E-commerce compromesso:
skimmer, backdoor e phishing su
una piattaforma non aggiornata.

Questo e-commerce vendeva ogni giorno. E ogni giorno, da quasi due anni, regalava i dati dei suoi clienti a degli sconosciuti. Lo abbiamo scoperto quando ne abbiamo preso la gestione — e sotto la superficie, attivo da ben prima del nostro arrivo, c'era un piccolo arsenale che nessuno aveva mai notato.

Cosa abbiamo trovato

Nei primi giorni di audit tecnico, dopo aver preso in carico il progetto, sono emersi cinque vettori attivi di compromissione. Sistemi apparentemente scollegati, tutti presenti nella stessa infrastruttura, tutti che facevano il loro lavoro silenziosamente da mesi (in un caso da quasi due anni).

• Uno skimmer nel checkout che copiava i dati delle carte di credito e li spediva in tempo reale verso un server estero
• Visitatori dirottati verso siti-truffa in base a determinate condizioni (device, referrer, geolocalizzazione)
• Quattro accessi nascosti — backdoor plurime — per rientrare nel sistema in qualsiasi momento anche dopo un cambio password
• Una pagina di phishing ospitata direttamente sul server dell'e-commerce (impersonava un servizio bancario noto)
• Malware e spam in uscita dall'infrastruttura, che sfruttavano le risorse del server per campagne fraudolente

Il dettaglio più assurdo? Nessuna password era stata rubata. Erano entrati da una vulnerabilità di una piattaforma vecchia e mai aggiornata.

Come sono entrati

Non c'è stato un attacco brute force. Non c'è stato un dipendente che ha cliccato su una mail di phishing. Non c'è stato un password leak.

Semplicemente, l'e-commerce girava su una versione di piattaforma non aggiornata da anni. Una CVE nota — documentata, con proof-of-concept pubblici, con patch disponibile da tempo — ha permesso a un attacker di ottenere l'esecuzione remota di codice. Da lì è entrato, ha installato tutto il resto, e ha aspettato.

Nessuno se n'è mai accorto, perché il sito funzionava. Gli ordini arrivavano, i pagamenti passavano, il fatturato cresceva. In parallelo, ogni carta di credito veniva copiata e spedita a chi l'avrebbe rivenduta o usata direttamente.

Cosa abbiamo fatto

Il piano è stato eseguito in tre fasi, senza mai fermare le vendite del cliente più del necessario:

1. Contenimento immediato: isolamento del server, cambio di tutte le credenziali (server, database, SFTP, pannelli), notifica ai processori di pagamento per bloccare le carte esfiltrate
2. Bonifica completa: rimozione di tutti i vettori (skimmer, backdoor, phishing, mailer, redirect), audit forense per capire timeline e portata, verifica assenza di ulteriori impianti
3. Migrazione a piattaforma nuova: nuovo e-commerce su stack moderno, aggiornato, con hardening (firewall applicativo, monitoraggio integrità, backup automatici off-site GPG-encrypted)

La lezione

Un e-commerce che funziona non è un e-commerce sicuro. Sono due cose diverse. La velocità di vendita non dice nulla sulla sicurezza sottostante.

La cosa più subdola di questi attacchi è che non "rompono" nulla: il sito continua a girare, i clienti continuano ad acquistare, il proprietario continua a incassare. Il danno è invisibile per anni, poi arriva tutto in una volta — data breach, sanzioni GDPR, perdita di fiducia, chargeback delle carte compromesse.

Da Click Company i siti dei nostri clienti li facciamo crescere e li teniamo blindati, allo stesso tempo. Aggiornamenti automatici, monitoraggio dell'integrità dei file, alert su comportamenti anomali del server, backup offsite crittografati. Non è opzionale — è parte del contratto.

Se cerchi un partner che faccia sul serio su entrambi i fronti — vendita e sicurezza — ci trovi qui. E se hai anche solo il dubbio che qualcosa sotto il tuo shop non sia pulito, il primo audit lo facciamo noi.