Black Friday oraz Cyber Monday to dwa najbardziej wyczekiwane wydarzenia zakupowe w roku na praktycznie całym świecie. Cyberprzestępcy wiedzą o tym aż za dobrze. Dni o dużym ruchu internetowym i zwiększonej podatności na sugestie oferują im doskonałą okazję do wykorzystania luk w platformach zakupowych online.
Wraz ze zbliżaniem się sezonu świątecznego firmy e-commerce przygotowują się na wzrost aktywności. Jednak podczas gdy szefowie firm skupiają się na rekordowej sprzedaży, cyberprzestępcy ostrzą swoje narzędzia, motywowani zyskiem finansowym, kradzieżą tożsamości i innymi „okazjami”. Według spostrzeżeń z raportu SOCRadar „From Black Friday to Cyber Monday: 2024 E-Commerce Threat Landscape Report w 2024 roku branża e-commerce padła ofiarą 6,77% ataków ransomware na świecie, co plasuje ją w pierwszej piątce najczęściej atakowanych branż. Celem takich ataków jest zakłócenie działalności firmy i żądanie okupu, co powoduje poważne szkody finansowe i reputacyjne.
Poniżej przedstawimy kilka porad dla właścicieli sklepów internetowych oraz administratorów portali zakupowych dotyczących zabezpieczeń w czasach wzmożonej aktywności.
1. Upewnij się, iż witryna używa HTTPS
HTTPS to podstawa bezpiecznych zakupów online. Zapewnia, iż dane wymieniane między klientami a platformą – takie jak dane logowania i dane płatnicze – pozostają zaszyfrowane i chronione przed przechwyceniem. Bez HTTPS poufne informacje mogą zostać ujawnione atakującym, co naraża zarówno klientów, jak i firmę na naruszenia danych.
2. Edukuj osoby obsługujące sklepy online na temat phishingu i fraudów
Przytoczymy tutaj znane powiedzenie: cyberprzestępcy nie atakują tylko systemów – atakują też ludzi.
Kampanie phishingowe i ataki podszywające się pod domeny to powszechne taktyki podczas Black Friday, gdzie celem jest oszukanie pracowników i klientów. Fałszywe e-maile mogą gwałtownie przerodzić się w poważne naruszenia, jeżeli nie zostaną zauważone. Warto wyposażyć swoich pracowników w wiedzę umożliwiającą identyfikację podejrzanych działań. Nauczyć ich, jak rozpoznawać wiadomości phishingowe, które naśladują legalne źródła, takie jak procesory płatności lub zaufani dostawcy.
3. Zaimplementuj Web Application Firewall (WAF)
Każda platforma zakupów online mierzy się z ciągłym strumieniem złośliwego ruchu, szczególnie podczas wydarzeń takich jak Black Friday. Atakujący często używają technik, jak SQL injection i Cross-site Scripting (XSS), wykorzystując luki w zabezpieczeniach witryn, w nadziei na uzyskanie nieautoryzowanego dostępu do danych klientów lub systemów back-endowych.
Zapora aplikacji internetowych (ang. WAF) działa jako pierwsza linia obrony każdej platformy online. Filtrując i monitorując ruch przychodzący, WAF blokuje podejrzane działania, zanim dotrą one do witryny. Potrafi odróżnić legalnych użytkowników od atakujących, zapewniając bezpieczeństwo usługi bez zakłócania zakupów.
Wdrożenie WAF pomaga chronić witrynę zarówno przed zautomatyzowanymi, jak i ukierunkowanymi atakami, co czyni ją niezbędnym narzędziem do ochrony w szczytowych okresach zakupowych.
4. Monitoruj i aktualizuj bramki płatności
Bramki płatności są siłą napędową każdej witryny zakupowej. Jednak, jak można się spodziewać, przestarzałe lub niewłaściwie zabezpieczone systemy płatności są celem złośliwych podmiotów. Atakujący mogą przechwycić transakcje lub ukraść dane płatnicze w procesie zakupowym.
Aby zminimalizować to ryzyko, warto upewnić się, iż bramki płatności używane przez firmę są zawsze aktualizowane o najnowsze poprawki zabezpieczeń. Regularnie sprawdzaj aktualizacje swojego dostawcy bramki płatności i wdrażaj je bez opóźnień.
Zgodność ze standardami PCI DSS (Payment Card Industry Data Security Standards) to kolejny najważniejszy krok. Przestrzeganie standardów zapewnia, iż systemy przetwarzania płatności spełniają najwyższe standardy bezpieczeństwa w branży, chroniąc poufne dane klientów.
5. Stosuj silne polityki haseł
Hasła są często najsłabszym ogniwem w zabezpieczaniu sklepów internetowych, a atakujący nieustannie wykorzystują to powiązanie. Słabe lub ponownie używane hasła sprawiają, iż firmy i klienci są podatni na kradzież tożsamości i ataki brute-force – zagrożenia, które znacznie nasilają się podczas zakupów online.
Wzrost liczby rejestrów kradzieży danych zwiększa to ryzyko. Skradzione dane uwierzytelniające z innych systemów często napędzają ataki brute-force i ataki polegające na wypełnianiu danych uwierzytelniających, w których boty próbują uzyskać dostęp do kont, testując kombinacje skradzionych adresów e-mail i haseł. Bez silnych zasad dotyczących haseł choćby jedno naruszone konto może doprowadzić do kaskady przejęć tożsamości.
6. Monitoruj Dark Web pod kątem skradzionych danych
Hakerzy często korzystają z forów Dark Web, by sprzedawać skradzione informacje o klientach, dane uwierzytelniające i płatnicze. W miarę możliwości firmy powinny uważnie obserwować podziemny handel danymi w Internecie. W okresach szczytowego ruchu, takich jak Black Friday, ryzyko, iż skradzione informacje o klientach zostaną sprzedane lub wykorzystane niezgodnie z przeznaczeniem, znacznie wzrasta.
7. Przeprowadzaj testy przeciążeniowe na witrynach
Dobrze działająca platforma w godzinach szczytu może zadecydować o powodzeniu lub porażce sprzedaży w Czarny Piątek. Jednak bez odpowiednich testów obciążeniowych nagłe wzrosty ruchu mogą przeciążyć systemy, co doprowadzi do przestojów, utraty przychodów, a choćby do podatności.
Poza oczywistym ryzykiem awarii, przeciążone systemy są również bardziej podatne na ataki typu DoS (Denial-of-Service). Złośliwe boty mogą zwiększać presję na platformę, zakłócając działanie lub maskując inne aktywności, jak np. kradzież danych.
Testy obciążeniowe pomagają symulować scenariusze o dużym natężeniu ruchu, umożliwiając optymalizację wydajności witryny i identyfikację słabych punktów, zanim zostaną wykorzystane. Narzędzia do testowania obciążenia mogą imitować ruch na poziomie Black Friday, pomagając zespołowi IT przygotować się na rzeczywiste warunki.
Podsumowanie
Black Friday i Cyber Monday przynoszą możliwości zwiększonego zysku, ale także zwiększone ryzyko naruszeń. Od ataków ransomware po skradzione dane uwierzytelniające, zagrożenia są różnorodne i uporczywe. Atakujący często atakują luki w systemach płatności, dostępie administracyjnym, a choćby przepustowości ruchu w witrynie.
