美国工资协会（APA）披露了一个影响会员和客户的数据漏洞，此前攻击者成功地在该组织的网站登录和在线商店结账页面上安装了一个网页浏览器。

APA是一个非营利性专业协会，拥有20,000多个会员和121个APA关联的本地分会，组织培训研讨会和会议，每年有超过36,000名专业人士参加。

该组织还颁发行业认可的证书，并为专业人员提供资源文本库。

 

登录和财务信息被盗

大约在2020年7月23日，APA发现其网站和在线商店被攻击者攻破，攻击者收集敏感信息并将其过滤到攻击者控制的服务器上。

攻击者根据APA政府高级总监Robert Wagner 发送给受影响个人的数据泄露通知，利用组织内容管理系统（CMS）中的安全漏洞入侵APA的网站和在线商店。

一旦获得对组织站点和商店的访问权，他们就将撇取器部署在网站的登录页面和APA电子商务商店的结帐部分。

据APA的安全团队表示，该恶意活动可以追溯到2020年5月13日，大约是美国东部时间下午7:30。

APA说：“未经授权的个人可以访问登录信息（即用户名和密码）和个人支付卡信息（即信用卡信息及相关数据）。”

此外，在某些情况下，攻击者还能够访问社交媒体用户名和受影响的APA成员和客户的个人资料照片。

​​​​​​​

数据泄露背后的Magecart攻击

这种类型的攻击称为网络掠夺攻击（也称为或电子掠夺），通常是攻击者使用CMS漏洞或受感染的管理员帐户在电子商务网站上部署卡片脚本造成的。

在发现攻击后，APA立即为他们的网站和商店的CMS安装了最新的安全更新，以阻止未来的攻击。

在审查了自2020年初以来对这两个站点所做的所有代码更改之后，APA的安全团队还增加了安全补丁程序的频率，并在受影响的服务器上部署了反恶意软件解决方案。

PA还为所有受影响的用户重置了密码，并提供100万美元的身份盗窃保险和通过Equifax进行的一年免费信用监控。