SuperPixel 篡改商店自托管 JavaScript，以假结账表单窃取银行卡资料
Report URI 发现 SuperPixel 通过商店托管的被篡改 JavaScript 窃取银行卡及账单资料，报告超过 100 家 WordPress、PrestaShop 和 OpenCart 商店感染；这是未独立核实的研究计数。收集地址由以太坊合约提供，初始入口仍不明。
- 披露时间
- 2026年11月5日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 使用遭篡改结账页面的消费者，以及本地托管 JavaScript 被修改的商店运营者
- SuperPixel · Magecart · JavaScript
- 在野利用
- 已发现
- Report URI 观察到商店感染，并分析了替换支付表单的代码。
发生了什么
Report URI 描述了一项盗卡活动：在被入侵商店已托管的 JavaScript 中追加混淆代码。已观察文件包括 jQuery 及主题、插件资源，这不能证明 jQuery 上游项目或所有使用所列电商平台的安装遭入侵。研究人员报告超过 100 家商店感染，这是未独立核实的研究计数；最初服务端入口及暴露时段仍未确定。
载荷监控结账元素，隐藏真实支付表单后用自己的表单替代，将卡号、有效期、CVC 及账单资料编码后发送至通过以太坊合约只读调用取得的地址。合约可在不更改各商店文件的情况下提供新地址。合法 RPC 提供商及记录中的合约创建地址，本身不能识别操作者，也不能证明以太坊遭入侵。
各受害商店的构建不同，浏览器存储还会抑制假表单再次出现，因此静态哈希、熟悉的脚本 URL 或看似正常的回访会话都不能证明安全。L4 依据是活跃商店感染中已观察到的支付资料窃取代码，不是已经证实的被盗卡数量或资金损失。没有确立通用升级下限或活动已被全面关闭。重开结账前应保留证据、调查初始访问并评估资料暴露。
案发时间线
2026年11月5日
Report URI 发布 SuperPixel 原始调查
研究人员描述三个商店平台上的活跃感染、假支付表单及由以太坊控制的收集地址，未给出确认消费者人数、损失总额或入口漏洞。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Scott Helme 在 Report URI 发布的 SuperPixel 原始研究一手来源通过公开正式博客及内容相同的 Ghost 发布页完整核阅 11 月 5 日报告，描述感染观察、表单替换、全部指标、调查局限及完整性和连接控制。超过 100 家是研究人员未独立核实的商店计数，不是厂商确认的消费者人数。