Alvar Maciel

🚨 DISCO, JUMBO Y VEA INFECTADOS 🔒 Las webs de compra online de los supermercados de Cencosud están hoy infectadas con un código oculto que buscaría quedarse con datos privados de los clientes, incluyendo números de tarjetas de crédito. No se si tiene éxito en ese cometido. La primera conclusión sería creer que son víctimas de un ciberataque. Pero los datos se intentan enviar a un servidor asociado a una empresa de ciberseguridad colombiana, lo cual lo hace un poco extraño. Todos los sitios están montados sobre la plataforma VTEX así que capaz el problema podría venir de ahí y no de sistemas internos de la empresa Cencosud. Al código oculto le dejaron comentarios que indican que se trata de un keylogger (un software que registra lo que tipeás) para los campos de pago de tarjeta de crédito para enviarlo a un servidor de terceros. El código además intenta interceptar otras comunicaciones de la app donde se ejecute con sus servidores y reenviar la información a otro lado. Sí se puede confirmar por cómo está metido el código que es una infección no deseada por el equipo que programó la web. Si esto no es un ciberataque sino pruebas de una auditoría de ciberseguridad en producción en vivo, es un desastre; casi que sería más negligente que estar ante un ciberataque. El código tiene algunos errores conceptuales en lo que quisieron hacer por lo que, si fue realizado con IA, no fue una de las mejores. Para los más técnicos: el service worker que intentan instalar que se ve en la imagen nunca va a funcionar, no se pueden registrar SW desde Blob justamente para evitar estos ataques, salvo que sea algo muy dirigido a algún dispositivo que tenga algún bug no conocido sobre este tema. Yendo un poco más a fondo, el ataque, o intento de ataque, busca ejecutarse en sitios de terceros, ni siquiera solo en el sitio de los supermercados porque se inyecta en los meta datos de open graph, que busca ejecutarse en sitios de terceros (como redes sociales cuando se publica un link), aunque si están bien armados no deberían ser vulnerables a este ataque. En principio me cuesta encontrar un caso donde el ataque haya tenido éxito, así que no se si es un ciberataque fallido y dejaron el código abandonado pero no lo puedo asegurarlo tampoco. Es solo una revisión rápida que hice mentalmente del circuito de ataque mirando el código y tratando de entender lo que quisieron hacer. Por cierto, esta información es de la infección en curso que se puede ver en el código fuente de las webs ahora. No requiere hacer nada extraño para verlo (más que saber algo de programación web). Lo verifiqué luego de lo que contó Nahuel en el tuit citado. No tengo datos sobre cómo inyectaron ese código de apariencia maliciosa así que no tengo información que deba comunicarse en privado con los desarrolladores.