Avis aux détaillants en ligne et aux acteurs du e-commerce : lorsqu’il s’agit de protéger les données côté client et les paiements en ligne contre l’écrémage numérique et les attaques Magecart, un nouveau shérif veille désormais au grain.
En mars 2022, le Conseil des normes de sécurité de l’industrie des cartes de paiement (PCI) a publié une version révisée de sa norme de sécurité des données PCI DSS v4.0, qui définit les exigences minimales de sécurité auxquelles les commerçants doivent satisfaire lorsqu’ils stockent, traitent et transmettent les données des titulaires de cartes. Les exigences révisées comprennent plusieurs améliorations visant à garantir la sûreté et la sécurité des transactions en ligne afin de protéger les consommateurs, les entreprises et les émetteurs de cartes lors des transactions commerciales en ligne.
Les nouvelles exigences mettent l’accent sur la nécessité de surveiller et de gérer les bibliothèques JavaScript tierces exécutées dans le navigateur et intégrées aux sites d’e-commerce afin de fournir des fonctionnalités prêtes à l’emploi, telles que des iFrames de traitement des paiements, des chatbots, des publicités, des boutons de partage sur les réseaux sociaux et des scripts de suivi. Si ces bibliothèques JavaScript permettent aux entreprises d’accélérer le développement de leurs sites web, elles offrent également aux cybercriminels un vaste vecteur d’attaque, car ces scripts peuvent facilement être compromis au moyen d’attaques d’écrémage numérique et de type Magecart visant à dérober des identifiants, des données de carte bancaire et d’autres informations personnelles identifiables.
Si ces violations sont clairement préjudiciables aux consommateurs victimes de fraude, elles nuisent également à votre entreprise, car elles peuvent entraîner des manquements aux obligations de conformité, une perte de chiffre d’affaires, une baisse du cours de l’action, des commentaires hostiles sur les réseaux sociaux et une dégradation de l’image de marque.
Bien que la conformité aux nouvelles exigences de la norme PCI DSS 4.0 ne soit obligatoire qu’à partir de 2025, n’attendez pas ! Les types d’attaques visés par ces exigences se produisent dès aujourd’hui. Il est temps de protéger la réputation de votre entreprise et vos clients contre les attaques et la fraude en mettant en œuvre ces mesures de protection renforcées dès que possible.
Quels sont les dangers des attaques côté client ?
Il n’y a pas si longtemps, les applications web commerciales étaient conçues comme un bloc de code monolithique exécuté depuis un serveur web sur site. Cependant, les applications web modernes d’aujourd’hui sont très différentes et sont souvent conçues en assemblant des bibliothèques JavaScript tierces, une grande partie du traitement étant effectuée côté client, dans le navigateur de l’utilisateur. On estime que 70 à 80 % d’une page web classique est constituée de bibliothèques tierces, et que certains de ces scripts contiennent du code provenant d’autres scripts tiers. Cette longue chaîne de dépendances de code limite fortement la visibilité et le contrôle des entreprises sur le code réellement exécuté sur leurs sites web.
Les acteurs malveillants savent qu’en raison de l’étendue et de l’ampleur de ces dépendances en cascade avec des tiers, les organisations peinent à gérer, suivre et sécuriser correctement le code exécuté dans leur environnement, et ne sont même pas en mesure de détecter lorsqu’un code a été modifié ou exploité. Ce manque de visibilité offre aux cybercriminels la possibilité d’injecter des scripts malveillants dans une page web légitime ou dans le code d’une application web, puis de lancer des attaques visant à intercepter, manipuler et détourner les sessions des utilisateurs. Ils peuvent alors dérober des données personnelles et des informations de paiement, prendre le contrôle de sites web et les défigurer, afficher de faux contenus, créer de nouveaux formulaires ou modifier des formulaires légitimes, autant d’actions susceptibles d’ouvrir la voie à la fraude et à la prise de contrôle de comptes.
Ce qu’exige la norme PCI DSS v4.0
La norme révisée considère expressément le renforcement de la sécurité web côté client comme essentiel pour toute entreprise acceptant des paiements en ligne. Elle impose une gestion complète de tous les scripts des pages de paiement chargés et exécutés dans le navigateur du consommateur. Plus précisément, la nouvelle exigence 6.4.3 impose aux commerçants en ligne de mettre en œuvre les mesures suivantes :
- Une méthode permettant de confirmer que chaque script est autorisé
- Une méthode permettant de garantir l’intégrité de chaque script
- Un inventaire de tous les scripts, accompagné d’une justification écrite expliquant pourquoi chacun d’eux est nécessaire
La nouvelle norme exige que les commerçants examinent leurs politiques et procédures afin de vérifier que des processus sont définis pour gérer tous les scripts des pages de paiement chargés et exécutés dans le navigateur du consommateur. Ils doivent également interroger le personnel responsable et examiner les registres d’inventaire ainsi que les configurations des systèmes afin de vérifier que tous les scripts des pages de paiement chargés et exécutés dans le navigateur du consommateur sont gérés conformément à l’ensemble des éléments précisés dans cette exigence.
En outre, la section 11.6 de la norme révisée exige que les modifications non autorisées apportées aux pages de paiement soient détectées et traitées. Cela nécessite un mécanisme de détection des modifications et des altérations qui alerte le personnel en cas de modification non autorisée des en-têtes HTTP et du contenu des pages de paiement tels qu’ils sont reçus par le navigateur du consommateur. Les paramètres de configuration doivent être examinés au moins une fois tous les sept jours ou selon la fréquence définie dans l’évaluation des risques de l’organisation.
Se conformer à ces exigences au moyen de solutions manuelles ou obsolètes est coûteux et mobilise beaucoup de ressources. Comme les scripts des formulaires de paiement s’exécutent côté client, les commerçants ont peu de visibilité sur leur comportement, ce qui permet facilement au code malveillant d’échapper à la détection. En outre, les commerçants ont peu de contrôle sur le code tiers, notamment sur les bibliothèques JavaScript dynamiques qui assurent le fonctionnement de certaines fonctionnalités des pages web, telles que les systèmes de traitement des paiements, les formulaires de consentement aux cookies, les chatbots ou les outils de suivi publicitaire, car ces bibliothèques sont fréquemment mises à jour et modifiées, souvent à leur insu.
Les techniques de détection existantes, telles que l’intégrité des sous-ressources (Subresource Integrity, SRI), qui effectue des contrôles d’intégrité pour vérifier que les scripts n’ont pas été altérés, et la politique de sécurité du contenu (Content Security Policy, CSP), qui limite les emplacements depuis lesquels les navigateurs peuvent charger un script et ceux vers lesquels ils peuvent envoyer des données, ne suffisent plus à protéger les applications web actuelles, en constante évolution.
Aidez votre entreprise à se conformer à la norme PCI DSS v4.0 sans plus attendre
Il n’y a aucune raison d’attendre 2025 pour vous conformer aux exigences de sécurité imposées par la norme PCI DSS v4.0. Agissez dès maintenant pour protéger votre entreprise contre les attaques et vos clients contre la fraude et la prise de contrôle de leurs comptes.
F5 Distributed Cloud Client-Side Defense peut vous aider immédiatement à répondre aux nouvelles exigences de la norme PCI DSS v4.0 et à vous protéger contre Magecart, le détournement de formulaires, l’écrémage numérique et les attaques visant à collecter des informations personnelles identifiables, en automatisant la surveillance des pages web afin de détecter tout code suspect, en générant des alertes exploitables et en bloquant immédiatement l’exfiltration de données grâce à une mesure d’atténuation en un clic.
Pour en savoir plus sur la manière de protéger la vie privée de vos clients et votre entreprise contre les manquements à la conformité, tout en préservant la confiance des consommateurs et la réputation de votre marque, consultez cette présentation de la solution ou regardez cette démonstration du produit.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.