Rilevare gli skimmer di carte di credito nei negozi PrestaShop
Uno skimmer copia i dati delle carte mentre il cliente paga. Il negozio funziona e gli ordini arrivano, quindi spesso ce se ne accorge dai reclami dei clienti.
Il codice sta in un template, non in un file PHP.
Il 17 febbraio 2026 PrestaShop ha avvisato i negozi di un loader nascosto in head.tpl: un indirizzo codificato in base64, scaricato con XMLHttpRequest ed eseguito con Function.
Nel luglio 2022 una SQL injection permetteva di creare blm.php nella radice del negozio e di inserire un falso modulo di pagamento nel checkout.
Firme costruite sugli incidenti pubblicati.
Template compresi
La scansione legge anche i file
.tple.twig, oltre a PHP e JavaScript.Struttura del loader
Cerchiamo insieme indirizzo codificato, richiesta e esecuzione della risposta: un singolo
atoboXMLHttpRequestnon basta.File nuovi
Un file PHP nella radice o un modulo sconosciuto compaiono alla scansione successiva; se contengono una chiamata eseguibile l'avviso è critico.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Trovate ogni skimmer?
No. Le firme coprono le strutture documentate. Varianti offuscate in modo diverso possono sfuggire, e l'integrità del core resta la seconda linea.
Leggete i file interi?
Leggiamo il primo MiB di ogni file controllato, senza eseguirlo e senza aprire gli indirizzi che contiene.
Da vedere insieme
- Verifica dell'integrità dei file del core di PrestaShopConfronto con il pacchetto ufficiale, anche con la cartella admin rinominata.
- Sicurezza e backup per i negozi rimasti su PrestaShop 1.7Negozi 1.7.6, 1.7.7 e 1.7.8 con PHP 7.1-7.4, aggiornamenti fino alla 8 provati.
- Malware PHP nella cartella uploads: come trovarlo subitoPHP negli upload, anche con nomi come .php.jpg, e file sospetti.
- Monitoraggio e sicurezza dei negozi PrestaShop per le agenzie webUn modulo PrestaShop nativo che controlla core, template e moduli dei negozi.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.