Разработчики Magento обнаружили, что функциональность PayPal Payflow Pro оказалась весьма полезным инструментом для злоумышленников.
Интеграция PayPal Payflow Pro с магазинами Magento позволяет их владельцам включить платежную опцию, благодаря которой можно принимать средства на учетную запись PayPal. По сути, таким образом на сайт можно встроить специальную платежную форму, и посетителям не понадобится покидать магазин и переходить на сайт PayPal для совершения оплаты.
Как оказалось, интеграция PayPal Payflow Pro в Magento версиях 2.1.x и 2.2.x позволяет злоумышленникам использовать уязвимые магазины для проверки банковских карт на подлинность и работоспособность. Злоумышленники массово приобретают информацию о чужих банковских картах в даркнете, однако не пытаются сразу использовать их для оплаты каких-либо покупок. Вместо этого хакеры инициируют транзакции размером $0 и смотрят, не приведет ли данная операция к каким-либо ошибкам, что позволяет косвенно подтвердить, действительны ли купленные на черном рынке детали карты.
По данным разработчиков, проблема распространяется на любые установки Magento, как на собственные хостинги клиентов, так и на коммерческие облачные решения Magento. Также сообщается, что Magento 2.3.x тоже может быть уязвима перед такими атаками, однако пока эксперты не наблюдали злоупотребления PayPal Payflow Pro на этой версии платформы.
Администраторам ресурсов под управлением Magento настоятельно рекомендуется включить WAF или задействовать другие защитные системы, предотвращающие подобный брутфорс и активность ботов. Дело в том, что PayPal вполне может заблокировать аккаунт владельца сайта, обнаружив столь подозрительную автоматическую активность.
