Responder a un script de tercero comprometido

Mientras el script modificado siga cargándose en el pago, cada cliente nuevo es una víctima nueva. Contener significa quitarlo de las páginas con datos de pago en cuanto hay una sospecha razonable, aunque el proveedor diga que ya lo arregló y aunque mercadeo pierda el chat unos días. Investigar va después, y para investigar hay que conservar antes la evidencia: cabeceras, informes, registros de pedidos y el propio aviso.

El aviso del proveedor da una ventana; la evidencia de la tienda dice qué pasó dentro de ella. Una política de seguridad de contenido configurada con una dirección de informes hace que los navegadores avisen cada vez que algo viola la política, con la página y el recurso implicados. Si cada informe lleva el pedido, se puede saber qué compras enviaron datos al dominio ajeno, y cruzarlas con el medio de pago dice cuáles incluían tarjeta.

Abre el laboratorio y lee encargo.txt, aviso-proveedor.txt, cabeceras-pago.txt, informes-csp.txt y pedidos-noviembre.txt en la carpeta anacona-respuesta. Un pedido puede tener más de un informe.

Cada informe dice qué directiva de la política se habría violado. Saberlo indica qué tipo de petición hizo el script modificado y qué directiva habría que endurecer, y sirve para separar estos informes de los que llegan por otras causas sin relación con el incidente.

Los informes demuestran que la política conocía los destinos permitidos y que el dominio ajeno no estaba entre ellos. Aun así, las peticiones salieron. La respuesta está en el nombre de la cabecera que usa la tienda.

Los datos de tarjeta comprometidos se comunican a la pasarela y al banco adquirente, según el contrato y el plan de respuesta, para que puedan vigilar o reemplazar esas tarjetas. Además, los pedidos expuestos incluían datos personales de contacto. En Colombia, la Ley 1581 de 2012 obliga al responsable del tratamiento a informar a la autoridad de protección de datos, la Superintendencia de Industria y Comercio, cuando se violan los códigos de seguridad y hay riesgo para la información de los titulares.