شكلت المدفوعات الإلكترونية خلال الفترة الماضية الوسيلة الأولى والأكثر استخداما على مستوى العالم حتى في السعودية مع انتشار فيروس كورونا المستجد، الأمر الذي أدى إلى لفت انتباه مجرمي الإنترنت نحو الأساليب الجديدة التي يمكن أن يستخدمونها لشن هجماتهم وتحقيق الربح المادي من خلال هجماتهم المرتكزة على سرقة حسابات المستخدمين، حيث اكتشف باحثون أمنيون أسلوبا جديدا لسرقة تفاصيل البطاقات المصرفية التي يستخدمها المتسوقون في مواقع التسوق الإلكتروني عبر الإنترنت.

واستطاع مجرمو الإنترنت استخدام هذا الأسلوب في نوع شائع من الهجمات يعرف باسم "التزوير المالي للويب"، ونجح مجرمو الإنترنت في جمع تفاصيل بطاقات المتسوقين المصرفية من خلال التسجيل في حسابات خدمة Google Analytics الخاصة بتحليلات الويب، وإدخال الشفرة الخاصة بتتبع هذه الحسابات في الشفرة المصدرية لموقع التسوق، وتحديدا صفحة السداد المالي لقيمة المشتريات. ووجد خبراء الأمن في شركة كاسبرسكي أن نحو 20 متجرا عبر الإنترنت في أنحاء العالم جرى اختراقها باستخدام هذه الطريقة.

وتعد عملية التزوير المالي للويب، Web skimming، ممارسة شائعة يستخدمها المهاجمون لسرقة تفاصيل البطاقة المصرفية، كبطاقات الائتمان، التي يدخلها المتسوقون في صفحات السداد الخاصة بالمتاجر الإلكترونية، حيث "يحقن" المهاجمون أجزاء من شفرة محددة في الشفرة المصدرية لموقع ذلك المتجر، وتجمع هذه الشفرة الخبيثة البيانات التي أدخلها المتسوقون، بما فيها بيانات المصادقة على الدخول إلى الحساب المصرفي وأرقام البطاقة المصرفية، وترسلها إلى العنوان الذي حدده المهاجمون في تلك الشفرة الخبيثة.

وغالبا ما يسجل المهاجمون النطاقات بأسماء تشبه خدمات تحليلات الويب الشائعة، مثل Google Analytics، لإخفاء حقيقة أن صفحة الويب قد تعرضت للاختراق، ما يصعب على مسؤول الموقع إدراك أن الموقع تعرض للاختراق عندما يدخلون الشفرة الخبيثة فيه.

واكتشف الباحثون أن هذه التقنية لم تكن معروفة في السابق لتنفيذ هجمات التزوير المالي للويب، إذ أعاد المهاجمون توجيه البيانات إلى حسابات Google Analytics رسمية بدلا من توجيهها إلى مصادر خارجية، وكل ما كان عليهم فعله، بعد تسجيل حساباتهم على Google Analytics، تهيئة معاملات تتبع الحسابات لتلقي معرف خاص بالتتبع، ثم حقن الشفرة الخبيثة مع معرف التتبع في الشفرة المصدرية لصفحة الويب، ما يسمح لهم بجمع بيانات حول الزوار وإرسالها إلى حساباتهم في الخدمة ذاتها.

ومن الصعب على المسؤولين إدراك أن الموقع تعرض للاختراق، نظرا لأن البيانات لا توجه إلى مصدر خارجي مجهول، بل إن أولئك الذين يفحصون الشفرة المصدرية، ستبدو لهم كأنها الصفحة متصلة بحساب رسمي، وهي ممارسة شائعة تتبعها متاجر التسوق عبر الإنترنت، كذلك استخدم المهاجمون أيضا تقنية شائعة لمكافحة التصحيح البرمجي لزيادة صعوبة اكتشاف النشاط التخريبي، إذ لن تنفذ الشفرة الخبيثة إذا ما أقدم مسؤول الموقع على مراجعة الشفرة المصدرية لصفحة الويب باستخدام نمط المطور.

وتم العثور على ما يقرب من 20 موقع ويب مخترقا بهذه الطريقة، بينها متاجر إلكترونية في أوروبا وأمريكا الشمالية والجنوبية، ويوصي الخبراء لحماية المستخدمين من التزوير المالي للويب وحماية حساباتهم باستخدام حل أمني موثوق يمكنه اكتشاف النصوص البرمجية الخبيثة وحظرها من التشغيل، أو حتى تعطيل Google Analytics تماما باستخدام ميزة Safe Brower.