近日，歐洲航天局官方商店在圣誕節(jié)購(gòu)物季遭黑客攻擊，黑客在網(wǎng)頁(yè)中植入惡意代碼，在用戶(hù)結(jié)賬時(shí)竊取信用卡信息。

　　歐洲航天局(ESA)的預(yù)算超過(guò)100億歐元，致力于培訓(xùn)宇航員、建造火箭和衛(wèi)星，探索宇宙奧秘。然而，這個(gè)頂尖航天機(jī)構(gòu)的官方商店的安全防護(hù)卻非常業(yè)余，截至發(fā)稿，歐洲航天局官方商店頁(yè)面仍未恢復(fù)：

　　事件概述：惡意腳本偽造支付頁(yè)面

　　數(shù)天前，安全公司Sansec發(fā)現(xiàn)歐洲航天局官方在線(xiàn)商店被注入了一段惡意JavaScript代碼(下圖)，該代碼會(huì)在結(jié)賬頁(yè)面生成一個(gè)偽造的Stripe支付頁(yè)面，竊取客戶(hù)輸入的支付卡信息。

　　惡意代碼利用ESA官方商店的合法外觀(guān)進(jìn)行偽裝，使得用戶(hù)難以察覺(jué)異常。攻擊者通過(guò)在代碼中加載Stripe SDK的混淆HTML版本，呈現(xiàn)了一個(gè)視覺(jué)上毫無(wú)破綻的假支付頁(yè)面，并將數(shù)據(jù)發(fā)送至攻擊者控制的外部域名。

　　Sansec進(jìn)一步調(diào)查發(fā)現(xiàn)，黑客的偽裝手段高明，通過(guò)注冊(cè)與ESA商店相似的域名“esaspaceshop[.]pics”實(shí)施數(shù)據(jù)竊取，而ESA官方商店的合法域名為“esaspaceshop.com”。這種“頂級(jí)域名(TLD)”的差異使攻擊者能夠利用用戶(hù)對(duì)官方域名的信任感。

　　域名偽裝是常見(jiàn)的攻擊手段，攻擊者會(huì)選擇外觀(guān)和名稱(chēng)與合法網(wǎng)站極為相似的域名，以增加攻擊的可信度，并利用與官方商店的整合為惡意代碼提供偽裝，用戶(hù)很難察覺(jué)。

　　受影響范圍：客戶(hù)和員工風(fēng)險(xiǎn)并存

　　Sansec表示，這一攻擊不僅影響購(gòu)買(mǎi)ESA商品的消費(fèi)者，也可能對(duì)ESA內(nèi)部系統(tǒng)構(gòu)成威脅。由于該商店似乎與ESA的某些系統(tǒng)有集成關(guān)系(需使用ESA員工郵箱登陸)，黑客可能通過(guò)惡意代碼間接獲取敏感數(shù)據(jù)，甚至威脅ESA員工的數(shù)字安全。

　　一家專(zhuān)注于網(wǎng)絡(luò)應(yīng)用安全的公司Source Defense Research也確認(rèn)了Sansec的調(diào)查結(jié)果，并捕獲了假Stripe支付頁(yè)面的加載過(guò)程。這一頁(yè)面?zhèn)窝b得極為巧妙，幾乎無(wú)法通過(guò)肉眼識(shí)別異常。

　　ESA回應(yīng)：商店不屬于官方管理

　　在網(wǎng)絡(luò)安全媒體BleepingComputer的詢(xún)問(wèn)下，ESA回應(yīng)稱(chēng)，這家商店并非托管在ESA的官方基礎(chǔ)設(shè)施上，ESA也不直接管理其數(shù)據(jù)。通過(guò)簡(jiǎn)單的WHOIS查詢(xún)可確認(rèn)，這家商店的域名注冊(cè)信息與ESA的官方域名(esa.int)分離，且注冊(cè)人的聯(lián)系方式被隱私保護(hù)掩蓋。

　　盡管ESA聲明商店不屬于其直接管理，但事件暴露出其品牌授權(quán)合作方在網(wǎng)絡(luò)安全上的薄弱環(huán)節(jié)。這種外包管理模式可能成為攻擊者的突破口。

　　截至目前，ESA在線(xiàn)商店雖然已經(jīng)移除假Stripe支付頁(yè)面，但其網(wǎng)站源碼中仍存在惡意腳本。這意味著，盡管支付流程的直接風(fēng)險(xiǎn)有所降低，潛在的安全隱患依然存在。

　　品牌授權(quán)的網(wǎng)絡(luò)安全挑戰(zhàn)

　　ESA在線(xiàn)商店的攻擊事件是一個(gè)典型案例，反映出品牌授權(quán)模式在網(wǎng)絡(luò)安全管理中的潛在風(fēng)險(xiǎn)。特別是當(dāng)授權(quán)的外部平臺(tái)未能執(zhí)行嚴(yán)格的安全審查時(shí)，品牌自身的聲譽(yù)和用戶(hù)的安全都會(huì)受到威脅。以下幾點(diǎn)值得注意：

　　外包平臺(tái)的安全責(zé)任。ESA將商店授權(quán)給第三方運(yùn)營(yíng)，雖然減輕了運(yùn)營(yíng)負(fù)擔(dān)，但也失去了對(duì)數(shù)據(jù)安全的直接控制。未來(lái)，機(jī)構(gòu)需要與外包方簽訂更嚴(yán)格的安全協(xié)議，并定期進(jìn)行安全審查。

　　域名管理的重要性。黑客利用相似域名實(shí)施攻擊，這提醒機(jī)構(gòu)在注冊(cè)域名時(shí)應(yīng)覆蓋常見(jiàn)TLD變體，以減少此類(lèi)偽裝的可能性。

　　實(shí)時(shí)安全監(jiān)控。惡意代碼注入事件表明，即使是知名品牌的在線(xiàn)服務(wù)，也需要部署實(shí)時(shí)威脅檢測(cè)系統(tǒng)，迅速發(fā)現(xiàn)和處理異常。