Ödeme formu sipariş sırasında iki kez görünüyor

Çift giriş neden en güvenilir belirtidir

Bir müşteri size kartını iki kez girmek zorunda kaldığını yazar: ilk sayfa yeniden yükleniyor gibi olmuş, ardından her zamanki ödeme formu aynı bilgileri tekrar istemiştir. Sipariş normal şekilde tamamlanmıştır, tutar doğrudur, tek bir çekim görünür. Yönetim panelinde ters giden hiçbir şey yoktur.

Bu, Sansec’in Şubat 2026’da “double-tap skimming” adıyla belgelediği tekniğin tam olarak imzasıdır. 16 Şubat 2026’da, dünyanın ilk 10 perakendecisi arasında yer alan bir süpermarket zincirinin mağazasında tespit edilmiştir: yıllık yaklaşık 100 milyar avro ciro, 25 ülkede 10.000’den fazla mağaza; e-ticaret altyapısının bir bölümü PrestaShop üzerinde çalışmaktadır. Önce sahte bir ödeme formu görünür ve kart bilgilerini yakalar, ardından gerçek form devreye girer ve sipariş normal biçimde tamamlanır. Müşterilerin çoğu, verilerinin çoktan çalındığından şüphelenmeden bu ikinci girişi kabul eder.

Belirti güvenilirdir, çünkü yapısaldır. Hırsızlığın çalışması için müşterinin hiçbir yere varmayan bir formu doldurması gerekir; dolayısıyla ona yeniden başlatmak zorundadır. Satıcı tarafında ise hiçbir uyarı, anormal bir hata oranı veya siparişlerde tuhaf bir satır yoktur: bilgi ancak durumu garip bulan bir müşteriden ya da bir ay sonra gelen bir dolandırıcılık itirazından gelir.

Nereye bakmalı: önce tema dosyaları, sonra veritabanı

Sansec, satıcı tarafında iki yer gösteriyor. Birincisi, tema dosyalarına enjekte edilen script etiketleri; özellikle PrestaShop’ta _partials/head.tpl: bu, sipariş adımları dâhil tüm sayfalarda yüklenen şablondur. İkincisi, giriş alanlarını izleyen ve değerleri tarayıcının localStorage alanında bir önekle saklayan, sonra bunları alıp başka yere gönderen JavaScript. Hedef adresi burada yayınlamıyorum.

Açılması gereken diğer yer veritabanıdır. PrestaShop, Ocak 2025’te çekirdekte değil üçüncü taraf modüllerde SQL enjeksiyonu açıklarını kullanan bir saldırı dalgasını belgeledi: saldırganlar PS_SHOP_NAME yapılandırma değerine zararlı içerik yerleştiriyordu. Bu değer daha sonra, müşteri girdilerini yakalayan yetkisiz JavaScript’i yüklemek için kullanılır. Önerilen kontrol doğrudandır: veritabanındaki PS_SHOP_NAME değerini okuyun ve mağaza adınızdan başka bir şey içermediğini doğrulayın. PrestaShop ayrıca tüm yerleşik ve üçüncü taraf modüllerin güncellenmesini, ps_ yerine özel bir veritabanı öneki kullanılmasını ve bir uygulama güvenlik duvarı devreye alınmasını öneriyor.

Her iki yol da aynı şeyi anlatır: bir tema şablonu ile bir yapılandırma değeri, kimsenin bir daha okumadığı iki yerdir ve ödeme sayfasında neyin çalışacağına onlar karar verir.

Ödemenin sağlayıcıda barındırılması sizi korumaz

Birçok satıcı, kart girişi ödeme sağlayıcısının barındırdığı bir çerçevede veya sayfada yapıldığı ve kart numaraları kendi sunucularından hiç geçmediği için konuyu kapanmış sayar. Bu, formun kendisi için doğrudur. Onu çevreleyen sayfa için doğru değildir.

Çift giriş senaryosunda enjekte edilen kod sağlayıcının alanına saldırmaz: kendi katmanını ondan önce, sizin kontrol ettiğiniz sayfada gösterir. Müşteri, kendi dilinde ve sizin markanızla inandırıcı bir ödeme ekranı görür. Sansec, bu katmanların artık özenle yerelleştirildiğini ve üretken yapay zekâ araçlarının bunların hazırlanmasını hızlandırdığını belirtiyor. Ödemeyi barındıran sayfa değiştirilebildiği sürece, barındırılan entegrasyon hırsızlığı engellemez.

Bu sayfada bulunmayanlar

Burada saldırıyı yeniden üretmeye yarayacak hiçbir yöntem, hiçbir enjekte kod, hiçbir hedef adres ve savunmasız mağazaları bulmaya yarayacak hiçbir yol yazmıyorum. Bu sayfa tespit etmek, doğrulamak ve düzeltmek içindir; kimseyi donatmak için değil.

Anlatılan işaretlerden biri varsa, sonraki adım tek bir dosyayı düzeltmek değildir: eksiksiz bir temizlik, tüm erişimlerin yenilenmesi ve bir sonraki değişikliğin bir ay sonra bir banka itirazıyla değil aynı gün yakalanması için ödeme sayfasına bütünlük denetimi konmasıdır.