まず攻撃者は、標的ストアのGoogleタグマネージャー(GTM)コンテナを侵害し、全ページで動作する悪意あるタグを注入します。このスクリプトの出どころは googletagmanager.com です。アクセス解析の定番ドメインであるため、コンテンツセキュリティポリシー(CSP)も広告ブロッカーもこれを阻止できず、「検知不能な配信装置」と化します 。
GTMのタグが起動すると、次にスキマーのJavaScript本体を取得しようとします。しかし、接続先は攻撃者のサーバーではなく api.stripe.com です。攻撃者は自分たちが管理するStripeアカウントのテストモード秘密鍵(sk_test_...)を使い、「顧客(Customer)」レコードのメタデータ欄にスキマーコードを保存しているのです 。
購入者がチェックアウト画面にクレジットカード情報や住所を入力すると、注入されたスキマーがそれらを捕捉し、即座に攻撃者のStripeアカウントへ書き戻します。情報は偽の「顧客」データやメタデータとして格納されるため、送信先は再び api.stripe.com です 。
ファイアウォールから見れば、カード情報の窃取通信も、すべて「Stripeへの普通のAPI通信」にしか見えません。この完全な「擬態」により、従来の異常検知は完全に無力化されます 。
Sansecの調査によると、この手口は少なくとも2025年12月24日以降、稼働が確認されています 。
なお、本番用秘密鍵(sk_live_...)の漏洩は、実際の取引データの読み取りや、払い戻し・送金という直接的な金銭被害に直結します 。本キャンペーン自体はテストキーを使いますが、いずれのキーもクライアントサイドのコードやGTMに絶対に埋め込んではならないという大原則は変わりません
。
Eコマースの「フロント(支払い画面)」がStripeキャンペーンで狙われる一方、サイトを支えるWordPressの「バックエンド基盤」も深刻な危機に晒されています。
CVE-2026-3300は、プラグイン「Everest Forms Pro」における未認証のリモートコード実行(RCE)脆弱性で、CVSSスコアは最大深刻度の9.8です。バージョン1.9.12以前の全ソフトが影響を受けます 。
この脆弱性は、プラグインの「計算アドオン」内の process_filter() 関数に起因します。「複雑な計算」機能が有効な場合、ユーザーがフォームに入力した文字列が、適切なエスケープ処理を経ずにPHPコードの一部として連結され、eval() 関数に渡されてしまうのです 。
セキュリティ企業Wordfenceは、2026年4月13日以降、この脆弱性を突く攻撃を29,300回以上ブロックしたと報告しています。攻撃者は不正な管理者アカウントを作成し、サーバーを完全に乗っ取ろうとします 。
api.stripe.com を script-src に指定するのは、真に必要な場合のみに留め、可能ならばサブリソース整合性(SRI)ハッシュを併用します。インラインスクリプトのブロックも有効です
Comments
0 comments