E-ticaret Platformlarında Tarayıcı Atlatıcı JavaScript Tehdidi Büyüyor

Çevrimiçi alışveriş dünyası, binlerce sanal mağazayı hedef alan ve algılaması zor yöntemlerle işleyen yeni nesil bir siber saldırı dalgasıyla karşı karşıya. Özellikle Magento tabanlı platformları etkileyen bu e-ticaret siber saldırı kampanyası, ziyaretçileri kötü amaçlı JavaScript kodlarına maruz bırakarak hem işletmeleri hem de tüketicileri tehdit ediyor. Temmuz 2025’ten bu yana aralıksız devam eden bu karmaşık kampanya, 950’den fazla mağazayı etkilemiş durumda ve güvenlik tarayıcılarını ustaca atlatarak uzun soluklu bir varlık sergiliyor.

Süregelen Tehdidin Kökenleri ve Evrimi

Bu geniş çaplı saldırı kampanyasının kökenleri, geriye dönük olarak Temmuz 2025’e kadar uzanıyor. Başlangıcından itibaren farklı aşamalardan geçen ve sürekli olarak taktiklerini güncelleyen siber korsanlar, hedefledikleri e-ticaret sitelerine sızmak için çeşitli vektörler kullanıyorlar. Güvenlik araştırmacılarının analizlerine göre, mağazaların önemli bir kısmı PolyShell (CVE-2026-48356 olarak bilinen bir güvenlik açığı) üzerinden enjekte edilmiş durumda. Bu tek bir açık bile, 471 Magento mağazasının kapılarını kötü niyetli yazılımlara açmasına neden olmuş. Buna ek olarak, 102 mağazada PolyShell veya SessionReaper gibi yöntemlerle dosya yüklemeleri gerçekleştirildiği de belirtiliyor.

Saldırıların zaman içindeki evrimi, kullanılan alan adlarının çeşitliliğinde de kendini gösteriyor. Kampanya süresince beş farklı alan adı dikkat çekiyor: Temmuz 2025’te görülen manulfie[.]click, Aralık 2025’te ortaya çıkan neswnsssn[.]click, Mart 2026’da tespit edilen lanhd6549tdhse[.]top, Haziran 2026’da kullanılan additionalver[.]com ve son olarak Ekim 2026’da kayda alınan deepveindrilling[.]com. Bu sürekli alan adı değişimi, saldırganların izlerini sürmeyi zorlaştıran ve altyapılarını aktif tutmalarını sağlayan kritik bir unsur olarak öne çıkıyor.

Saldırının Teknik Yapısı ve Kaçınma Yöntemleri

Saldırının merkezinde, e-ticaret sitelerinin sayfalarına sızdırılan küçük bir kod parçası bulunuyor. Bu kod, Magento platformunda sıklıkla kullanılan cms_block veritabanı tablosuna yerleştiriliyor. CMS blokları, genellikle sitenin statik içeriğini (başlıklar, altbilgiler, tanıtım bannerları gibi) oluşturmak için kullanılır. Saldırganlar, mevcut bir CMS bloğunu değiştirerek ya da yeni bir blok oluşturarak zararlı JavaScript yükleyicisini bu alana entegre ediyorlar. Bir kullanıcı siteyi ziyaret ettiğinde ve bu tehlikeye atılmış CMS bloğu işlendiğinde, saldırganın kontrolündeki kod çalışmaya başlıyor.

En dikkat çekici teknik özelliklerden biri, zararlı JavaScript yükleyicisinin çalışma biçimi. Bu yükleyici, saldırganın sunucusundan kötü amaçlı komutları çekmeden önce ziyaretçinin gerçek bir alışverişçi mi yoksa bir güvenlik tarayıcısı mı olduğunu kontrol ediyor. Eğer sistem bir güvenlik tarayıcısı veya bot olduğunu tespit ederse, herhangi bir zararlı kod sunulmuyor. Bu sofistike filtreleme mekanizması, geleneksel güvenlik çözümlerinin saldırıyı tespit etmesini önemli ölçüde engelliyor. Saldırıların en güncel alanı olan deepveindrilling[.]com, Cloudflare arkasında barındırılıyor ve yalnızca enfekte mağazaların gerçek ziyaretçilerinden gelen komut dosyası isteklerine yanıt veriyor, bu da tespit edilme oranını düşürüyor.

Saldırı kampanyası kapsamında iki farklı yükleyici sürümü tespit edilmiş durumda. İlk sürüm, harici JavaScript’i tarayıcının localStorage alanına kaydediyor. Bu sayede, kötü amaçlı kod, harici alan adı erişilemez hale gelse bile sonraki ziyaretlerde yeniden çalıştırılıyor ve kalıcı bir tehdit oluşturuyor. İkinci ve daha gelişmiş sürüm ise, bu davranışa tarayıcı parmak izi alma kontrolleri ekleyerek botları ve güvenlik tarayıcılarını daha etkin bir şekilde filtreliyor. Böylece sadece gerçek alışveriş yapanların kötü amaçlı kodlara maruz kalması sağlanıyor.

Hedeflenen Kitle ve İşletmeler Üzerindeki Etkileri

Bu siber saldırı dalgası, Ekim 2026 itibarıyla 953 çevrimiçi mağazayı doğrudan etkilemiş durumda. Bu mağazaların büyük çoğunluğunun Magento tabanlı olması, platformun siber suçlular için cazip bir hedef olmaya devam ettiğini gösteriyor. Saldırıların birincil hedefi, bu mağazaları ziyaret eden ve durumdan habersiz olan alışverişçiler. Nihai kötü amaçlı yazılımın tam doğası henüz netleşmemiş olsa da, bu tür saldırıların genellikle kredi kartı bilgisi hırsızlığı (skiming), kimlik avı veya fidye yazılımı yüklemesi gibi sonuçlar doğurduğu biliniyor. Dolayısıyla, kullanıcıların kişisel ve finansal verileri ciddi risk altında.

İşletmeler açısından bakıldığında, enfekte olmuş bir e-ticaret sitesi itibar kaybına, müşteri güveninin sarsılmasına ve potansiyel yasal sorumluluklara yol açabilir. Müşterilerinin verileri çalınan bir mağaza, hem maddi zararlarla hem de uzun vadeli marka hasarıyla yüzleşmek zorunda kalır. Ayrıca, saldırıyı tespit etmenin ve temizlemenin karmaşıklığı, işletmeler için önemli maliyetler ve operasyonel aksaklıklar anlamına geliyor. Saldırganların güvenlik tarayıcılarını atlatma yeteneği, sorunun aylarca hatta yıllarca fark edilmeden kalmasına neden olabilir, bu da zararın boyutunu daha da büyütür.

Sanal Mağazalar İçin Koruma ve Önlemler

Sanal mağaza sahipleri ve yöneticileri için bu tür sofistike saldırılara karşı proaktif önlemler almak büyük önem taşıyor. İlk ve en kritik adım, kullanılan tüm yazılımların, özellikle Magento gibi e-ticaret platformlarının ve bunlara entegre eklentilerin düzenli olarak güncel tutulmasıdır. Bilinen güvenlik açıklarının (örneğin CVE-2026-48356 gibi) en kısa sürede kapatılması, saldırganların sisteme ilk giriş noktalarını kapatmak için hayati öneme sahiptir.

Buna ek olarak, cms_block veritabanı tablosu gibi statik içerik alanlarının ve genel olarak web sitesi dosyalarının bütünlüğü düzenli olarak denetlenmelidir. Şüpheli kod enjeksiyonlarını veya yetkisiz değişiklikleri tespit edebilecek gelişmiş izleme sistemleri ve dosya bütünlüğü kontrol araçları kullanılmalıdır. Ayrıca, trafik dağıtım sistemleri (TDS) gibi harici entegrasyonların ve üçüncü taraf komut dosyalarının güvenliği de gözden geçirilmelidir. Web uygulaması güvenlik duvarları (WAF) ve uç nokta tespit ve yanıt (EDR) çözümleri gibi katmanlı güvenlik yaklaşımları, saldırıların engellenmesinde ve tespit edilmesinde ek bir savunma hattı oluşturur.

E-ticaret Güvenliğinin Değişen Yüzü

Bu uzun soluklu ve çok aşamalı siber saldırı kampanyası, e-ticaret güvenliğinin sürekli değişen ve gelişen bir alan olduğunu bir kez daha kanıtlıyor. Saldırganların sadece bilinen güvenlik açıklarını kullanmakla kalmayıp, aynı zamanda tespit mekanizmalarını atlatmaya yönelik yenilikçi yöntemler geliştirmeleri, sektör için ciddi bir uyarı niteliğinde. Tarayıcı parmak izi alma ve localStorage kullanarak kalıcı kötü amaçlı yazılım dağıtma gibi teknikler, geleneksel güvenlik paradigmalarını zorluyor ve savunmacıların daha dinamik stratejiler benimsemesini gerektiriyor.

Saldırıların bu denli uzun süredir aktif olması ve geniş bir mağaza ağına yayılması, e-ticaret tedarik zinciri güvenliğinin önemini de ortaya koyuyor. Üçüncü taraf eklentiler, entegrasyonlar ve hatta hosting sağlayıcıları üzerinden gelebilecek tehditler, ana platformun güvenliği kadar kritik hale geliyor. Gelecekte, işletmelerin sadece kendi altyapılarını değil, aynı zamanda kullandıkları tüm ekosistemin güvenlik duruşunu da sürekli olarak değerlendirmeleri ve proaktif olarak güçlendirmeleri kaçınılmaz bir zorunluluktur. Bu tür saldırılar, siber güvenlik yatırımlarının artık sadece bir maliyet değil, aynı zamanda iş sürekliliği ve müşteri güveni için temel bir gereklilik olduğunu gösteriyor.