O que fazer após a violação da British Airways
Se você prestou alguma atenção às notícias nas últimas semanas, sabe que a British Airways teve um problema significativo e embaraçoso com seu site. Você pode ler sobre isso aqui, com citações minhas! Eu e a maioria dos outros comentadores tínhamos quase a certeza de que os dados de cartão de crédito roubados de 380.000 clientes da BA foram roubados em tempo real, enquanto faziam reservas, e de facto foi esse o caso. A análise do RiskIQ mostra exatamente o que aconteceu (embora não identifique exatamente como os hackers obtiveram acesso para fazer as alterações necessárias) e vincula a violação a outras atividades semelhantes, incluindo a violação na Ticketmaster.
Os criminosos cibernéticos comprometem sites que processam pagamentos com cartão de crédito desta forma porque, se forem bem-sucedidos, fornecerão todos os dados necessários para realizar fraudes. Quaisquer outras proteções – o uso de SSL (o pequeno cadeado na parte superior do seu navegador), o armazenamento seguro dos dados do cliente, tornam-se inúteis. O objetivo dessas gangues é comprometer sites de empresas que possuem muitos clientes e, portanto, muitas transações com cartão de crédito. O valor real de cada transação não importa para os criminosos cibernéticos, eles apenas querem os detalhes do maior número possível de clientes e seus cartões de crédito.
Então o que você pode fazer? Em primeiro lugar, revise quais scripts de terceiros você tem ativos nas páginas de pagamento e remova aqueles que não forem necessários (já que o comprometimento inicial pode ser de terceiros – não precisa ser o seu site violado).
Você também deve ler esta postagem de Scott Helme – se estiver processando pagamentos, configurar o CSP é uma boa maneira de bloquear uma via de ataque, garantindo que o conteúdo só possa ser carregado de domínios aprovados. SRI pode ser mais difícil de implementar, mas certamente discuta isso com sua equipe web.
Você também pode monitorar a infraestrutura do seu site diretamente – se você mesmo hospedá-lo, existem ferramentas de código aberto (como ossec) que você pode usar e que irão alertá-lo sobre quaisquer alterações nos arquivos que você identificar como críticas. Qualquer que seja a abordagem escolhida, algum tipo de monitoramento de segurança do seu site é uma boa ideia, e lembre-se de que não faz sentido implantar as ferramentas de monitoramento se você não tiver ninguém monitorando seus resultados.
Resumindo, se você está processando transações de cartão de crédito através do seu site, agora você deveria;
- Verifique se há vulnerabilidades em seu site, você mesmo ou usando um fornecedor de segurança (se você for moderadamente técnico, dê uma olhada em algo assim da Tenable)
- Revise os componentes de terceiros do seu site, especialmente nas páginas de pagamento. Você carrega algum conteúdo de outros domínios no momento do pagamento? Todos eles são essenciais?
- Leia o blog de Scott acima e pelo menos implemente o CSP
- Implemente monitoramento de segurança, para que você possa ser alertado sobre alterações não autorizadas em seu site.
Como de costume, se você tiver dúvidas ou quiser ajuda, entre em contato.
Obrigado por ler