Magecart en skimmers: hoe betaalgegevens bij het afrekenen worden gestolen
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
Een webskimmer, ook wel Magecart genoemd, is kwaadaardige code die een crimineel op uw afrekenpagina verbergt. Die code leest stiekem mee wat klanten intypen: hun naam, adres en betaalgegevens. Uw shop werkt gewoon door, dus u merkt het zelden zelf. Vaak komt de code binnen via een gehackte plug-in of een onderdeel van een ander bedrijf.
In dit artikel (6 delen)
Wat is een skimmer en wat is Magecart?
Een webskimmer is kwaadaardige code, meestal in JavaScript. Een crimineel verbergt die in uw webshop, het liefst op de afrekenpagina. Terwijl een klant zijn gegevens invult, leest die code stilletjes mee. Het gaat om naam, adres, e-mail en betaalgegevens. Die gegevens worden naar de crimineel gestuurd, zonder dat de klant of u iets merkt.
Magecart is de verzamelnaam voor de groepen die dit soort aanvallen uitvoeren. U hoort ook wel de termen web skimming, e-skimming of digitaal skimmen. Het verschilt van de oude skimapparaatjes bij een pinautomaat: hier gebeurt alles online, in de browser van uw klant.
Hoe komt die code in uw shop?
Een crimineel moet eerst ergens binnenkomen. Dat lukt vaak via een verouderde plug-in of uitbreiding met een bekend lek. Of via een beheeraccount met een zwak wachtwoord of een server die niet is bijgewerkt. Daarna plaatst hij de meeleescode, meestal op de pagina waar betaald wordt.
Een veelgebruikte weg is de toeleveringsketen (supply chain). Veel webshops laden onderdelen van buiten: een script voor statistieken, een chatfunctie, een lettertype of een betaalknop. Wordt zo’n extern onderdeel gehackt, dan laadt uw shop de kwaadaardige code vanzelf mee, terwijl uw eigen systeem ongemoeid lijkt. CERT-EU beschrijft dit als een van de lastigste kanten van skimming.
Waarom u het zelden zelf merkt
Het gemene aan een skimmer is dat uw shop gewoon blijft werken. Klanten rekenen af, bestellingen komen binnen, u ziet geen storing. De code draait in de browser van de bezoeker en is voor u onzichtbaar. Daardoor kan een skimmer weken of maanden meelezen voordat iemand het ontdekt.
Vaak komt het pas aan het licht als klanten of de bank vreemde betalingen melden. Of als een beveiligingspartij uw shop herkent in een onderzoek. Hoe langer het duurt, hoe meer klanten gedupeerd raken en hoe groter de schade aan uw naam.
Hoe u een skimmer tóch opmerkt
Let op klanten die kort na een bestelling betalingen zien die ze niet herkennen. Of op een melding van uw bank of betaalprovider. Let ook op onbekende of gewijzigde scripts op uw site. Dat is code van buiten die u of uw bouwer er niet heeft gezet. Een plotselinge wijziging aan de afrekenpagina die niemand van uw team heeft gedaan, is eveneens een signaal.
Houd daarnaast bij welke externe onderdelen uw shop laadt. Hoe korter die lijst, hoe kleiner de kans dat er iets ongemerkt tussen glipt. Uw webbouwer of hostingpartij kan dit voor u nalopen.
Wat u eraan doet en hoe u het voorkomt
De basis is hetzelfde als tegen andere inbraken. Werk uw systeem, plug-ins en server bij. Zet tweestapsverificatie aan op het beheer en verwijder wat u niet gebruikt. Beperk externe scripts op uw afrekenpagina tot wat echt nodig is. Laat betalingen zoveel mogelijk via uw betaalprovider lopen. Dan gaan de kaartgegevens niet over uw eigen pagina.
Een Content Security Policy (CSP) helpt daarbij. Die vertelt de browser welke scripts uw pagina’s mogen laden. Onbekende code wordt zo tegengehouden. Verwerkt u kaartbetalingen, dan stelt de betaalstandaard PCI DSS hier ook eisen aan. Uw bouwer kan dit instellen.
Hoe een scan en een test een skimmer vinden
De Scan (vanaf € 295, excl. btw) is een geautomatiseerde scan die wij met de hand nalopen. Die ziet bekende, technische signalen: verouderde software met een lek, ontbrekende beveiligingsinstellingen en onbekende scripts op uw pagina’s. Dat is precies waar skimming vaak begint. Het is een scan, geen inbraaktest.
Wilt u verder gaan? Dan laat De Inbraaktest met handwerk zien hoe iemand bij uw afrekenpagina en beheer kan komen. En of daar ongemerkt code te plaatsen is. Wij testen alleen na schriftelijke toestemming van de eigenaar van het systeem. Zijn er al klantgegevens meegelezen? Dan is dat bijna altijd een datalek dat u binnen 72 uur meldt bij de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Wat is het verschil tussen Magecart en een gewone hack?
Magecart is een specifieke vorm. De crimineel wil uw shop niet platleggen, maar ongemerkt meelezen wat klanten bij het afrekenen intypen. Daarom blijft uw shop gewoon werken. Het doel is betaal- en klantgegevens stelen, niet zichtbaar schade aanrichten.
Hoe weet ik of mijn webshop een skimmer heeft?
Zelf is dat lastig, want de code is onzichtbaar en uw shop werkt door. Let op klachten over onbekende betalingen, meldingen van uw bank, en onbekende of gewijzigde scripts op uw site. Een scan die uw pagina’s en externe onderdelen naloopt, maakt bekende signalen zichtbaar.
Beschermt mijn betaalprovider me hier al tegen?
Een goede betaalprovider verkleint het risico. Vooral als de kaartgegevens via zijn eigen beveiligde omgeving lopen en niet over uw pagina. Toch kan een skimmer andere gegevens meelezen of de betaling omleiden. Updates, zo min mogelijk externe scripts en een Content Security Policy blijven nodig.
Is een skimmer op mijn webshop een datalek?
Meestal wel. Zijn er persoons- of betaalgegevens van klanten meegelezen en is er risico voor hen? Meld dat dan binnen 72 uur bij de Autoriteit Persoonsgegevens. Informeer ook uw betaalprovider en, bij een vermoeden, schakel direct hulp in.
Verder lezen
Bronnen
- CERT-EU: threat memo credit card skimmingcert.europa.eu
- OWASP Top 10:2025top10.owasp.org
- PCI Security Standards Councilpcisecuritystandards.org
- MDN: Content Security Policy (CSP)developer.mozilla.org
- ENISA Threat Landscapeenisa.europa.eu
- Autoriteit Persoonsgegevens: datalekkenautoriteitpersoonsgegevens.nl