La integración de PayPal Payflow Pro es una opción de pago disponible en las tiendas Magento que permite a una tienda en línea procesar transacciones con tarjeta a través de una cuenta de comerciante de PayPal.

Muchas tiendas lo utilizan porque les permite recibir pagos a través de PayPal mediante un formulario de pago integrado en sus sitios y sin que los usuarios abandonen la tienda para ingresar los detalles en el portal de PayPal.

ABUSO DETECTADO

Según un aviso de seguridad emitido por el equipo de Magento y visto por ZDNet, los piratas informáticos están abusando de la integración de PayPal Payflow Pro incluida en las versiones Magento 2.1.xy 2.2.x para probar la validez de las tarjetas robadas.

Los delincuentes no utilizan las tarjetas robadas para realizar pedidos de productos reales, sino que simplemente inician una transacción de $ 0 y ven si devuelve algún error, y confirma indirectamente que los detalles de la tarjeta son válidos.

Se cree que los piratas informáticos están comprando estas tarjetas en los llamados "foros de cardado": foros de ciberdelincuencia subterráneos en los que los piratas informáticos y los grupos de rozamiento de cajeros automáticos ponen a la venta los detalles de las tarjetas.

Muchos de estos " volcados de tarjetas " a menudo contienen detalles de tarjetas de pago vencidas y antiguas, y los compradores a menudo necesitan una forma de validar los detalles de los volcados de tarjetas recién comprados antes de utilizarlos en operaciones fraudulentas en bancos o tiendas en línea, o para crear clones de tarjetas.

El equipo de Magento dijo que ambas versiones del CMS de Magento son vulnerables: la versión de código abierto auto hospedada y las ofertas comerciales de Magento en las instalaciones o en la nube.

Las versiones de Magento 2.3.x también pueden ser vulnerables, pero el equipo de Magento no ha visto ninguna evidencia de abuso contra este tipo de sitios hasta el momento.

SALVAGUARDAR LAS TIENDAS ES UNA NECESIDAD

El equipo de Magento ahora recomienda que los propietarios de tiendas busquen instalar un servidor de seguridad de aplicaciones web (WAF) u otros sistemas de detección de fuerza bruta o bots para proteger a las tiendas contra tales abusos.

Los propietarios de las tiendas pueden pensar que no están sujetos a perder dinero, ya que los piratas informáticos simplemente están probando algunos detalles de la tarjeta de pago, pero la realidad no es así.

El equipo de Magento advierte a los propietarios de tiendas que PayPal puede suspender sus cuentas después de repetidas operaciones automatizadas. Recomiendan que los propietarios de tiendas se pongan en contacto con PayPal e informen sobre medidas de seguridad antifraude adicionales que puedan implementar para sus cuentas comerciales de PayPal.

--

ehs