Une campagne Magento active depuis juillet 2025 a infecté 953 boutiques en ligne, selon Sansec, avec un JavaScript furtif.

Une nouvelle campagne Magento touche des centaines de sites marchands. Selon Sansec, société néerlandaise spécialisée dans la sécurité du commerce en ligne, 953 boutiques ont été infectées. En effet, la plupart fonctionnent sous Magento. Toutefois, l’auteur de l’attaque n’a pas été identifié à ce stade.

Cette activité est loin d’être récente. En effet, elle a démarré en juillet 2025 et se poursuit depuis. Les opérateurs de boutiques en ligne ont donc tout intérêt à vérifier leurs pages sans attendre.

Une campagne Magento active depuis juillet 2025

Les chercheurs de Sansec décrivent une opération de longue durée. Elle repose sur un acteur malveillant inconnu. Cet acteur a ainsi réussi à compromettre 953 boutiques en ligne au total.

Magento représente l’écrasante majorité des victimes. Cette plateforme de commerce électronique est très répandue. Par conséquent, elle attire régulièrement les cybercriminels, qui y voient un terrain propice aux attaques de masse.

Le chiffre de 953 boutiques mérite d’être souligné. En effet, il montre que l’opération ne vise pas une cible isolée. Elle ressemble plutôt à une infection à grande échelle, menée dans la durée.

Comment le code malveillant s’invite dans les pages

Le principe de l’attaque est simple en apparence. D’abord, l’attaquant ajoute un petit fragment de code aux pages de la boutique. Ce fragment est discret. De plus, il ne contient pas à lui seul la charge malveillante.

Lorsqu’un internaute visite la page, ce code entre en action. Il sert alors un chargeur JavaScript malveillant. Ce chargeur transite par les blocs CMS de Magento.

Ce choix n’est pas anodin. En effet, les blocs CMS permettent aux administrateurs d’insérer du contenu dans les pages du site. Ils font partie du fonctionnement normal de la plateforme. Ainsi, le code malveillant se fond dans un mécanisme légitime.

Voici ce que l’on peut retenir du déroulement général :

• un petit morceau de code est injecté dans les pages de la boutique ;
• il se déclenche à la visite d’un utilisateur ;
• il diffuse un chargeur JavaScript malveillant ;
• ce chargeur s’appuie sur les blocs CMS de Magento.

Les éléments communiqués ne détaillent pas la charge finale. On ignore donc ce que le chargeur déclenche précisément chez les visiteurs. Toutefois, ce type de script est souvent utilisé pour dérober des données de paiement sur les sites marchands. C’est pourquoi il faut rester prudent tant que Sansec ne livre pas davantage de précisions.

Pourquoi cette campagne Magento échappe aux scanners

Le titre de l’alerte insiste sur un point essentiel. Le JavaScript employé est conçu pour contourner les outils d’analyse. Autrement dit, un scan classique peut passer à côté de l’infection.

Cette discrétion explique en partie la durée de l’opération. Un site compromis peut fonctionner normalement en apparence. Ainsi, le marchand ne remarque rien, et les clients non plus.

De plus, l’usage des blocs CMS complique la détection. Le contenu injecté se trouve dans la base de données du site. Il n’est pas dans les fichiers habituellement surveillés. Un contrôle limité au système de fichiers risque donc de ne rien révéler.

Cette approche illustre une tendance connue. Les attaquants cherchent à se cacher dans les fonctions normales des plateformes. Ils réduisent ainsi les traces visibles et prolongent la durée de vie de leurs infections.

Recommandations pour les marchands

Les propriétaires de boutiques Magento doivent agir sans tarder. D’abord, il convient d’examiner le contenu des blocs CMS et des pages. Recherchez tout script inconnu ou toute référence externe suspecte.

Ensuite, contrôlez la base de données et pas seulement les fichiers. En effet, le code malveillant peut s’y loger. Comparez le contenu actuel avec une sauvegarde saine, lorsque c’est possible.

Par ailleurs, plusieurs mesures de fond réduisent le risque :

• appliquer rapidement les correctifs de sécurité de Magento et des extensions ;
• limiter les comptes d’administration et activer l’authentification multifacteur ;
• changer les mots de passe en cas de doute ;
• mettre en place une politique de sécurité du contenu (CSP) pour restreindre les scripts autorisés ;
• surveiller les modifications de contenu dans l’interface d’administration.

Enfin, si une infection est confirmée, isolez le site. Supprimez ensuite le code injecté et identifiez la porte d’entrée. En effet, sans cette dernière étape, la réinfection reste probable. Il est également prudent de prévenir les clients si des données ont pu être exposées.

Ce qu’il faut retenir

• Sansec a recensé 953 boutiques en ligne infectées, surtout sous Magento.
• La campagne est active depuis juillet 2025 et son auteur reste inconnu.
• Un petit code ajouté aux pages charge un JavaScript malveillant via les blocs CMS.
• Le script est conçu pour échapper aux scanners, ce qui complique la détection.
• Les marchands doivent auditer leurs blocs CMS, leur base de données et leurs droits d’accès.

Source : Hackers Infect 953 Online Stores With Scanner-Evading JavaScript, Mostly on Magento