Domani, 24 novembre, sarà il Black Friday, che simboleggia ormai anche in Italia l’inizio della stagione dello shopping natalizio. Durante questo periodo, lo shopping online registra un’impennata dal momento che i consumatori cercano occasioni online, visitano i siti di comparazione dei prodotti e, in generale, evitano il fastidio di centri commerciali affollati.
A un maggior utilizzo dei portali online, corrisponde anche un aumento di probabilità di incappare in attività criminali online. Per questo motivo anche Check Point Software Technologies, società israeliana specializzata in sicurezza informatica, coglie l’occasione per ricordare a tutti di prestare la massima attenzione mentre si fa shopping online durante il periodo natalizio.
Lo fa rendendo noto una vulnerabilità che è stata scoperta lo scorso 9 ottobre dal team di ricerca di Check Point sul portale AliExpress che è stata poi risolta da AliExpress due giorno dopo, l’11 ottobre.
Con oltre 100 milioni di clienti e 23 miliardi di dollari di fatturato in tutto il mondo, AliExpress, parte del Gruppo AliBaba, è uno dei siti più popolari in cui fare shopping online.
La nuova vulnerabilità consente ai cyber-criminali di colpire gli utenti di AliExpress inviando loro un link a una pagina web di AliExpress contenente del codice Javascript malevolo. Nel momento in cui si apre la pagina, il codice viene eseguito nel browser web dell’utente e quindi ignora la protezione di AliExpress dagli attacchi di tipo cross-site scripting utilizzando una vulnerabilità di reindirizzamento aperto sul sito web.
Teoricamente, i cyber-criminali potrebbero far partire questo attacco attraverso una campagna di phishing via e-mail, sfruttando il normale customer journey del cliente di AliExpress, senza che questo abbia il sospetto che qualcosa di insolito o spiacevole stia accadendo. I cyber-criminali potrebbero ad esempio far apparite il pop-up di un coupon con un’offerta sulla schermata iniziale – che gira sotto un sottodominio di proprietà AliExpress – chiedendo ai clienti di fornire dettagli della carta di credito per consentire un’esperienza di acquisto più agevole e più efficiente. Gli hacker, tuttavia, controllano esclusivamente questa finestra pop-up con tutti i dati della carta di credito inseriti direttamente a loro non il sito di shopping.
Di seguito un video che mostra come funziona la vulnerabilità:
Dopo aver scoperto la vulnerabilità, i ricercatori di Check Point hanno immediatamente informato AliExpress che, visto il proprio approccio molto serio nei confronti della sicurezza informatica, ha agito rapidamente e risolto entro due giorni dalla falla. Questo modo di agire è assolutamente raccomandabile e dà l’esempio ad altri rivenditori online.
I recenti report indicano che gli attacchi informatici ai siti di shopping online sono raddoppiati a partire dal 2016; i consumatori devono quindi essere consapevoli che la barba di Babbo Natale potrebbe non essere sempre bianca come sembra, e prestare la massima attenzione durante gli acquisti online in qualsiasi sito durante le festività natalizie.
