Investigadores de seguridad han detectado una campaña activa que afecta a cerca de 100 tiendas online basadas en Magento, en la que los atacantes ocultan un sistema de robo de tarjetas en un archivo SVG de tamaño píxel.
El objetivo es, interceptar pagos durante el proceso de checkout sin levantar sospechas en los sistemas de seguridad tradicionales.
Un SVG de 1 píxel como vector de ataque
El malware se inserta dentro de una imagen SVG de 1×1 píxel, utilizando un evento “onload” para ejecutar código JavaScript oculto.
Este enfoque permite:
- Evitar detección por herramientas de análisis
- Eliminar referencias externas sospechosas
- Ejecutar el código directamente dentro del HTML
El payload completo del ataque se encuentra codificado dentro del atributo del SVG, lo que dificulta su identificación.
Cómo roba los datos de pago
Cuando el usuario llega a la pantalla de pago, el script malicioso activa un overlay falso de “Secure Checkout”.
Este formulario fraudulento:
- Intercepta los datos introducidos por el usuario
- Valida tarjetas usando algoritmos como Luhn
- Envía la información a servidores controlados por atacantes
Los datos robados incluyen números de tarjeta, direcciones de facturación y otra información sensible.
Relación con la vulnerabilidad PolyShell
Según los investigadores de Sansec, el ataque podría estar relacionado con la explotación de la vulnerabilidad Adobe Commerce conocida como PolyShell.
Este fallo permite ejecución remota de código y toma de control de cuentas en instalaciones afectadas, lo que facilita la inyección del malware en los sistemas comprometidos.
Técnicas de exfiltración y evasión
El malware utiliza métodos avanzados para evitar detección:
- Código JavaScript embebido en SVG
- Datos codificados en base64 y XOR
- Uso de WebRTC para exfiltración oculta
- Dominios de salida distribuidos para evitar bloqueos
Además, se han identificado múltiples servidores utilizados para recibir los datos robados.
Riesgo para tiendas online
Este tipo de ataque afecta directamente a la confianza de los usuarios y puede provocar:
- Robo masivo de datos de tarjetas
- Fraude financiero a gran escala
- Daño reputacional para comercios afectados
- Posibles sanciones regulatorias por filtración de datos
Recomendaciones de seguridad
Los expertos recomiendan a los administradores de tiendas Magento:
- Revisar archivos SVG en busca de código oculto
- Monitorizar localStorage en busca de indicadores sospechosos
- Bloquear dominios y rutas asociadas al malware
- Actualizar Magento a versiones seguras o aplicar mitigaciones disponibles
Actualmente, no existe parche completo en versiones estables, lo que aumenta el riesgo de explotación activa.