駭客攻陷開源EC平臺Magento供應鏈，連百億規模跨國公司都遭殃

專門鎖定電子商務資訊安全領域的Sansec上周揭露，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。
Magento是個以PHP撰寫的開源電子商務平臺，在2018年以16.8億美元賣給了Adobe，現為全球第三大電子商務平臺，市占率約為8%，至於前兩名的Shopify及WooCommerce都有超過20%的市占率。

除了核心的Magento開源平臺外，Adobe打造了付費的Commerce版本，以提供代管、客戶支援及其它客製化功能，其生態系統中還包括許多第三方的應用與擴充服務開發商，此次Sansec即發現，總計有21款來自3家公司的第三方擴充服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。

特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年的時間，卻一直到今年4月才開始遭到積極濫用。

這21款被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution與Meetanshi，Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式，像是Ajaxsuite、Ajaxcart、ImageClean、CurrencySwitcher、FacebookChat、Lookbook或StoreLocator等。

Sansec已知會上述受影響的業者，其中的Tigren否認遭到駭客攻擊，而Meetanshi承認被駭客入侵，但否認軟體被竄改。