Magento・OpenCartを狙うクレジットカード乗っ取りマルウェアとは？症状・復旧・防止策を徹底解説

Magento・OpenCartで発生するクレジットカード情報窃取攻撃とは

クレジットカードマルウェア（クレジットカード乗っ取り）とは、MagentoやOpenCartで構築されたオンラインストアに悪意あるPHP／JavaScriptコードが注入され、ハッカーが決済時のカード情報を横取りする攻撃手法です。この比較的新しい不正手口は、発覚までに約6か月間も検知されなかった事例があり、Magentoの決済セキュリティを標的とした攻撃が数多く報告されています。

クレジットカードマルウェア感染の症状とは？

MagentoやOpenCartといったECプラットフォームの人気が高まるにつれ、マルウェア感染の被害も増加しています。ハッカーやサイバー犯罪者は、これらCMSのコアファイルを改ざんし、ストアを利用する顧客のクレジットカード情報を盗み出します。感染が疑われる場合の主な症状は以下の通りです。

• 顧客のクレジットカードが不正取引に使用されている
• ストアで商品を購入しようとするとエラーが発生する
• 決済プロセスが極端に遅く、途中で停止してしまう
• サイト上に見覚えのないポップアップやメッセージが表示される
• 管理画面へのログインに通常より時間がかかる

Magento／OpenCartストアのクレジットカード乗っ取りが心配ですか？チャットウィジェットからお気軽にご相談ください。今すぐサイトを修復する。

以下は、ハッカーによって注入された悪意あるコードのスクリーンショットです。

顧客が決済ページを開くと、このコードは入力されたすべてのデータをエンコードし、ハッカーのサーバーへ送信します。次のスクリーンショットは、カード情報をエンコードして送信する悪質なコードの一部です。

決済ゲートウェイ乗っ取りによる被害の内容

この攻撃は非常に標的型で、主にMagentoおよびOpenCartで運営されるECストアに影響を及ぼします。マルウェアは以下の機密情報を取得し、ハッカーが管理するサーバーへ送信します。

1. クレジットカード情報（CC）
   1. カード番号
   2. セキュリティコード（CVV）
   3. 有効期限
2. Magento管理者のログイン履歴がハッカーへ送信される
3. ユーザーの個人情報（PII）
   1. アカウントのパスワード
   2. クライアントのIPアドレス
   3. 請求先氏名
   4. メールアドレス
   5. 住所
   6. 電話番号
   7. 生年月日
4. Magento／OpenCartストアのサーバー情報

ECストアにとって、Webアプリケーションファイアウォール（WAF）は不可欠な存在です。サイトへのすべてのトラフィックを監視し、正当なリクエストのみをWebサーバーに通過させることができます。Astraで今すぐECサイトのセキュリティを強化しましょう。

Magento／OpenCartストアのクレジットカード乗っ取りが心配ですか？チャットウィジェットからお気軽にご相談ください。今すぐサイトを修復する。

Magento／OpenCartのクレジットカードマルウェア感染を修復する方法

修復作業はやや難易度が高い点に注意が必要です。というのも、多くのマルウェアスキャナーはこの種の脅威を見逃しがちだからです。理由は、こうした攻撃が高度に標的化されており、ストアごとに手口が異なるためです。

ステップ1：改ざんされた可能性のあるコアシステムファイルを確認する

過去に悪意あるコードが確認されたファイルのリストをまとめました。サーバーにログインし、以下のファイルが最近変更されていないかチェックしてください。

Magento 1.9.X

• app / code / core / Mage / XmlConnect / Block / Checkout / Payment / Method / Ccsave.php
• app / code / core / Mage / Client / controllers / AccountController.php
• app / code / core / Mage / Payment / Model / Method / Cc.php
• app / code / core / Mage / Checkout / Model / Type / Onepage.php

OpenCart 1.5 / 2.0

• catalog / controller / extension / payment / pp_payflow.php
• catalog / controller / extension / payment / pp_pro.php
• catalog / controller / extension / payment / authorizenet_aim.php
• catalog / controller / extension / payment / sagepay_us.php
• catalog / controller / extension / credit_card / sagepay_direct.php

下記は、PHPのcURLを使って顧客の機密情報を外部送信する悪質なコードの一例です。

ステップ2：最近変更されたファイルを確認する

SSHでWebサーバーに接続し、以下のコマンドを実行して最近更新されたファイルを特定します。

find /path-of-www -type f -printf '%TY-%Tm-%Td %TT %p\n' | sort -r

このコマンドは、最近変更されたファイルのパス一覧を返します。それぞれのファイルをテキストエディタで開き、不審な箇所がないか確認してください。

Astraをご利用のお客様には、悪意あるファイル変更を検知した際に通知メールをお送りしています。

ステップ3：Webシェルやバックドアファイルを探す

ハッカーはサーバーへの継続的なアクセスを確保するため、Webシェルやバックドアをアップロードし、後から新たなマルウェアファイルを送り込めるようにしている場合があります。ステップ2と同様にSSHでサーバーへ接続し、以下のコマンドを実行してください。

find /var/www -name "*.php" -exec grep -l "$_FILES\[" {} \;

検索結果として表示された各ファイルを開き、下図のようなコードが含まれていないか確認します。

クレジットカード乗っ取りを防ぎ、侵入経路を特定するための対策

1. OpenCart／WordPressサイトを最新バージョンへ更新する：CMSコアに存在する既知の脆弱性を解消します。
2. ファイルアップロードをマルウェアスキャンする：悪意あるシェルファイルがサーバーへアップロードされるのを防ぎます。（Astraダッシュボードからこのモジュールを有効化できます）
3. 管理者アカウントのユーザー名とパスワードを変更する：マルウェア駆除後もハッカーがサイトへアクセスし続けることを防ぎます。
4. データベースのパスワードを変更する：ハッカーがデータベースへ直接接続できないようにします。
5. サーバーログ（アクセスログ・エラーログ）を調査する：不明なエラーや意味不明な文字列がログに残っている場合、ハッキングの発生源や発生時刻の手がかりになることがあります。
6. Webサイトファイアウォールで将来の攻撃を防ぐ：Magentoマルウェア感染を防ぐもう一つの方法は、AstraのようなWebサイトファイアウォールの導入です。当社のセキュリティスイートは、悪意あるリクエストがサイトに到達する前にブロックすることで、サイトを自動的に保護し、ソフトウェアを仮想的にパッチ適用します。