Firma keamanan Sansec melaporkan kampanye malware yang sudah menginfeksi 953 toko online, sebagian besar berbasis Magento. Pelaku menanam skrip JavaScript kecil di halaman toko, dan kampanye ini menurut Sansec sudah berjalan sejak Juli 2025. SecurityWeek dan The Hacker News memberitakan temuan itu pada 26 Oktober 2026.
Skrip yang Menyaring Pengunjung
Menurut The Hacker News, skrip itu disisipkan ke konten blok CMS Magento. Saat pembeli membuka toko, browser mereka menghubungi server penyerang untuk mengambil instruksi. Server hanya melayani pengunjung yang tampak seperti manusia asli, sehingga pemindai keamanan tidak mendapat apa-apa. Satu versi loader menyimpan muatannya di localStorage browser, jadi skrip bisa tetap jalan walau domain penyerang sudah mati. Versi lain menambahkan sidik jari browser untuk menyaring bot.
Penyerang sudah memakai lima domain loader berbeda. Domain terbaru berada di balik Cloudflare dan hanya merespons permintaan dari skrip yang berjalan di browser pengunjung. Sansec menemukan 83 toko membawa loader terbaru per Oktober 2026, dan 60 di antaranya sebelumnya menjalankan versi lama. Untuk satu domain lama saja, Sansec mencatat sekitar 52.000 pemuatan dari browser pengunjung.
Sansec belum berhasil menangkap muatan akhirnya, dan SecurityWeek menyebut laporan itu tidak memastikan adanya skimmer kartu. Versi awal loader memuat skrip dari domain bertema kripto, salah satunya menyerupai merek dompet Ledger. Jadi tujuan akhir kampanye masih belum jelas.
Celah yang Dipakai untuk Masuk
Sansec memperkirakan 471 toko disusupi lewat PolyShell (CVE-2026-48356) pada Maret, dan sekitar 100 toko lain lewat PolyShell atau SessionReaper (CVE-2025-54236). Satu toko tanpa perbaikan PolyShell dari Adobe (APSB26-73) ikut terinfeksi. Yang lebih mengkhawatirkan, satu toko di Magento 2.4.7-p10 tanpa patch inti yang tertinggal tetap kena. Penyelidik eComscan sebelumnya menemukan akun admin siluman dan backdoor GSocket di toko itu. Artinya, memasang patch saja tidak cukup bila penyerang sudah lebih dulu punya pijakan.
Langkah yang Perlu Diambil Pemilik Toko
Pemilik toko Magento atau Adobe Commerce sebaiknya memeriksa tabel cms_block dan cms_page untuk blok yang tidak dikenal atau mengandung skrip eksternal. Periksa juga daftar akun administrator dan hapus akun yang tidak jelas asal-usulnya. Setelah itu cari backdoor di berkas toko, ganti semua kata sandi, dan pasang patch terbaru dari Adobe. Panduan pemeriksaan lengkap ada di laporan Sansec.
Bagi pembeli, kampanye ini tidak meninggalkan tanda yang terlihat. Sampai muatan akhirnya terungkap, pembeli di toko kecil sebaiknya memakai kartu dengan limit rendah atau metode bayar yang tidak membagikan nomor kartu langsung ke situs.
Sumber: SecurityWeek, The Hacker News, dan laporan Sansec. Gambar: Sansec.