Kerentanan kritis dalam plugin WordPress populer dapat memungkinkan peretas untuk membajak situs web kripto yang berhadapan dengan pengguna. Kerentanan ini berpotensi menciptakan peluang bagi pelaku jahat untuk menyuntikkan halaman phishing, tautan wallet palsu, dan pengalihan berbahaya.
Meskipun cacat ini tidak memengaruhi backend wallet atau kontrak token, ini mengekspos infrastruktur front-end yang diandalkan pengguna untuk berinteraksi dengan layanan kripto dengan aman. Meskipun plugin ini telah diperbaiki, puluhan ribu situs tetap tidak terlindungi, menjalankan versi yang sudah usang.
Potensi Penipuan Plugin WordPress
Kejahatan kripto sedang meroket saat ini, dan banyak vektor tak terduga dapat menghasilkan serangan penipuan baru. Misalnya, sebuah laporan terbaru dari Patchstack, sebuah perusahaan keamanan digital, mengungkapkan eksploitasi WordPress baru yang berpotensi memungkinkan penipuan kripto baru.
“Plugin Post SMTP, yang memiliki lebih dari 400.000 instalasi, adalah plugin pengiriman email. Dalam versi 3.2.0 dan di bawahnya, plugin ini rentan terhadap beberapa kerentanan Broken Access Control di endpoint REST API-nya…memungkinkan setiap pengguna terdaftar (termasuk pengguna tingkat Subscriber yang seharusnya tidak memiliki hak istimewa sama sekali) untuk melakukan berbagai tindakan,” klaimnya.
Fungsi-fungsi ini termasuk: melihat statistik jumlah email, mengirim ulang email, dan melihat log email terperinci, termasuk seluruh isi email.
Seorang peretas WordPress dapat menggunakan kerentanan ini untuk mencegat email pengaturan ulang kata sandi, berpotensi mendapatkan kendali atas akun administrator.
Banyak Target di Crypto
Jadi, bagaimana kerentanan WordPress ini bisa mengarah pada penipuan kripto? Sayangnya, kemungkinannya hampir tak terbatas. Email dukungan pelanggan palsu telah berperan penting dalam banyak upaya phishing baru-baru ini, jadi kontrol email yang terbatas sudah berbahaya.
Situs yang dikompromikan menggunakan WordPress dapat menyisipkan token palsu dan situs web penipuan ke dalam tautan eksternal menggunakan skrip berbahaya dan pengalihan.
Peretas dapat mengumpulkan kata sandi dan mencoba menggunakannya pada daftar exchange. Mereka bahkan bisa menyuntikkan malware ke setiap pengguna yang membuka halaman tertentu.
Apakah Wallet Saya Aman?
Secara permukaan, sebagian besar wallet kripto dan platform token tidak menggunakan WordPress untuk infrastruktur inti mereka. Namun, sering digunakan untuk fungsi pengguna seperti halaman utama dan dukungan pelanggan.
Jika proyek kecil atau baru tanpa tim teknik yang solid dikompromikan, pelanggaran keamanan bisa tidak terdeteksi. Akun WordPress yang terinfeksi dapat mengumpulkan informasi pengguna untuk penipuan di masa depan atau langsung mengarahkan pelanggan ke upaya phishing.
Cara Tetap Terlindungi
Untungnya, Patchstack dengan cepat merilis perbaikan untuk bug ini. Namun lebih dari 10% pengguna Post SMTP belum menginstalnya. Itu berarti sekitar 40.000 situs web rentan terhadap eksploitasi, mewakili risiko keamanan yang besar.
Pengguna kripto yang cerdas harus tetap tenang dan menjalankan praktik keamanan standar. Jangan percaya tautan email acak, tetap dengan proyek yang terpercaya, gunakan wallet hardware, dan sebagainya. Tanggung jawab terbesar ada pada operator situs itu sendiri.
Jika proyek kripto kecil menjalankan situs WordPress tanpa mengunduh perbaikan bug dari Patchstack, peretas dapat menggunakannya untuk mendukung daftar penipuan yang tak ada habisnya. Singkatnya, pengguna kripto harus aman selama mereka berhati-hati dengan proyek non-mainstream.
Penyangkalan
Seluruh informasi yang terkandung dalam situs kami dipublikasikan dengan niat baik dan bertujuan memberikan informasi umum semata. Tindakan apa pun yang dilakukan oleh para pembaca atas informasi dari situs kami merupakan tanggung jawab mereka pribadi.
Selain itu, sebagian artikel di situs ini merupakan hasil terjemahan AI dari versi asli BeInCrypto yang berbahasa Inggris.
