Cum se transformă pluginul tău WooCommerce într-un hoț de date: ce trebuie să știi despre vulnerabilitatea FunnelKit
Furtul discret care se întâmplă la finalizarea comenzii
Imaginează-ți un atacator care nu forțează uși și nu sparge ferestre. Doar se strecoară prin codul unui plugin popular și, fără să atragă atenția, fură datele de plată ale clienților. Fără alarme, fără semne vizibile. Doar date care dispar în liniște.
Exact asta s-a întâmplat pe peste 40.000 de magazine WooCommerce care foloseau o versiune neactualizată a pluginului FunnelKit.
De la momentul în care vulnerabilitatea a fost descoperită și până la lansarea patch-ului din mai 2026, atacatorii au colectat în timp real informații sensibile. Carduri de credit, coduri CVV, adrese de facturare — toate au fost interceptate în timpul procesului de checkout. Clienții nu au știut nimic. Majoritatea proprietarilor de magazine nici ei.
Cum funcționează atacul
Vulnerabilitatea era simplă,却又隐秘. Codul malițios era ascuns într-un script obișnuit de analytics, ca cel care pare normal pe orice site de comerț electronic. Tabloul de bord al magazinului arăta normal. Experiența clienților la checkout era obișnuită.
În schimb, în spatele scenei, fiecare keystroke introdus în câmpurile de plată a fost capturat și trimis către servere controlate de atacatori. Standardele obișnuite de monitorizare nu au detectat nimic. Auditurile normale nu au prins infecția. 大多数店主看到的是完全正常的情况。
În același timp, vulnerabilitățile în pluginuri populare sunt deosebit de periculoase tocmai din cauza numărului mare de magazine afectate și a naturului data de plată implicată.
Câte magazine au fost betroffen
- Peste 40.000 de magazine WooCommerce au folosind versiuni vulnerabile
- Fiecare magazin neactualizat poate fi compromis
- Fiecare tranzacție făcută în perioada respectivă poate să habenă data de plată ale clienților
- Toate versiunile până la 3.15.0.3 au fost vulnerabile
Dacă ai folosit plățile cu cardul în acea perioadă și n-ai fi updatet FunnelKit, trebuie să presupui că datele clienților au been stolen. Nu este vorba de alarmism.