Skimming dalam dunia keamanan siber mengacu pada strategi penjahat dunia maya untuk mengambil dan mencuri informasi pembayaran pribadi pemegang kartu.
Salah satu metode paling canggih adalah menggunakan perangkat skimming kecil yang dirancang untuk membaca informasi microchip atau strip magnetik pada kartu kredit.
Saat ini metode skimming ada yang berupa digital. Metode ini sering disebut sebagai e-skimming, cara kerjanya mirip dengan skimming kartu.
Vendor sekuriti ESET menyebut, perbedaan utama e-skimming adalah peretas dapat mengeksekusi dari jarak jauh dan mengumpulkan informasi kartu kredit secara real-time. Walhasil e-skimming membidik para pengguna e-commerce.
Lebih lanjut, ESET juga membeberkan, skimmer kartu kredit multiplatform yang baru ditemukan belum lama ini dari hasil investigasi, diketahui dapat mengumpulkan informasi pembayaran di toko online yang disusupi, yang didukung oleh Shopify, BigCommerce, Zencart, dan Woocommerce.
Meskipun biasanya dirancang untuk menargetkan satu jenis platform e-commerce, jenis baru malware skimming web ini dapat mengambil alih proses pembayaran di toko-toko menggunakan beberapa sistem manajemen toko online dengan memasukkan halaman pembayaran yang berbahaya.
Skimmer baru ini juga dikenal sebagai skrip Magecart, juga dapat menyalahgunakan sistem e-commerce yang dihosting seperti Shopify dan BigCommerce.
Pelaku skimming kemudian menampilkan halaman pembayaran palsu sebelum pelanggan mendarat di formulir checkout yang sebenarnya. Mereka juga menggunakan keylogger untuk mencegat pembayaran dan informasi pribadi.
Selanjutnya skimmer juga akan menampilkan kesalahan setelah pelanggan menekan tombol “Continue” untuk mengirimkan informasi kartu kredit mereka. Hal ini untuk menghindari deteksi dan tidak menaikkan tanda alarm apa pun. Selanjutnga mereka akan mengarahkan pengguna kembali ke proses pembayaran dan formulir pembayaran yang sah.
Teknik menarik lainnya yang digunakan oleh skimmer adalah caranya mengeksfiltrasi data ke domain yang dihasilkan secara otomatis, berdasarkan penghitung dan dikodekan menggunakan pengkodean base64. Contoh domain tersebut adalah zg9tywlubmftzw5ldza [.] Com, zg9tywlubmftzw5ldze [.] Com, dan seterusnya.
Adapun domain eksfiltrasi tersebut dibuat secara terprogram dan pertama kali didaftarkan pada 31 Agustus 2020.
Yang perlu diingat, di mana pun pelanggan memasukkan detail pembayaran mereka, mereka akan berisiko. Dengan demikian wajib untuk meningkatkan kewaspadaan saat melakukan transaksi online.