En este artículo
En 30 segundos
- Qué pasa: un código disfrazado de Google Tag Manager cargaba un programa para robar pagos, y a la vez el pago con tarjeta estaba manipulado en el servidor.
- A quién afecta: a tiendas con módulos para pegar código personalizado y a cualquiera cuyo acceso de administrador haya caído en malas manos.
- Cómo se nota: no se nota. Ni el dueño ni los clientes vieron nada raro.
- Qué hacer: revisar cada código pegado en la tienda y comprobar que el módulo de pago es idéntico al oficial.
Para situarte. Google Tag Manager (la herramienta de Google para poner en tu web la analítica y los píxeles de publicidad) aparece en casi todas las tiendas.
Por eso es el disfraz perfecto: es como un ladrón con el uniforme de la empresa de mantenimiento del edificio. Nadie le para porque «siempre está ahí».
El disfraz de Google
La tienda tenía un módulo para pegar código propio, el típico que se usa para añadir la analítica o un chat. Ahí había un bloque que, a simple vista, parecía el código de Google Tag Manager. No lo era.
Lo que hacía era preguntar a un lugar externo cuál era la dirección del atacante y, con esa respuesta, cargar en la tienda un programa para robar datos de pago.
Una dirección imposible de borrar
Ese lugar externo era una cadena de bloques (blockchain: un registro público repartido por miles de ordenadores donde lo que se escribe no se puede borrar). El atacante dejó ahí apuntada su dirección.
¿Por qué tanto esfuerzo? Porque si alguien denuncia su servidor y lo cierran, el atacante solo tiene que escribir una dirección nueva en ese registro. El código de la tienda la lee y sigue funcionando. Es como dejar las instrucciones en un tablón público que nadie puede arrancar.
El segundo robo, dentro del pago
Además, el atacante había tocado el proceso de pago con tarjeta en el servidor, el que conecta la tienda con el banco. Esa parte estaba vinculada a una dirección del propio atacante.
Este segundo robo es más difícil de ver todavía, porque ocurre en el servidor y no en el navegador del cliente. Ninguna herramienta que mire la web desde fuera lo detecta.
Cómo entraron y cómo lo resolvimos
Todo apunta a un acceso de administrador robado: con él, pegar código en un módulo o tocar el pago es cuestión de minutos. No lo pudimos probar al cien por cien, pero es la explicación más probable.
Eliminamos los dos robos. Después volvimos a revisar la tienda entera buscando cualquier rastro del código falso, sin resultados. Y comprobamos que el archivo de pago y su configuración eran idénticos a los oficiales del banco. Es parte de toda limpieza de un PrestaShop hackeado: no dar nada por bueno sin compararlo con el original.
¿Códigos pegados que ya no sabes de dónde salieron?Los revisamos en el diagnóstico gratis y te decimos cuáles son de fiar.
Quiero el diagnósticoCómo se nota y qué hacer
- Lista el código pegado
Analítica, píxeles, chats, cookies: todo lo que tengas pegado en la tienda.
- Confirma cada uno
Quién lo puso y para qué. Si nadie lo sabe, sospecha.
- Revisa tu Google Tag Manager
Comprueba que es el que te da tu cuenta de Google y que solo está una vez.
- Compara el módulo de pago
Que se compare con la versión oficial de tu banco o pasarela.
- Refuerza el acceso
Cambia las contraseñas de administrador y activa la verificación en dos pasos si tu tienda lo permite.
- Retira accesos viejos
De agencias, freelances o empleados que ya no trabajan contigo.
Lo que no te protege
Precisamente por eso lo eligieron como disfraz.
Aquí no: la dirección se cambiaba desde un registro imposible de borrar.
La conexión con el banco vive en tu tienda, y se puede manipular.
Quién limpia tu tienda
Somos Escudero Digital Studio. Revisar qué código lleva pegado una tienda y comprobar que el pago está limpio es trabajo de un experto en PrestaShop; si prefieres delegarlo entero, para eso está una agencia PrestaShop que conoce el terreno.
- Especialistas en PrestaShop. Conocemos sus tripas, sus módulos y sus fallos.
- Limpieza a fondo. Archivos, base de datos, cuentas y servidor, no solo lo que se ve.
- Cerramos la entrada. Averiguamos por dónde entraron para que no vuelva.
- Hablas con quien hace el trabajo. Sin comerciales ni intermediarios.
«Llevo trabajando 4 años con David, tras estar perdido en el mundo de PrestaShop durante algún tiempo con agencias que me mareaban y me costaban muy caras…»
Ignacio BS«Grande profesional David, además de una excelente persona. Me solucionó todos los problemas con mi e-commerce de PrestaShop 1.7. Trabajando con él uno solo puede estar agradecido, ya tengo mi informático, 100% recomendable.»
Divina Martina«Por más de 10 años hemos tenido los servicios contratados de desarrollo, programación y soporte técnico. Estamos muy agradecidos por el servicio recibido…»
Ramón RiveroReseñas reales de nuestra ficha de Google. Ver proyectos de clientes.
Medir bien también es seguridad
Un Google Tag Manager bien puesto no solo mide: evita que cualquiera cuele código en tu tienda por esa puerta. Lo dejamos bien montado como parte de nuestro servicio de marketing y medición para ecommerce, y lo vigilamos con el mantenimiento mensual.
Preguntas frecuentes
¿Cómo sé si mi código de Google Tag Manager es auténtico?
Compáralo con el que aparece en tu cuenta de Google Tag Manager. Si hay uno que no corresponde a tu cuenta o aparece dos veces, investígalo.
¿Qué tiene que ver la blockchain con un ataque a mi tienda?
El atacante la usa como tablón para apuntar la dirección de su servidor. Como no se puede borrar, su ataque sobrevive aunque le cierren un servidor.
¿Se puede manipular el pago con Redsys?
Se puede manipular el módulo que conecta tu tienda con Redsys, que está instalado en tu servidor. Redsys en sí no está comprometido.
¿Cómo se comprueba que el módulo de pago está limpio?
Comparándolo con la versión oficial y revisando su configuración en la base de datos.
¿Qué hago si sospecho que me han robado la contraseña de administrador?
Cámbiala, revisa la lista de empleados y pide una revisión de archivos y base de datos.
¿Quieres estar seguro de que tu pago está limpio?
Cuéntanos cuál es tu tienda. Revisamos el código pegado y el módulo de pago y te decimos si hay algo raro. Sin compromiso.
Fundador de Escudero Digital Studio. Lleva más de quince años desarrollando, manteniendo, migrando y limpiando tiendas PrestaShop en toda España. Conoce cómo trabajamos.
