Hackers invadem loja online da Casio UK e roubam dados de cartões de crédito de clientes

A loja virtual da Casio UK (casio.co.uk) foi comprometida por hackers que inseriram scripts maliciosos para roubar informações de cartões de crédito e dados pessoais dos clientes entre os dias 14 e 24 de janeiro de 2025.

Qualquer cliente que tenha realizado compras nesse período pode ter tido seus dados roubados.

O ataque foi descoberto pela JSCrambler, que notificou a Casio em 28 de janeiro. O script malicioso foi removido do site da Casio UK em menos de 24 horas.

Segundo a JSCrambler, os hackers exploraram vulnerabilidades do Magento, plataforma usada para comércio eletrônico, e também atacaram outros 17 sites. Os nomes dessas empresas não foram divulgados, pois os pesquisadores ainda estão trabalhando na remoção das infecções.

Do ponto de vista técnico, os hackers utilizaram um skimmer digital de duas etapas para capturar os dados das vítimas:

1. Primeira etapa – Um código malicioso inicial foi injetado no site da Casio, que então carregava dinamicamente a segunda etapa do ataque a partir de um servidor russo (ru-jsciot).

2. Segunda etapa – O código malicioso estava ofuscado usando criptografia personalizada e técnicas de ocultação de strings baseadas em XOR para evitar detecção.

   
   

Assim que o cliente adicionava produtos ao carrinho, o skimmer carregava um formulário de checkout falso, impedindo o redirecionamento para a página oficial.

O formulário fraudulento foi projetado para roubar dados sensíveis, incluindo:

• Endereço de cobrança

• Endereço de e-mail

• Número de telefone

• Nome do titular do cartão

• Número do cartão de crédito

• Data de validade do cartão

• Código CVV

Após inserir os dados, a vítima recebia um erro falso e era redirecionada para a página oficial de checkout da Casio UK para concluir a compra, sem suspeitar da fraude.

Os dados roubados eram então criptografados com AES-256-CBC e enviados para o servidor dos hackers, que, em todos os casos observados, utilizava um endereço IP russo.

A JSCrambler observou que a Casio possuía uma Política de Segurança de Conteúdo (CSP) ativa, que deveria impedir a execução de scripts maliciosos, mas a configuração era muito permissiva.

"A Casio UK tinha uma CSP ativa, mas estava configurada no modo apenas relatório (Content-Security-Policy-Report-Only) e não estava programada para alertar sobre violações (sem as diretivas report-uri ou report-to)", explicou a JSCrambler."Como resultado, as violações do CSP eram apenas registradas no console do navegador em vez de bloquear o ataque ativamente."

Essa falha permitiu que o código malicioso fosse executado sem ser bloqueado.

A Casio tem enfrentado um histórico recente de falhas de segurança, com múltiplos ataques de ransomware e vazamentos de dados.

Em outubro de 2024, a empresa foi alvo do grupo Underground, que atacou seus sistemas e expos dados de 8.500 pessoas.

No mesmo mês, a Casio também admitiu outro vazamento de dados envolvendo sua plataforma educacional ClassPad, comprometendo informações de usuários de 149 países.

Via - BC