セキュリティソリューションを提供しているSucuriは4月4日（現地時間）、「WordPress Overtakes Magento in Credit Card Skimmers」において、eコマースサイトにおけるクレジットカードスキマー・マルウェアへの感染状況に関する調査レポートを公開している。通称MageCartとも呼ばれる、JavaScriptを悪用してユーザーが入力したクレジットカード情報を盗み出すタイプのマルウェアは、登場した2014年頃はeコマースプラットフォームのMagentoを主な標的としていたが、現在はWordPressが最も狙われやすいプラットフォームになっているという。

攻撃者はより効率的にカード情報を収集するために、人気のあるeコマースプラットフォームを標的としてカードスキマーを設置しようとする。Sucuriによると、2021年7月まではMagentoが攻撃者の主な標的だった。これは、Magentoはeコマース専用のプラットフォームであるため、公開されているWebサイトはほぼ確実にクレジットカード決済機能を提供しているからだ。

しかし、現在ではWordPressのeコマースプラグインであるWooCommerceのシェアが高くなっており、それに伴い、攻撃者の主な標的もMagentoからWooCommerceに変更されつつあるという。大きな変化は2021年7月頃に発生しており、それを境に、検出されたカードスキマーの総数でWordPressがMagentoを抜いている。WordPressで検出されたカードスキマーはその後も増加傾向にあり、この変化が一時的なものでないことを物語っている。

  • eコマースプラットフォーム別のクレジットカードスキマーが検出された総数の変化（引用:Sucuri Blog）

    eコマースプラットフォーム別のクレジットカードスキマーが検出された総数の変化　引用:Sucuri Blog

人気のあるJavaScriptベースのカードスキマー型マルウェアが使用する主な攻撃手法としては、次のようなものが紹介されている。

  • 「注文」や「チェックアウト」などの文字列を含む任意のURLに偽のチェックアウトページを生成する
  • Google Analyticsスクリプトのように見える偽のスクリプトを挿入する
  • 偽のFacebookトラッキングピクセルを挿入する

Sucuriは、これらのカードスキマーの問題は、MagentoやWooCommerceをはじめとするeコマースプラットフォームに原因があるのではなく、あくまでも攻撃者が利益を上げやすい標的を積極的に狙っているだけだと強調している。その上で、eコマースサイトの所有者に対して、リスクを認識してWebサイトおよびデータを保護するための適切な処置を講じるように呼びかけている。