Cùng tìm hiểu về lỗi Magento và cách phòng tránh web bị tấn công!

I. Tổng quan về web Magento

1. Web Magento là gì?

Magento là một nền tảng thương mại điện tử mã nguồn mở được phát triển bằng ngôn ngữ lập trình PHP. Nó được ra mắt lần đầu vào năm 2008 bởi công ty Varien (nay là Magento, Inc.). 

Vào năm 2018, Magento đã được  Adobe mua lại và đến thời điểm hiện tại đã có 150.000 cửa hàng trực tuyến sử dụng Magento trong đó kể đến như Coca-Cola, Nike, và Ford.

Magento cung cấp cho các doanh nghiệp một giải pháp linh hoạt và mạnh mẽ để xây dựng và quản lý cửa hàng trực tuyến. 

Sự phổ biến của web thương mại điện tử Magento

Xem thêm:>>>Amazon ra mắt “new cloud” dành riêng cho Châu Âu. Có gì đặc biệt?​<<<

Với cấu trúc mô-đun, web Magento cho phép tùy chỉnh gần như mọi khía cạnh của trang web, từ giao diện người dùng đến chức năng thương mại và quản lý sản phẩm.

2. Tính năng web Magento

• Quản lý sản phẩm và danh mục: Hỗ trợ nhiều loại sản phẩm và danh mục phong phú.
• Công cụ marketing và quảng cáo: Tích hợp sẵn các công cụ SEO, khuyến mãi và tiếp thị.
• Tích hợp thanh toán và vận chuyển: Hỗ trợ nhiều phương thức thanh toán và lựa chọn vận chuyển.
• Quản lý khách hàng: Cung cấp các công cụ để quản lý thông tin và tương tác với khách hàng.
• Báo cáo và phân tích: Hệ thống báo cáo chi tiết giúp doanh nghiệp theo dõi và phân tích hiệu quả hoạt động kinh doanh.

3. Ưu điểm của web Magento

• Tính linh hoạt và tùy biến cao: Magento cho phép doanh nghiệp tùy chỉnh gần như mọi khía cạnh của trang web.
• Mã nguồn mở: Magento cho phép cộng đồng phát triển mở rộng và cải tiến chức năng.
• Quy mô và khả năng mở rộng: Magento có thể đáp ứng truy cập với ít sản phẩm đến truy cập cao với số lượng lớn sản phẩm.
• Cộng đồng và hỗ trợ: Magento có một cộng đồng phát triển lớn, cung cấp nhiều tài nguyên hỗ trợ, từ tài liệu đến diễn đàn và các phần mở rộng (extensions).
• Tính năng phong phú: Magento đi kèm với nhiều tính năng tích hợp sẵn, giúp doanh nghiệp quản lý cửa hàng, khách hàng, và chiến lược marketing.

II. Nội dung về lỗi Magento

1. Cách thức hoạt động lỗi Magento

Các chuyên gia từ Sansec đã xuất bản một bài đăng trên blog mô tả chi tiết “cleverly crafted layout template in the database”, có nghĩa là có một bố cục mẫu được tạo ra ở dữ liệu của web Magento có thể đưa phần mềm độc hại. 

Tấn công bằng phiên bản cũ của web Magento

Xem thêm:>>>Tin tức mới: Website giả mạo lừa đảo tra cứu tên miền và cách khắc phục nhanh chóng​<<<

• Theo nghiên cứu, Những kẻ tấn công gói beberlei/assert (được cài đặt theo mặc định) để thực thi các lệnh hệ thống vào Magento, khi kích hoạt chỉ cần chèn “<store>/checkout/cart” để đánh cắp dữ liệu thanh toán.
• Lệnh trong trường hợp này được gọi là sed và thêm một cửa sau vào bộ điều khiển CMS. Vì vậy, phần mềm độc hại sẽ được tiêm lại sau khi sửa chữa thủ công hoặc thiết lập bin/magento:di:compile run:

Lỗi Magento đã sử dụng lỗ hổng một cách vô tội vạ, để nhanh chóng chiếm được các tài khoản thanh toán trên sàn thương mại điện tử. Vì vậy các chuyên gia đã phát hiện ra lỗ hổng này mang tên CVE-2024-20720 và có điểm nghiêm trọng là 9,1.

Vào ngày 13 tháng 2 năm 2024, Magento đã sửa chữa lỗ hổng này cho khách hàng của họ.

2. Mục tiêu của lỗi Magento

Với khác hàng rộng lớn, nền tảng thương mại điện tử Magento trở thành mục tiêu chính của cuộc tấn công đánh cắp dữ liệu thanh toán. 

MageCart là công cụ thu thập thông tin thẻ tín dụng lớn nhất hiện nay. Những kẻ tấn công đã sử dụng công cụ này để chạy hàng loạt phiên bản Magento lỗi thời và không được hỗ trợ. Tạo nên cuộc hoang mang về lỗi Magento cho các doanh nghiệp sử dụng web.

• Bên cạnh đó, chúng còn sử dụng tên miền Naturalfreshmalll.com vào tháng 2 năm 2022, Sansec đã phát hiện hơn 500 ca lây nhiễm xảy ra trong cùng một ngày với cùng một phần mềm độc hại. 
• Chúng đã tải phần mềm độc hại lên các trang web thương mại điện tử chạy Magento 1. 

Phiên bản này đã hết hạn sử dụng vào ngày 30 tháng 6 năm 2020, nghĩa là nó không còn nhận được các bản cập nhật bảo mật và khả năng sử dụng thường xuyên nữa, khiến nó trở thành mục tiêu hoàn hảo cho tội phạm mạng.

3. Hậu quả của lỗi Magento

Đối với doanh nghiệp

Thiệt hại tài chính:

• Chi phí khắc phục sự cố: Doanh nghiệp sẽ phải đầu tư vào việc điều tra, khắc phục và nâng cấp hệ thống.

Lỗi MAGENTO gây thiệt hại về tài chính cho doanh nghiệp và khách hàng

Xem thêm:>>>Bán hàng trên Shopify - Giải pháp thương mại điện tử cho người bán<<<

Các chi phí này có thể bao gồm việc thuê chuyên gia bảo mật, mua phần mềm bảo mật mới, và thậm chí là xây dựng lại hệ thống từ đầu.

• Bồi thường cho khách hàng: Doanh nghiệp có thể phải bồi thường cho khách hàng bị ảnh hưởng.

Bao gồm hoàn tiền, cung cấp dịch vụ miễn phí, hoặc các biện pháp hỗ trợ khác để giúp khách hàng phục hồi từ vụ tấn công.

• Mất doanh thu: Khách hàng tin tưởng và tiếp tục mua sắm sẽ giảm đi đáng kể, dẫn đến doanh thu giảm sút trong thời gian dài.
• Phạt hành chính từ các cơ quan quản lý: Các khoản phạt này có thể rất lớn và gây thêm áp lực tài chính cho doanh nghiệp.

Mất uy tín và niềm tin của khách hàng:

• Tổn hại danh tiếng: Khách hàng hiện tại và tiềm năng có thể mất niềm tin vào khả năng bảo vệ dữ liệu của doanh nghiệp.
• Khó khăn trong việc thu hút khách hàng mới: Danh tiếng bị tổn hại làm cho việc thu hút khách hàng mới trở nên khó khăn hơn, vì họ sẽ lo sợ về mức độ bảo mật của doanh nghiệp.

Khả năng bị kiện tụng và phạt hành chính:

• Kiện tụng từ khách hàng và đối tác: Các khách hàng bị ảnh hưởng có thể khởi kiện doanh nghiệp để đòi bồi thường thiệt hại. 

​Các đối tác kinh doanh cũng có thể chấm dứt hợp đồng hoặc yêu cầu bồi thường

Đối với khách hàng

Mất tiền và thông tin cá nhân:

• Tài khoản bị truy cập trái phép: Kẻ tấn công có thể sử dụng thông tin thanh toán bị đánh cắp để thực hiện các giao dịch trái phép, gây ra thiệt hại tài chính trực tiếp cho khách hàng.
• Thông tin cá nhân bị lộ: Các thông tin như địa chỉ, số điện thoại, và thậm chí là số chứng minh nhân dân có thể bị sử dụng cho các mục đích lừa đảo khác.

III. Cách phòng chống lỗi Magento

1. Cập nhật và vá lỗi thường xuyên

Đảm bảo rằng web Magento và các plugin là phiên bản mới:

• Các nhà phát triển web Magento liên tục phát hành các bản cập nhật để vá lỗi và cải thiện tính năng bảo mật. 

Sử dụng các biện pháp phòng tránh để bảo mật web Magento

Các lỗ hổng bảo mật mới thường xuyên được phát hiện và khai thác, vì vậy việc cập nhật thường xuyên là cách tốt nhất để giảm thiểu rủi ro.

Cách thực hiện:

• Theo dõi các thông báo từ web Magento: Đăng ký nhận thông báo từ Magento để biết về các bản cập nhật mới nhất.
• Sử dụng công cụ quản lý phiên bản: Các công cụ như Composer có thể giúp quản lý và cập nhật các phiên bản của Magento và các plugin dễ dàng hơn.
• Kiểm tra và cập nhật plugin: Đảm bảo rằng tất cả các plugin và module cũng được cập nhật đều đặn vì chúng cũng có thể chứa lỗ hổng bảo mật.

2. Sử dụng giải pháp bản mật

• Firewall ứng dụng web (WAF):  WAF giúp bảo vệ website khỏi các tấn công phổ biến như SQL injection, cross-site scripting (XSS), và các tấn công DDoS.
• Phần mềm diệt virus và anti-malware: Phần mềm diệt virus và anti-malware giúp phát hiện và loại bỏ các mã độc và phần mềm gián điệp có thể xâm nhập vào hệ thống.

3. Kiểm tra bảo mật định kỳ

Kiểm tra bảo mật định kỳ giúp phát hiện các lỗ hổng và điểm yếu trước khi chúng bị kẻ tấn công khai thác.

Các phương pháp kiểm tra bảo mật:

• Kiểm tra bảo mật tự động: Sử dụng các công cụ tự động như Nessus, OpenVAS, hoặc các plugin bảo mật của Magento để kiểm tra và đánh giá bảo mật.
• Kiểm tra bảo mật thủ công: Thực hiện các kiểm tra thủ công bởi các chuyên gia bảo mật để phát hiện các lỗ hổng phức tạp và khó phát hiện.
• Pentest: Thực hiện các bài kiểm tra xâm nhập (penetration testing) để kiểm tra khả năng bảo mật của hệ thống bằng cách mô phỏng các cuộc tấn công thực tế.

4. Đào tạo bảo mật tránh lỗi Magento

Nhân viên và khách hàng thường là mục tiêu của các cuộc tấn công xã hội (social engineering). Việc nâng cao nhận thức bảo mật giúp giảm thiểu nguy cơ bị tấn công.

Đối với nhân viên:

• Khóa học bảo mật cơ bản: Cung cấp các khóa học về các khái niệm bảo mật cơ bản, cách nhận diện và phòng tránh các cuộc tấn công phổ biến như phishing, malware, và social engineering.
• Đào tạo chuyên sâu cho nhân viên kỹ thuật: Đối với các nhân viên kỹ thuật, cung cấp các khóa đào tạo chuyên sâu về bảo mật mạng, quản trị hệ thống, và bảo mật ứng dụng.

Đối với khách hàng:

• Hướng dẫn bảo mật: Cung cấp các hướng dẫn về bảo mật, như cách tạo mật khẩu mạnh, cách nhận diện email lừa đảo, và bảo vệ thông tin cá nhân khi mua sắm trực tuyến.
• Thông báo về các mối đe dọa mới: Thường xuyên thông báo cho khách hàng về các mối đe dọa bảo mật mới nhất và cách phòng tránh.

IV. kết luận

Việc các website sử dụng Magento bị đánh cắp dữ liệu thanh toán là một vấn đề nghiêm trọng, ảnh hưởng lớn đến cả doanh nghiệp và khách hàng. 

Để giảm thiểu rủi ro, các doanh nghiệp cần thường xuyên cập nhật phần mềm, sử dụng các giải pháp bảo mật mạnh mẽ và thực hiện kiểm tra bảo mật định kỳ.