צוות המחקר של צ'ק פוינט הודיע היום (שלישי) כי חשף פרצת אבטחה חמורה באתר הקניות הסיני AliExpress. בחברה הסבירו כי האקרים רבים זיהו את הפוטנציאל שיש בטירוף הקניות, בסוף השבוע של הבלאק פריידי ובשבועות הקודמים לחג המולד, והם מנסים להשיג מידע אישי בכלל, ופרטי כרטיס אשראי של לקוחות בפרט.
פרצת האבטחה שנתגלתה מאפשרת לפושעי סייבר לגנוב את פרטי האשראי של הגולשים בקלות יתרה. צ'ק פוינט דיווחה על החולשות ל-AliExpress, שתיקנה אותן בתוך יומיים. החולשה באתר, איפשרה להאקרים לשתול קודבפלטפורמת המכירה הגלובלית המקוונת, לתפעל אותו מרחוק, ולבצע התקפות ממוקדות על המשתמשים.
ראש מחקר חולשות מוצרים בצ'ק פוינט, עודד ואנונו, הסביר כי "תקופת "חגי הקניות" שוברת שיאים שנה אחרי שנה. אנו מזהים בתקופה זאת פעילות ענפה של פושעי סייבר המנצלים חולשות לוגיות באתרי המסחר המקוונים הגדולים על מנת למנף ולהוציא לפועל הונאות סייבר". הוא ציין: "על משתמשים לגלות עירנות יתרה בתקופה זו כאשר הם נתקלים בהצעות מפתות כמו קופונים או הנחות שבכדי לממשם יש צורך בשיתוף מידע אישי."
בכדי לנצל את הפירצה ולתקוף את הלקוחות, ההאקר משתמש בשיטת השיווק של האתר, המבוססת על קופונים שונים ועל הניסיון לשמור את פרטי האשראי של המשתמשים במערכת שלהם. במקרה כזה, כל מה שעל ההאקר לעשות הוא לשלוח קישור לגטימי לאתר, ולחיצה עליו גורמת לקוד לעקוף את הגנות האתר.
באמצעות החולשות שנמצאו באתר יכול האקר לשלוט בתוכן שהמשתמש רואה, ויכול לדוגמא להציג חלונית עם קופון מזוייף, שלחיצה עליו ומילוי פרטי האשראי תעביר את הפרטים שהוזנו להאקר.