formjacking占主导地位有关的网络相关数据泄露
Web内容和服务的分散化正在扩大攻击面，让企业和消费者越来越多地接触到密码和信用卡盗窃，警告安全研究人员。
警告符合来自F5实验室的研究，显示劫持表格劫持，或Formjacking，在过去两年中飙升，因为网络犯罪分子在线结账点越来越多地瞄准消费者。
在典型的FormJacking场景中，攻击者将恶意脚本注入目标网页。然后，该页面由消费者加载，填充表格以进行购买。提交表单时，数据将按预期发送到网站，但还将数据库副本（包括支付卡详细信息）发送给攻击者，然后可以使用此信息来执行支付卡欺诈或销售通过黑客论坛到其他网络罪犯。
根据F5 Labs申请报告2019，旨在旨在窃取个人和财务信息的主导网络注射攻击方法，占窃取个人和财务信息，占全部分析的网络相关数据漏气的71％。
该报告，该报告基于760年违约报告的分析，表明，2019年上半年，83个事件可归因于攻击Web付款表格，影响1,396,969个支付卡。
“Formjacking在过去两年中爆发了普及，”F5网络的高级威胁福音师David Warburton表示。
“Web应用程序越来越多地将其代码的关键组成部分外包给第三方的代码，例如购物车和卡支付系统。Web开发人员正在使用导入的代码库，或者在某些情况下，将其应用程序直接链接到Web上托管的第三方脚本。
“因此，企业在弱势地位中发现自己的代码从数十个不同的来源编译 - 几乎所有这些都超出了正常企业安全控制的边界。由于许多网站利用相同的第三方资源，攻击者知道他们只需要损害一个组件来浏览来自巨大的潜在受害者的数据。“
在分析的成功形成攻击中，零售业发生了49％，与商业服务有关的14％，11％的专注于制造业。
运输业是Form Packing攻击的最大受害者，专门针对个人财务信息，在F5的分析窗口期间导致所有信用卡相关的盗窃。
虽然注射漏洞不是新的，但F5实验室表示，这是一个日益增长和不断发展的问题，因为换档行业趋势迅速提示新的风险和攻击表面的扩大。
根据Exploit数据库，2018年11％的新发现的漏洞形成了Formjacking攻击链的一部分，包括远程代码执行（5.4％）和任意文件包含（3.8％）。
“注射景观正在与我们的行为一起转变，”Warburton说。“充分检测和减轻注射缺陷现在取决于调整评估和控制 - 不仅仅是修复代码。我们交出第三方的代码越多，我们已经过了较少的知名度和控制权。“
据华堡顿介绍，组织将越来越开始以安全为导向的服务级别协议（SLA）的形式管理网络注入风险。
“报告中推荐的缓解方法是一个很好的开端，但与变形攻击者心态和能力保持步伐是至关重要的，”他说。
为了防止注射攻击，F5实验室建议：
创建Web应用程序的Web清单。这应该包括对第三方内容的彻底审计。第三方通常将该过程复杂于与其他网站相关联以及不合标准安全控制的趋势。修补所有系统和应用程序。虽然补丁不一定在第三方内容中修复缺陷，但它使攻击者从初始立足点升级到实质性妥协更困难。由于Web注入是一种多功能技术，因此修补应用程序仍然至关重要，以防止受损的第三方资产损坏。漏洞扫描。多年来，Cisos认识到运行外部扫描以获得黑客视野的重要性。当在最后一分钟在客户端在客户端组装大量内容时，这变得更加重要。用于代码更改的监控。无论代码托管在哪里，如何获得更多可见性 - 无论新漏洞是否正在出现。这意味着监控GitHub和AWS S3存储桶，以及本机代码存储库。部署多因素身份验证。Multifactor身份验证应在连接到高冲击资产的任何系统上实现，因为注入通常用于绕过身份验证以访问Web服务器代码。理想情况下，应用层加密还可以补充TLS / SSL以在浏览器级别保持机密性。探索服务器软件工具的潜力。例如，可以设置内容安全策略（CSP），以阻止未经授权的代码注入网站或应用程序。此外，子源完整性（SRI）Web方法可以验证第三方应用程序是否已被更改。这两个工具都需要正常适合Web应用程序。这是一个强大的灵活WAF（Web应用程序防火墙）进出的地方。监控新注册的域和证书。这些通常用于托管恶意脚本，同时出现正版到最终用户。
