Киберпреступники используют уязвимость CMS Magento, заключающуюся в том, что система позволяет достаточно легко подгружать на сайт сторонний непроверенный JavaScript-код. Этот тип атак называется XSS и конечному пользователю бывает трудно ее от отследить. Для того, чтобы покупатель в магазине не заподозрил неладное, подмененная платежная форма размещается на сервере, адрес которого выглядит идентичным настоящему или просто похож на благонадёжный. Маскировка осуществляется благодаря тому, что большинство современных браузеров интерпретируют веб-адреса составленные не только из латиницы, но и букв национальных алфавитов. Например, один из мошеннических «банковских» сайтов был расположен по адресу google-analytîcs[.]com (то есть xn--google-analytcs-xpb[.]com в совместимом представлении ASCII).
Как отмечают эксперты по кибербезопасности, интересной особенностью обнаруженного вредоносного кода является его умение вовремя скрывать свою работу. Он определяет, если пользователь в браузерах Chrome или Mozilla Firefox открывает инструменты разработчика и убирает мошеннический контент со страницы. Таким образом скрипт не даёт потенциальной жертве обнаружить подмену адреса. Российские коллеги сотрудников Sucuri не отрицают высокой опасности обнаруженной атаки, так как она с высокой долей вероятности будет успешной. Однако собеседники РИА «Новости» отмечают, что для русскоязычного сегмента интернета риск гораздо ниже, чем для зарубежных обитателей сети. Если в мире Magento используется каждым пятым онлайн-магазином, то среди российских ресурсов доля этой CMS не превышает 2%.
