Cross-Site-Scripting-haavoittuvuus mahdollistaa asiakastietojen varastamisen
Kyberturvallisuusasiantuntija Enginsight varoittaa Cross-Site-Scripting (XSS) -hyökkäyksistä, jotka voivat johtaa asiakastietojen, kuten luottokorttitietojen, varastamiseen.
Kyberturvallisuusyritys Enginsight on korostanut Cross-Site-Scripting (XSS) -haavoittuvuuden vakavuutta, joka mahdollistaa verkkosivustojen kautta asiakastietojen varastamisen.
Äskettäin uutisoitiin tapauksesta, jossa älypuhelinvalmistaja OnePlusin verkkokaupasta varastettiin jopa 40 000 asiakkaan luottokorttitiedot. Hyökkäys kohdistui OnePlusin käyttämään Magento-verkkokauppa-alustaan, joka oli haavoittuvainen XSS-hyökkäyksille. Tämän seurauksena hyökkääjät pystyivät sieppaamaan luottokorttien numeroita, voimassaolopäivämääriä ja turvakoodeja.
OWASP, tunnettu verkkoturvallisuuden asiantuntijaorganisaatio, on listannut XSS:n yhdeksi yleisimmistä ja vakavimmista tietoturvaloukkauksista. Enginsightin mukaan XSS-haavoittuvuudet ovat yleistyneet ja vaativat välittömiä toimenpiteitä yrityksiltä, jotka käsittelevät asiakastietoja verkossa.
Cross-Site-Scripting perustuu siihen, että hyökkääjä onnistuu injektoimaan haitallista JavaScript-koodia verkkosivustolle. Tämä koodi suoritetaan sitten sivuston muiden käyttäjien selaimissa heidän tietämättään. Kun käyttäjä vierailee saastuneella sivulla, hänen selaimeensa latautunut haitallinen koodi voi esimerkiksi siepata istuntotietoja (sessiotunnisteita), jotka ovat välttämättömiä käyttäjän tunnistautumiseksi verkkopalveluun.
Näiden siepattujen sessiotunnisteiden avulla hyökkääjä voi esiintyä uhrina ja päästä käsiksi tämän tietoihin, mukaan lukien henkilökohtaisiin tietoihin ja maksutietoihin. Enginsight korostaa, että tällaiset hyökkäykset voivat aiheuttaa merkittävää taloudellista ja mainehaittaa yrityksille.