美国电子产品零售商新蛋结帐页面被植入窃取信用卡数据的恶意代码

美国电子产品零售商新蛋的结帐页面被植入了窃取信用卡数据的恶意代码，时间长达一个月之久。安全研究人员发现，新蛋的结帐页面被植入了 15 行 JS 代码，将信用卡号码和其它数据转发到一个域名形似新蛋的服务器。

攻击者使用的域名 weggstats.com 托管在荷兰公司 WorldStream 的服务器上，它是在 8 月 13 日注册的，使用了 Comodo CA 签发的有效证书。安全研究人员称，代码是在 8 月 16 日被嵌入到了新蛋结帐页面 CheckoutStep2.aspx 的，直到 9 月 18 日攻击代码才被新蛋移除。使用第三方支付的用户应该没事。新蛋表示将会尽可能快的对敏感支付信息可能被盗的客户发出警告，并计划于周五发布 FAQ 回答相关问题。