駭客利用 Google Analytics 竊取訪客信用卡資訊

根據卡巴斯基實驗室最近的研究指出，駭客正在利用 Google Analytics 來竊取訪客的帳號密碼、IP 位置、信用卡...等等資訊，它會利用該漏洞將訪客所有輸入的訊息都回傳到駭客的資料庫中。

但是放心，這項漏洞並不是出自於 Google Analytics 本身，而是駭客利用瀏覽器信任 Google Analytics 的特點，將竊取到的資訊利用 Google Analytics 進行傳輸。

卡巴斯基實驗室表示：

Recently, we identified several cases where this service was misused: attackers injected malicious code into sites, which collected all the data entered by users, and then sent it via Analytics. As a result, the attackers could access the stolen data in their Google Analytics account. We found about two dozen infected sites worldwide. The victims included stores in Europe and North and South America selling digital equipment, cosmetics, food products, spare parts etc.

Credit: Securelist

也就是說，駭客向網站注入了惡意的程式碼，接著訪客在這些網站中輸入的所有的數據，都會通過 Google Analytics 進行發送。最後，駭客就可以訪問 Google Analytics 帳號中這些被盜取的數據。

使用 Google Analytics 竊取信用卡資訊

我們知道 Google Analytics 是一個由 Google 所提供的免費工具，方便我們可以了解網站的流量與訪客分佈情況，甚至可以作為行銷與再行銷的一項好用工具，大大的強化行銷的環節。

Google Analytics 又稱為 GA，它除了用來記錄訪客流量與了解客群之外，也常常用來紀錄投放廣告與預期所產生的效益，使用得當的話，能夠讓我們了解從何處投放的廣告能獲得更多的效益，或是找出最具有價值的目標客群。

而駭客竊取使用者個人資訊的方式，是將駭客自己的 Google Analytics 加入到目標網站當中，接著利用 Google Analytics 注入程式碼，以及將所有收集到的欄位資料傳送給駭客自己。

Content-Security-Policy 標頭

有些人可能知道，可以利用 Content-Security-Policy 告訴瀏覽器，能夠信任哪些網域以及信任他們下載的任何程式。這能有效的阻止駭客將惡意病毒下載至訪客的瀏覽器當中，進而收集機密資訊。

但是，由於使用 Google Analytics 的網站都會將 GA 列入信任的名單當中，因此，駭客就是透過這一點，繞過 Content-Security-Policy 的信任機制，導致駭客能成功的注入惡意程式碼，以及收集信用卡與帳號密碼等資訊。

而目前的網站幾乎都會使用 Google Analytics 來進行流量的檢測，因此這種攻擊方式幾乎在所有的網站都能夠實現。

該如何避免？

現在我們知道這種惡意代碼是透過 GA 進行傳遞與資訊收集，因此最快的方式，就是檢查你的網站是否有多個 Google Analytics 的追蹤碼。甚至，要確保你的 GA 追蹤碼是你自己的，而非是被串改過的。

當你發現了不明來源的 GA 追蹤碼之後，除了刪除它還不夠，因為當你有重複的 GA 追蹤碼或是 GA 追蹤碼被串改，那就表示駭客已經將惡意程式碼注入到網站當中，因此表示你的網站可能已經存在的一個漏洞了。

因此，在你刪除掉駭客的 GA 追蹤碼之後，你還需要尋求安全專家的服務，將網站進行漏洞與病毒掃描，找出被注入的不明程式碼，修補漏洞後，你的網站才能回到安全的狀態。

參考來源

Web skimming with Google Analytics