Επιθέσεις card testing στο WooCommerce: σταματήστε τες χωρίς να μπλοκάρετε πελάτες

Πώς το αναγνωρίζετε

Πολλές αποτυχημένες ή pending παραγγελίες σε λίγο χρόνο, συχνά για το ίδιο φθηνό προϊόν, με τυχαία ονόματα και διευθύνσεις, από πολλές IP. Ο πίνακας του παρόχου δείχνει εκτίναξη απορρίψεων. Μερικές φορές η επίθεση πάει κατευθείαν στο Store API χωρίς να φορτώσει τη σελίδα checkout.

Πέρα από τις χρεώσεις, ο πραγματικός κίνδυνος είναι το gateway: οι πάροχοι μπορούν να αναστείλουν λογαριασμούς με ασυνήθιστα ποσοστά απορρίψεων, κάνοντας την επίθεση ένα payment gateway που αποτυγχάνει για όλους.

Πώς το σταματάτε

Ενεργοποιήστε τα εργαλεία απάτης του παρόχου πληρωμών, προσθέστε όριο ρυθμού στα αιτήματα checkout (το WooCommerce υποστηρίζει rate limiting στο Store API), και σκεφτείτε CAPTCHA που προκαλεί μόνο ύποπτες συνεδρίες. Μπλοκάρετε προφανείς πηγές στο firewall ή στο CDN.

Αφαιρέστε από τη δημόσια προβολή το φθηνότερο προϊόν αν είναι ο στόχος, και απαιτήστε προσωρινά δημιουργία λογαριασμού όσο διαρκεί η επίθεση.

Χωρίς να μπλοκάρετε αγοραστές

Κάθε προστασία είναι νέος τρόπος να αποτύχει το checkout για πραγματικούς πελάτες: CAPTCHA που δεν φορτώνει, όριο ρυθμού που μπλοκάρει ένα φορτωμένο εταιρικό δίκτυο, κανόνας plugin ασφαλείας που πιάνει τα callbacks πληρωμών.

Μετά την προστασία, περάστε το checkout μόνοι σας και κρατήστε προγραμματισμένο έλεγχο. Αν ένας έλεγχος μπλοκαριστεί, σημειώνεται UNKNOWN και όχι αποτυχία — κάτι που σας λέει ότι η προστασία σταματά και νόμιμη αυτοματοποιημένη κίνηση που χρειάζεστε.

Ελέγξτε το δικό σας κατάστημα τώρα με τον δωρεάν έλεγχο checkout WooCommerce: περνά το checkout σε πραγματικό browser και δείχνει το βήμα όπου σταματά.

Γιατί στοχεύονται τα WooCommerce καταστήματα

Όσοι δοκιμάζουν κάρτες ψάχνουν checkout που απαντά γρήγορα, δέχεται μικρά ποσά και επιστρέφει σαφή λόγο απόρριψης. Ένα WooCommerce με guest checkout, φθηνό προϊόν και χωρίς όριο αιτημάτων στο Store API (`/wp-json/wc/store/v1/checkout`) ταιριάζει ακριβώς, και τα bots παρακάμπτουν τελείως τη σελίδα checkout.

Το Blocks checkout και κάποια plugins πληρωμών ανοίγουν endpoints που τα παλιά anti-spam plugins δεν βλέπουν. Ψάξτε στο log του server για ριπές POST στο `wc/store`, στο `?wc-ajax=checkout` ή στο endpoint του gateway, από πολλές IP με τον ίδιο user agent.

Καθάρισμα μετά την επίθεση

Ακυρώστε μαζικά τις failed και pending παραγγελίες ώστε να επιστρέψει το απόθεμα, και ελέγξτε τον πίνακα του gateway: το Stripe, για παράδειγμα, μπορεί να επισημάνει τον λογαριασμό και να αυξήσει τις χρεώσεις μετά από κύμα απορρίψεων. Ενημερώστε νωρίς τον πάροχο για το τι αλλάξατε.

Ξαναδείτε ό,τι προσθέσατε βιαστικά. Ένα CAPTCHA που σταματά τα bots μπορεί να σταματήσει και Apple Pay, Google Pay ή αγοραστές από κινητό· κάντε πραγματική δοκιμαστική παραγγελία σε υπολογιστή και κινητό μετά από κάθε αλλαγή, ή αφήστε έναν καθημερινό έλεγχο checkout να το κάνει για εσάς.