Заказ за 1 цент: как магазин теряет товар
Заказ за 1 цент: как магазин теряет товар В Drupal Commerce нашли критическую дыру в оформлении заказа: покупку проводили в обход защиты, и товар уходил почти даром. Владелец интернет-магазина на Drupal позвонил мне после сверки: в выгрузке заказов нашлись покупки на один цент, а часть заказов вообще без оплаты. Склад всё честно собрал и отгрузил. Проверка суммы при оформлении оказалась обойдена, и система считала такие заказы нормальными. Разработчики Drupal подтвердили, что критическую уязвимость в модуле Commerce Core уже эксплуатируют в реальных атаках. Под удар попадают магазины, где оформление покупки не закрыто свежим обновлением. Чем это грозит бизнесу Прямой убыток: товар уходит за копейки, а вы платите за закупку, склад и доставку. Хуже всего то, что в отчётах такие заказы выглядят как обычные продажи, и дыру замечают через недели, когда деньги не сходятся. Второй риск тише. Магазин, через который проходят подмены заказов, может стать входом для более серьёзной атаки: доступ к базе клиентов и административной части. Что я сделал в этом случае 1. Выяснил версию Commerce Core и установил исправление, которое выпустили разработчики Drupal. 2. Выгрузил заказы за последние недели и отфильтровал аномальные: сумма близка к нулю, платёж не подтверждён банком. 3. Сверил каждый такой заказ с выпиской и остановил отправку тех, что ещё лежали на складе. 4. Настроил уведомление владельцу в мессенджер: если заказ проходит с суммой ниже порога или без подтверждённого платежа, он узнаёт об этом сразу. Теперь аномальный заказ видно в день появления, а не при ежемесячной сверке. Было: убыток обнаруживался постфактум. Стало: подозрительный заказ задерживается до проверки. Что проверить у себя • На какой версии Commerce Core работает ваш магазин и когда его обновляли в последний раз. • Нет ли в заказах за последний месяц сумм в один цент или нулевых оплат. • Совпадает ли число оплаченных заказов в магазине с поступлениями на счёт. Закрытие такой дыры и настройка контроля по стоимости несопоставимо дешевле даже одной партии товара, ушедшей за цент. Незаметная утечка в продажах опаснее громкого взлома: громкий хотя бы видно сразу. А вы сверяете отчёты магазина с выпиской банка хотя бы раз в неделю? #drupal #интернетмагазин #уязвимость Полный разбор с деталями кейса → Генеральный партнёр CIOlogia — ИБ-интегратор TS Solution. Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram
Канал в каталоге Максиметера
188 подписчиков · Бизнес