אתר Sucuri מדווח על הפרת אבטחה חדשה יחסית באתרי וורדפרס העושים שימוש במערכת WooCommerce למסחר מקוון: Credit Card Swiper Injection – הזרקת סוויפר בכרטיס אשראי. סוג זה של תקיפה אופייני יותר לפלטפורמות מסחר אלקטרוני כמו מג'נטו ופרסטה שופ, אולם ניכר כי הפופולריות של רכיב WooCommerce באתרי וורדפרס יצרה זירת לחימה חדשה עבור האקרים אשר מנסים לגנוב פרטי כרטיסי אשראי של לקוחות חנויות אונליין. WooCommerce ואתרי מסחר אלקטרוני אחרים המבוססים על וורדפרס כבר חוו בעבר פריצות אבטחה שהובילו לגניבת פרטי כרטיסי אשראי, אולם לרוב הוגבלו פרצות האבטחה לשינויים בפרטי התשלום כמו למשל העברת תשלומים מאתר וורדפרס לדוא"ל PayPal של ההאקר במקום לכתובת הדוא"ל החוקית של בעל אתר המסחר. לעומת זאת, הפרת האבטחה החדשה מאפשרת גניבה של פרטי כרטיסי האשראי של לקוחות החנות המקוונת וזה די חדש למערכת WooCommerce.
פרטים גנובים של כרטיסי אשראי (כולל CVV) מפורסמים בפורומים, לרוב ברשת האפלה והם נמכרים במחיר נמוך מכיוון שקיים חלון זמן קצר לשימוש במידע הגנוב לפני שהקורבנות יוצרים קשר עם חברת כרטיסי האשראי שלהם ומבטלים את הכרטיס.
הפרת האבטחה נוצרת על ידי הזרקת javascript זדוני לתוך קובץ חוקי של האתר, אפילו קובץ תמונה בתוך תיקיית uploads. במקרה זה קשה לדעת בוודאות מהו המקור באתר וורדפרס שאיפשר את הפרת האבטחה, אולם מחקירת Sucuri עולה כי רוב הסיכויים שמדובר בחשבון אדמין שנפרץ, סיסמת SFTP שנפרצה, סיסמא לפאנל אחסון האתר, או תוסף באתר שאינו מאובטח.
כאמור, הפרת אבטחה זו חדשה יחסית לאתרי וורדפרס המפעילים את רכיב WooCommerce, אולם ההגיון אומר כי המיקוד עובר לגניבת פרטי כרטיסי אשראי מאתרי וורדפרס. מצב זה הינו דוגמה טובה לסיבה מדוע ניטור שלמות קבצים ובדיקה קבועה של שלמות קבצי הליבה של אתר וורדפרס הינו קריטי לשמירה על אתר בריא ומאובטח. ככל שנוף האיום ממשיך להתפתח ויותר ויותר מחיי היומיום והעסקאות עוברים למרחב המקוון, לא ניתן להדגיש מספיק כמה אחריות מוטלת על בעלי אתרי וורדפרס לשמור על האתרים שלהם ובהרחבה – על המידע הרגיש של לקוחותיהם.