4天内有近2千个Magento 1网站被植入侧录程式

专门监控线上支付侧录犯罪行动的Sansec在本周指出，从上周五（9/11）到本周一（9/14），就有1,904家采用Magento 1的电子商务网站遭到骇客入侵，骇客拦截了这些网站的付款页面，以搜括消费者的付款资讯，是该公司从2015年以来所发现的最大规模的线上侧录行动。

Magento为一以PHP撰写的开源电子商务平台，在2018年被Adobe以16.8亿美元收购，成立于2008年的Magento已在2015年释出新的Magento 2平台，并在今年6月终止对Magento 1的支援，虽然Magento提供了从Magento 1迁移到Magento 2的官方工具，但根据Sansec的统计，大约还有9.5万个电子商务网站依然运作在Magento 1上。

Sansec指出，骇客在这些Magento 1网站上的付款页面植入了恶意程式，来拦截消费者所输入的付款资讯，该公司上周五仅于10个网站发现相关的侧录程式码，周六爆增到1,058个，周日630个，周一也有233个，总计至少有1,904个Magento 1网站被开采。

值得注意的是，在此次被开采的Magento 1网站中，不少网站过去并未传出任何安全意外，显示骇客采用了新的攻击途径，同时，骇客已于地下论坛中兜售Magento 1的远端程式攻击工具，售价为5,000美元，宣称不需要取得Magento管理账号就能发动攻击，还附上了攻击指南影片。

Sansec猜测，这是因为Magento 1是个寿终正寝的产品，已无任何的官方修补程式，因此一旦被发现漏洞，很容易就成为骇客攻击的目标，该公司建议采用Magento 1的电子商务业者应该要尽快升级到Magento 2，或是向第三方业者订阅Magento 1的漏洞修补服务。