机制

在网络盗刷中，网站内嵌入的恶意代码或脚本被用来将用户输入的信息传输给外部。攻击者利用各种方法攻破网站和外部服务，制造访问用户输入所需的条件。

典型的网络盗刷流程如下：

• 攻击者篡改网站或外部服务，嵌入恶意脚本。
  
• 用户在支付表单或类似界面中输入信用卡信息或个人数据。
  
• 脚本捕获已输入的信息。
  
• 这些获得的信息会发送到攻击者的服务器。
  

即便恶意脚本已植入网站，页面外观仍保持不变；因此，用户会以为是在正常使用网站，进而输入信用卡及个人信息。

由此可见，网络盗刷手段极为隐蔽复杂；大量案例中，数月过去用户与企业仍未意识到数据已遭泄露。因此，企业经营者有责任消除可能使其成为网络盗刷攻击目标的潜在漏洞，并部署强有力的应对措施。

网络盗刷的风险因素

网络盗刷是指攻击者利用网站漏洞、篡改外部服务或电商网站安全措施不足等弱点进行攻击。

网站漏洞

网站漏洞是网络盗刷的促成因素之一。如果内容管理系统 (CMS) 或用于电商网站的开发套件存在安全漏洞，网站被攻击者入侵的风险会更高。

例如，SQL 注入（一种向网站数据库发送恶意命令的攻击）等网络攻击可能导致恶意脚本嵌入网站。

如果未应用软件更新或使用过时版本的插件，网站会更容易受到攻击。

外部服务或脚本被攻破

如果外部服务的脚本被篡改，即使网站本身未被攻破，也可能发生网络盗刷攻击。

电商网站使用各种外部脚本，包括分析工具、聊天功能和支付服务。如果这些外部脚本被攻破，用户输入的信息有可能被发送给攻击者。

这种攻击也可能影响使用相同外部服务的大量其他网站。

安全措施不足

如果没有建立适当的安全措施和管理系统，未经授权访问或数据被篡改的风险会增加。

例如，管理员门户的访问限制不足或密码管理不充分可能导致未经授权的访问。

如果安全监控和漏洞审计不足，嵌入的恶意脚本可能长时间无法被发现。

网络盗刷对策

为了打击网络盗刷，重要的是解决网站漏洞、管理外部脚本并进行安全监控。此外，即使银行卡信息真的从您的网站被盗，实施防止欺诈支付的系统也是个好主意。

网络盗刷是一种利用网站漏洞或管理系统漏洞的攻击形式。持续更新软件、妥善管理外部脚本以及监控安全，有助于防止事件发生或升级。

例如，实施 3DS 2.0 验证 (3DS2) 有助于降低通过网络盗刷或类似手段盗取的信用卡信息被用于欺诈的风险。

日本的网络盗刷示例

日本电商网站上确实报道了网络盗刷的案例。

2023 年，一名嫌疑人因涉嫌在日本某音乐团体官方网店服务器上安装旨在窃取银行卡信息的恶意软件，非法获取信用卡信息而被捕。据媒体报道，嫌疑人据信获得了约 500 张信用卡的信息。

正如本案所示，当合法电商网站被攻破时，网络盗刷便会发生，使用户难以发现攻击。这显示了电商网站运营者持续实施安全措施的必要性，如软件更新、外部脚本管理和网站监控。

Stripe Radar 如何提供帮助

Stripe Radar 使用基于 Stripe 全球网络数据训练的 AI 模型检测和预防欺诈。随着欺诈手段的不断演变，Stripe Radar 会根据最新欺诈趋势不断更新模型，从而保护您的业务。

Stripe 还提供Radar Plus，允许用户添加自定义规则，以应对其业务特有的欺诈场景，并获取高级欺诈洞察。

Radar 可以帮助您的企业：

• 避免欺诈损失：Stripe 每年处理超过 1 万亿美元的支付交易。这种交易规模赋予了 Radar 独特的能力，使其能够精准检测并预防欺诈，为您避免经济损失。

• 增加收入：Radar 的 AI 模型基于真实的争议数据、用户信息、浏览数据等多维度信息进行训练。赋予 Radar 识别高风险交易并减少误报的能力，从而增加您的收入。

• 节省时间：Radar 内置在 Stripe 中，无需编写任何代码即可启用。您还可以在同一个平台上监控反欺诈表现、编写规则等，从而提高效率。

了解更多 Stripe Radar 信息，或立即开始使用。