研究人员报告称，黑客正在滥用谷歌分析(Google Analytics)，以便偷偷地从受感染的电子商务网站窃取信用卡数据。
盗刷银行卡用过去仅指在实体店感染销售点机器的做法。而恶意软件会提取信用卡/银行卡号码和其他数据，接着攻击者会使用或出售被盗信息。
据arstechnica报道，最近，这类攻击已经扩展到电子商务网站。黑客利用获得的控制权，在后端系统植入未经授权的代码，由于后端系统负责接收和处理在线交易期间的银行卡数据，这些恶意代码借此复制数据。
要成功入侵系统的一个挑战是绕过网站安全策略，或者隐藏被感染网络上的大量敏感数据。卡巴斯基实验室(Kaspersky Lab)的研究人员周一表示，他们最近观察到大约 20 多个感染网站，发现了实现这一目标的新方法。攻击者不会将其发送到攻击者控制的服务器上，而是将其发送到他们控制的谷歌分析账户上。由于谷歌服务被广泛使用，电子商务网站安全策略通常完全信任它接收数据。
卡巴斯基实验室研究员称，谷歌分析是一项非常受欢迎的服务(根据BuiltWith的数据，有超过 2900 万个网站使用)，并且受到用户的盲目信任。网站管理员通常都会允许谷歌分析服务收集数据。另外，不需要从外部下载代码就可以实现攻击。
该研究人员补充道：“为了使用谷歌分析获取访问者的数据，网站所有者必须在他们在analytics.google.com的账户中配置跟踪参数，获取跟踪标识(tracking ID，类似于这样的字符串：UA-XXXX-Y)，并将其与跟踪代码(一段特殊的代码)一起插入到网页中。多个跟踪代码可以在一个网站上相互渗透，将访问者的数据发送到不同的谷歌分析账户。”
“UA-XXXX-Y”指的是谷歌分析用来区分一个帐户和另一个帐户的跟踪ID。如下图所示，显示了受感染站点上的恶意代码，IDs(下划线)可以很容易地与合法代码混合在一起。
谷歌方面并没有就谷歌分析是否有防止此类滥用的措施作出回应。
图文来源：站长之家（ChinaZ.com）
及时掌握网络安全态势 尽在傻蛋网络安全监测系统
本文来源:站长之家（ChinaZ.com）
如涉及侵权，请及时与我们联系，我们会在第一时间删除或处理侵权内容。
电话：400-869-9193 负责人：张明
工商执照