近日研究人員發現，有黑客在開源（open source）的電子商貿平台Magento散播盜信用卡資料的惡意程式，更把盜取的資料放入一張真實的產品圖片內，當中包括信用卡號碼、登入資料和其他傳送給黑客的資料，做法罕見，變相令受害人的資料完全公開。
受害人資料可被公眾下載
研究人員發現，盜取的信用卡資料被儲存在Magento的核心檔案「Cc.php」之內，過往黑客把資料偽裝成圖像檔案，通常會出現錯誤訊息。但是這次不但是一個正常圖像檔案，更加是一件產品的照片，一瓶在網站上出售的香水照片！
圖片看起來正常，其實在源代碼內，包含了從盜取得來的信用卡號碼，大部份受害人來自美國，另外還包括日本、土耳其、沙特阿拉伯和加拿大的受害者。由於圖片被設定為公開，所以任何人都可以下載該圖片，並從源代碼中取得大量受害人的信用卡資料。另外，此舉與利用文字檔案記錄的方法相比，更難被發現和移除。
雖然含有信用卡資料的圖片已被刪除，但是因為受影響公司並沒有即時回覆研究員的提問，盜取資料的惡意程式的佈散程度仍然不明。Magento現時有大約24萬家網上商店，在去年夏天出售予eBay，過去一直是黑客攻擊的對象，過往曾發生網站被黑客加密勒索，要求140至415美元贖金的事件，而今次事情被揭發之後，Magento已經推出補丁進行漏洞修復工作。
資料來源：Threatpost
