Un reciente e importante ciberataque ha comprometido la seguridad de cientos de sitios de comercio electrónico, provocando una crisis de gran alcance en la cadena de suministro digital.
Investigadores de seguridad han revelado que los ciberdelincuentes lograron insertar malware en extensiones de software utilizadas por al menos 500 sitios, aunque se estima que el número real de afectados podría ser el doble.
Este ataque se caracteriza por su sofisticación y largo periodo de incubación: el código malicioso permaneció oculto durante seis años antes de activarse, lo que sugiere una planificación meticulosa y un conocimiento profundo de los sistemas comprometidos.
El malware permite ejecutar código en las máquinas de los usuarios que visitan los sitios afectados, robando información sensible como datos de tarjetas de pago.
El ciberataque en el comercio electrónico y cómo afecto a la cadena de suministro digital
La magnitud de este ataque representa una amenaza seria para la infraestructura del comercio electrónico global. Al tratarse de un ataque a la cadena de suministro, los ciberdelincuentes no solo vulneraron sitios individuales, sino que lograron infiltrarse a través de extensiones proporcionadas por empresas externas que desarrollan software para plataformas como Magento, propiedad de Adobe.
Entre los proveedores comprometidos se encuentran Tigren, Magesolution (MGS) y Meetanshi, tres compañías reconocidas por ofrecer herramientas ampliamente utilizadas en tiendas online.
Al comprometer estos proveedores, los atacantes obtuvieron acceso indirecto a una enorme cantidad de sitios web que, sin saberlo, distribuyeron el malware a sus visitantes.
Ejecución de código malicioso en los navegadores
Una de las características más alarmantes del ataque es que permite a los ciberdelincuentes ejecutar código malicioso directamente en los navegadores de los usuarios.
Este hecho, conocido como Magecart, se centra en el robo de información confidencial al momento de introducir los datos de pago, haciendo que los usuarios se conviertan en víctimas sin saberlo.
Los servidores de los sitios afectados ejecutan el malware mediante puertas traseras incrustadas en el software comprometido. Este código malicioso detecta una clave secreta en las solicitudes entrantes y, cuando se activa, otorga al atacante el control total sobre el servidor.
Ciberataque en el comercio electrónico: una vulnerabilidad oculta durante años
Uno de los aspectos más desconcertantes de esta amenaza es que el malware logró mantenerse inactivo durante seis años sin ser detectado. Esto evidencia la necesidad de auditorías constantes y exhaustivas en los sistemas de software de terceros que muchas tiendas utilizan para mejorar la experiencia de sus clientes.
Según la firma de ciberseguridad Sansec, esta técnica rara vez se observa, lo que indica un nivel de sofisticación poco común. La activación reciente sugiere que los atacantes estaban esperando el momento oportuno para maximizar el daño.
Hasta el momento, solo uno de los tres proveedores reconoció públicamente haber sido hackeado. Meetanshi admitió la intrusión, aunque negó que hubiera manipulación directa de sus productos. En contraste, Tigren y Magesolution continuaban distribuyendo versiones comprometidas de sus extensiones al momento del informe.
Weltpixel, un cuarto proveedor relacionado indirectamente, también ha estado bajo escrutinio, aunque Sansec no ha podido confirmar si fueron ellos o sus clientes quienes fueron atacados.
Empresas de alto perfil entre los afectados
Una de las víctimas más destacadas es una empresa multinacional valorada en 40.000 millones de dólares. Aunque su nombre no ha sido revelado, su implicación subraya el hecho de que incluso las corporaciones más grandes no están exentas de riesgos cuando dependen de software de terceros.
Sansec advirtió que la remediación global sigue siendo limitada, lo que significa que muchos sitios afectados podrían seguir operando con código malicioso activo, exponiendo a millones de usuarios cada día.
¿Cómo detectar si un sitio está infectado?
Una de las formas más simples de identificar una infección es revisar el código de las extensiones en busca de funciones sospechosas, como el uso del archivo $licenseFile para ejecutar código PHP. Este tipo de funciones son una señal clara de una puerta trasera que permite ejecución remota de código.
Una vez activado, este archivo inicia una cadena de ejecución que permite a los atacantes insertar cualquier tipo de código malicioso, desde scripts de robo de datos hasta comandos que alteran el comportamiento de la tienda online.
Este ataque ha expuesto una debilidad estructural en el ecosistema del comercio electrónico: la dependencia excesiva de extensiones y herramientas desarrolladas por terceros.
Muchas tiendas integran estos componentes sin realizar evaluaciones profundas de seguridad, lo que crea una puerta de entrada para ataques masivos como este.
Además, el hecho de que el malware haya permanecido inactivo durante años pone en evidencia que incluso los sistemas aparentemente seguros pueden estar comprometidos en lo más profundo de su arquitectura.
