黑客正在收集 4600 个网站上的支付细节及用户密码

据外媒报道，黑客已经窃取了分析服务Picreel和开源项目Alpaca Forms的数据，并修改了他们的JavaScript文件，以便在超过4,600个网站上嵌入恶意代码。

  Picreel是一种分析服务，允许网站所有者记录用户正在做什么以及他们如何与网站进行互动以分析其行为模式并提高会话率。Picreel的客户，即网站所有者，在他们的网站上嵌入了一段JavaScript代码，以便运行Picreel服务。正是这个脚本被黑客入侵，并添加了恶意代码。

  Alpaca Forms是一个用于构建Web表单的开源项目。它最初由企业CMS的供应商Cloud CMS开发，并于八年前开放了源代码。Cloud CMS仍然为Alpaca Forms提供免费的CDN（内容分发网络）服务。但黑客似乎已经攻破了由Cloud CMS管理的CDN，并修改了Alpaca Forms中的一个脚本。

  恶意代码会记录表单字段中输入的所有数据。

  目前，尚不清楚黑客是如何破坏Picreel或Alpaca Forms中的CDN。恶意代码记录所有用户在表单字段中输入的内容，并将信息发送到位于巴拿马的服务器。这些信息包括用户在结帐或付款页面，联系表单和登录部分输入的数据。已在1,249个网站上发现嵌入Picreel脚本中的恶意代码，而在Alpaca Forms中的恶意代码已在3,435个域名中被发现。Cloud CMS已经介入并取消了服务于受影响的Alpaca Forms脚本的CDN。该公司正在调查这一事件，并阐明公司、客户及产品都没有安全漏洞或安全问题。然而，没有证据证明这一点，除非Cloud CMS的客户仍在他们的网站中使用Alpaca Forms的脚本。

  供应链攻击对网站的威胁越来越大

  在过去的两年里，类似的攻击相当普遍。实行供应链攻击的黑客组织已经意识到，破坏那些高级一点的网站并不像听起来那么简单，因此他们开始瞄准那些为网站提供“二级代码”的小企业。他们以聊天小部件、实时支持小部件、分析公司等供应商为目标。

  今天的攻击有所不同，其通用性十分广泛。不管其目的如何，它针对的都是网站上的每个表单字段。

  来源：ZDnet，HackerNews编译整理