CartJacked 研究证实电商页面存在窃卡脚本和恶意软件诱饵
Guardio 在失陷电商网站观察到实际运行的注入脚本、伪造支付表单和 ClickFix 诱饵。研究估算 10 月爬取样本约有 12,200 家商店遭劫持。隔离测试中，63 家 10 月样本商店的代码抓取了测试卡。研究未统计实际被盗客户卡。
- 披露时间
- 2026年11月9日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 遭入侵的电商页面，包括加载窃卡脚本的结账页和展示伪造验证提示的店铺页面。
- e-commerce · skimming · ClickFix
- 在野利用
- 已发现
- Guardio 观察到实际运行的恶意代码，并用测试资料复现卡信息被抓取。
发生了什么
这是多起实际观察到的攻击活动。约 12,200 家是根据 Common Crawl 10 月约 238 万家商店样本校正后的估算。63 家来自用 10 月样本代码运行的隔离测试，衡量测试资料被抓取，不能用来计算客户损失。Guardio 记录了伪造输入框替换正规支付框架、通过外部主机或浏览器存储收集资料，以及将命令复制到剪贴板的伪造验证提示。部分工具包会对已登录管理员隐藏伪造表单，应以访客身份测试。
案发时间线
2026年11月9日
Guardio 发布 CartJacked 调查
报告分别给出爬取样本估算、实际访问观察及隔离结账测试。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Guardio Labs CartJacked 报告一手来源提供爬取样本估算、实际访问检查、受控测试卡抓取及指标。