Cross-Site-Scripting kan leda till stöld av kunddata

Cybersäkerhetsföretaget Enginsight har belyst allvaret i sårbarheter för Cross-Site-Scripting (XSS), vilka möjliggör stöld av kunddata via webbplatser.

Nyligen rapporterades ett fall där upp till 40 000 kunders kreditkortsinformation stals från smartphonetillverkaren OnePlus webbutik. Attacken riktades mot Magento-plattformen som OnePlus använde, vilken visade sig vara sårbar för XSS-attacker. Till följd av detta kunde angripare fånga upp kreditkortsnummer, utgångsdatum och säkerhetskoder.

OWASP, en välkänd organisation för webbsäkerhet, listar XSS som en av de vanligaste och allvarligaste säkerhetsbristerna. Enligt Enginsight har XSS-sårbarheter ökat och kräver omedelbara åtgärder från företag som hanterar kunddata online.

Cross-Site-Scripting fungerar genom att en angripare lyckas injicera skadlig JavaScript-kod på en webbplats. Denna kod exekveras sedan i webbläsarna hos webbplatsens andra användare utan deras vetskap. När en användare besöker en infekterad sida kan den skadliga koden som laddas ner till deras webbläsare till exempel fånga upp sessionsinformation (session-ID), vilket är avgörande för att autentisera en användare till en onlinetjänst.

Med hjälp av dessa fångade session-ID:n kan en angripare utge sig för att vara offret och komma åt dennes information, inklusive personuppgifter och betalningsinformation. Enginsight betonar att sådana attacker kan orsaka betydande ekonomisk och anseendemässig skada för företag.