De afgelopen jaren is er een duidelijke verschuiving zichtbaar in de tactieken van cybercriminelen. In plaats van te zoeken naar technische kwetsbaarheden, maken ze steeds vaker gebruik van zogenaamde Supply Chain Attacks (aanvallen op de toeleveringsketen). Binnen het WordPress- en WooCommerce-ecosysteem manifesteert dit zich meestal in de vorm van het opkopen van populaire plug-ins van onafhankelijke ontwikkelaars, om vervolgens in de volgende officiële update kwaadaardige code te injecteren. Dit vormt een enorme uitdaging, omdat de website-eigenaar te goeder trouw een legitieme update installeert.

Het mechanisme van plug-in overnames

Het scenario verloopt vaak als volgt: een ontwikkelaar heeft een gratis plug-in gebouwd die na een paar jaar door 50.000 webshops wordt gebruikt. De ontwikkelaar heeft echter geen tijd of geld meer om de plug-in te onderhouden. Een ogenschijnlijk legitiem marketingbedrijf benadert de ontwikkelaar met een aanbod om de plug-in over te kopen.

Zodra de rechten in het WordPress.org repository zijn overgedragen, brengt de nieuwe eigenaar een update uit. In de code van deze update zit een verborgen achterdeur (backdoor) of een script dat ongemerkt advertenties injecteert. Omdat de update via de officiële kanalen komt, installeren beheerders de update zonder argwaan.

De impact op e-commerceomgevingen

Voor een WooCommerce-shop is dit type aanval levensgevaarlijk. De geïnjecteerde code kan specifiek ontworpen zijn om slapend te blijven totdat het detecteert dat de website op de /checkout/ pagina staat. Vervolgens kan het creditcardgegevens onderscheppen, de uitbetalingsadressen van betaalproviders aanpassen of stilletjes administrator-accounts aanmaken. Aangezien de code deel uitmaakt van een 'legitieme' plug-in, kan deze maandenlang onontdekt blijven.

Hoe kunt u zich beschermen tegen Supply Chain Attacks?

Dit type dreiging is buitengewoon lastig te bestrijden omdat het misbruik maakt van ingebouwd vertrouwen. Toch zijn er effectieve tegenmaatregelen:

1. Wees kritisch op uw plug-instack

Minimaliseer het aantal actieve extensies op uw WooCommerce-shop. Vraag u bij elke plug-in af of de functionaliteit niet met een paar regels code in een custom child-theme kan worden opgelost. Hoe minder plug-ins, hoe kleiner het risico.

2. Onderzoek de ontwikkelaars

Voordat u een plug-in installeert, controleert u de geschiedenis op WordPress.org. Wie is de auteur? Is de plug-in recentelijk van eigenaar gewisseld? Dit is vaak te zien in de supportforums of aan plotselinge wijzigingen in de stijl van de changelogs.

3. Gebruik geavanceerde integriteitscontrole

Geavanceerde beveiligingsplug-ins voor WordPress (zoals Wordfence Premium of Sucuri) bieden plugin file integrity monitoring. Zij vergelijken de bestanden op uw server met de exacte code die in het officiële repository staat. Dit helpt om onofficiële wijzigingen buiten het repository om snel te detecteren.

4. Monitor netwerkverkeer en CSP

Een Content Security Policy (CSP) is cruciaal. Zelfs als een overgenomen plug-in kwaadaardige JavaScript bevat die creditcardgegevens skimt, zal een strikte CSP voorkomen dat die gegevens naar een onbekend, extern domein van de hacker worden verzonden.