Czego nauczył nas rok 2023 w zakresie bezpieczeństwa w handlu elektronicznym

W świecie biznesu istnieje stare powiedzenie: „to, co nas tu doprowadziło, nie zaprowadzi nas dalej”. Aby pozostać konkurencyjne, firmy muszą nieustannie się dostosowywać i rozwijać. To samo dotyczy cyberbezpieczeństwa. Zagrożenia cybernetyczne stają się coraz bardziej złożone i na coraz większą skalę, a atakujący szukają nowych sposobów na przejęcie cennych danych.

Cyberprzestępcy coraz częściej obierają za cel sektor retail

Według szczegółowej analizy magazynu Tech Radar sektor retail jest dziś jednym z ulubionych celów cyberprzestępców. Analiza tegorocznych ataków na firmy z branży retail wykazała szereg kluczowych zagrożeń, w tym kradzież danych, przejęte konta, szkody wizerunkowe oraz przestoje.

Istnieją powszechne zagrożenia, takie jak skimming cyfrowy i złośliwe boty, podczas gdy inne, takie jak ataki przejęcia kont (ATO) oraz nadużycia logiki biznesowej, występują coraz częściej. Jakie wnioski możemy wyciągnąć z roku 2023? I jak sprzedawcy detaliczni mogą reagować na zmieniający się krajobraz zagrożeń?

Przejmowanie kont

Jednym z największych zagrożeń dla wszystkich firm z branży retail w tym roku były ataki przejęcia kont (ATO), w których cyberprzestępcy używają zautomatyzowanych botów, aby próbować przejąć konta online, testując skradzione hasła i nazwy użytkowników. Dla klientów udany atak ATO może mieć poważne konsekwencje finansowe, a dla firm może oznaczać ryzyko utraty reputacji i spadek przychodów.

Ataki ATO stanowią zagrożenie przez cały rok i odpowiadają za prawie 1 na 6 wszystkich prób logowania. Złośliwa aktywność jest szczególnie nasilona w okresie świątecznym. W tym roku liczba złośliwych prób logowania wzrosła aż o 85% podczas Black Friday, przewyższając nawet ubiegłoroczny wzrost o 66%. I to nie tylko Black Friday stanowi problem: liczba ataków ATO wzrosła o 82% między październikiem 2023 a listopadem 2023. Liczby te pokazują, jak ważne jest, aby platformy eCommerce i firmy dysponowały zabezpieczeniami umożliwiającymi identyfikację i ograniczanie złośliwego zautomatyzowanego ruchu, który może brać udział w atakach ATO.

Nadużycia logiki biznesowej

Logika biznesowa odnosi się do reguł lub algorytmów określających, jak aplikacja lub program działa i wchodzi w interakcję z bazą danych. Można ją traktować jako proces decyzyjny aplikacji lub API – scenariusze „jeśli” i „to”, zaprojektowane tak, aby maksymalizować ROI. Na przykład sprzedawca detaliczny może ustalić, że „jeśli” klient zamówi towar o wartości powyżej 200 £, „to” otrzyma 20% rabatu. Taka logika warunkowa pozwala automatyzować decyzje biznesowe i czynić je bardziej efektywnymi.

W ciągu ostatnich 12 miesięcy 2023 roku liczba ataków wymierzonych w logikę biznesową witryn retail niemal się podwoiła, wzrastając z 26% do 43%. Ataki na logikę biznesową mogą służyć do kradzieży pieniędzy lub danych wrażliwych, popełniania oszustw lub po prostu wywoływania chaosu poprzez zawieszenie krytycznej dla biznesu aplikacji. Są coraz popularniejsze wśród hakerów, ponieważ nie wykorzystują wady technicznej, lecz nadużywają istniejącej funkcjonalności aplikacji lub systemu. W rezultacie często nie są wykrywane przez tradycyjne narzędzia bezpieczeństwa.

Na przykład, jeśli sprzedawca pozwala klientowi wysyłać cyfrowe karty podarunkowe innemu klientowi, hakerzy mogą wykorzystać wadliwą logikę systemu, aby „podarować” sobie z innego konta kupony o wartości tysięcy euro. Taki atak mógłby mieć poważne konsekwencje zarówno dla konsumenta, jak i dla firmy.

Wyciągnięte wnioski

Sprostanie tym dwóm problemom – nie wspominając o wielu innych zagrożeniach, z którymi mierzą się sprzedawcy detaliczni – wymaga zaangażowania obu stron. W przypadku konsumentów kluczowe jest przestrzeganie dobrych praktyk dotyczących haseł (takich jak niestosowanie tych samych haseł w różnych serwisach), aby zmniejszyć ryzyko stania się ofiarą ataku ATO. Z kolei firmy potrzebują skoordynowanej i kompleksowej strategii obrony, z pakietem funkcji obejmujących wszystkie punkty dostępu, w tym strony internetowe, aplikacje mobilne i API. Oznacza to wyjście poza proste rozwiązanie do zarządzania botami i wdrożenie narzędzi takich jak analiza ataków, ochrona po stronie klienta (client-side) oraz ochrona aplikacji w czasie wykonywania (RASP).

Ponadto odpowiedzialność za bezpieczeństwo musi być bardziej rozproszona w całej organizacji. Przeciwdziałanie nadużyciom logiki biznesowej wymaga, aby deweloperzy i product ownerzy już od początku i na każdym etapie procesu mapowali i uwzględniali środki bezpieczeństwa, aby zminimalizować potencjalne ryzyko. Powinno to iść w parze z regularnymi audytami i przeglądami kodu, aby wykrywać problemy, które mogły zostać początkowo niezauważone. Identyfikowanie podatności logiki biznesowej nie jest procesem jednorazowym – aktualizacje oprogramowania są wydawane nieustannie, a każda z nich może wprowadzić nową słabość do logiki aplikacji.

Co przyniesie obecny krajobraz zagrożeń?

Ze względu na stale zmieniający się krajobraz zagrożeń cyberbezpieczeństwo wymaga ciągłego dostosowywania się. Nowe zagrożenia mogą pojawić się z dnia na dzień i stać się krytycznymi problemami dla firm. W 2023 roku ataki ATO i nadużycia logiki biznesowej były dwoma z głównych zagrożeń dla sprzedawców detalicznych. Wraz z rosnącym wykorzystaniem generatywnej sztucznej inteligencji technologia ta może pomóc cyberprzestępcom modyfikować ich ataki. W rezultacie w 2024 roku możemy zobaczyć zaskakujący wzrost liczby ataków, zwłaszcza wymierzonych w logikę biznesową, ponieważ atakujący trenują systemy sztucznej inteligencji, aby wykrywały i wykorzystywały takie podatności.