Πώς ένα plugin του WooCommerce μπορεί να κλέψει τα δεδομένα σου

Η Σιωπηλή Κλοπή στο Ταμείο

Σκεφτείτε έναν κλέφτη που δεν σπάει πόρτες και δεν ανεβαίνει μπαλκόνια. Μπαίνει από μια άνοιχτη πλαϊνή πόρτα, παρακολουθεί τους πελάτες να πληκτρολογούν τα στοιχεία της κάρτας τους και φεύγει με ένα φάκελο γεμάτο δεδομένα. Χωρίς συναγερμούς, χωρίς φασαρία. Μέχρι που οι ερευνητές ασφάλειας βρήκαν τι συνέβαινε.

Αυτό ακριβώς συνέβαινε σε περισσότερα από 40.000 WooCommerce sites που χρησιμοποιούσαν μια μη ενημερωμένη έκδοση του plugin FunnelKit.

Ανάμεσα στην ανακάλυψη του κενού ασφαλείας και στην επιδιόρθωσή του τον Μάιο του 2026, επιτιθέμενοι ήταν ήδη σε θέση να συλλέγουν ζωντανά δεδομένα πληρωμών. Πλήρης αριθμοί καρτών, CVV, διευθύνσεις και προσωπικά στοιχεία πελατών περνούσαν σε πραγματικό χρόνο στα χέρια τους. Οι πελάτες δεν το είχαν καταλάβει. Ούτε εσείς.

Πώς Λειτούργησε η Επίθεση

Η συγκεκριμένη ευπάθεια δεν ήταν φαντασμαγορική. Η κακόβουλη κώδικας παρουσιαζόταν ως ένας κανονικός script για analytics, ένας tracker που υπάρχει σχεδόν σε κάθε modern e-commerce site. Το dashboard σας φαινόταν φυσικό. Η εμπειρία του πελάτες στο checkout ήταν ομαλή.

Όμως, στην πραγματικότητα, η code ήταν ήδη ημισφαιρική και ονταβαν. Την έπαθαν.