Obre el web de la teva empresa, prem F12 i entra a la pestanya \u00abXarxa\u00bb (Network). Torna a carregar la p\u00e0gina i fixa\u2019t en quants dominis que no s\u00f3n teus apareixen a la llista.<\/p>\n
Anal\u00edtica, p\u00edxels de LinkedIn i de Google Ads, el CRM, el xat, el mapa de calor, el formulari incrustat, el v\u00eddeo, l\u2019eina de proves A\/B. En molts webs de m\u00e0rqueting B2B<\/a>, la llista \u00e9s for\u00e7a m\u00e9s llarga del que el mateix equip s\u2019imagina.<\/p>\n Cadascun d\u2019aquests dominis executa codi dins del navegador dels teus visitants, sota la teva marca. I gaireb\u00e9 cap no ha passat per una revisi\u00f3 de seguretat.<\/p>\n Aquest \u00e9s el risc oblidat. En aquest article veiem com funciona, com s\u2019ha explotat a la pr\u00e0ctica i quins controls pots aplicar sense convertir l\u2019equip de seguretat en el departament que sempre diu que no.<\/p>\n Un script de tercers \u00e9s qualsevol fragment de JavaScript que el teu web carrega des d\u2019un servidor que no controles: una biblioteca allotjada en una CDN, el codi d\u2019un p\u00edxel publicitari o un giny de xat. Quan el navegador el rep, l\u2019executa com si fos codi teu.<\/p>\n Un gestor d\u2019etiquetes, com ara Google Tag Manager, hi afegeix una altra capa. Instal\u00b7les un \u00fanic fragment al web i, a partir d\u2019aqu\u00ed, l\u2019equip de m\u00e0rqueting publica etiquetes des d\u2019una interf\u00edcie web, sense passar per desenvolupament ni per un desplegament. Aquesta agilitat \u00e9s justament el que es busca, i tamb\u00e9 \u00e9s el que canvia el model de risc.<\/p>\n Amb un gestor d\u2019etiquetes, la llista de scripts que s\u2019executen al teu web deixa de ser al repositori de codi. \u00c9s en un compte extern, la pot modificar qualsevol persona amb permisos de publicaci\u00f3 i pot incloure etiquetes d\u2019\u00abHTML personalitzat\u00bb, que no s\u00f3n res m\u00e9s que JavaScript arbitrari.<\/p>\n La guia d\u2019OWASP sobre gesti\u00f3 de JavaScript de tercers<\/a> resumeix b\u00e9 el problema. Identifica tres riscos principals: la p\u00e8rdua de control sobre els canvis en l\u2019aplicaci\u00f3 client, l\u2019execuci\u00f3 de codi arbitrari als dispositius dels usuaris i la filtraci\u00f3 d\u2019informaci\u00f3 a tercers. Tamb\u00e9 assenyala que el risc m\u00e9s gran \u00e9s que es comprometi el servidor del prove\u00efdor i s\u2019injecti codi malici\u00f3s a l\u2019script original.<\/p>\n Un atacant no necessita entrar al teu servidor si pot entrar al d\u2019un prove\u00efdor que ja \u00e9s dins del teu web. Hi ha tres raons per les quals aquesta via resulta tan rendible.<\/p>\n Un script de tercers pot llegir el que l\u2019usuari escriu en un formulari, modificar el contingut de la p\u00e0gina, afegir camps falsos, llegir les galetes que no estiguin marcades com a HttpOnly i redirigir el visitant a una altra adre\u00e7a. El navegador no distingeix entre \u00abcodi de casa\u00bb i \u00abcodi d\u2019un prove\u00efdor\u00bb.<\/p>\n El codi propi passa per revisions, proves i, amb sort, alguna prova de penetraci\u00f3. El de tercers s\u2019incorpora amb un copiar i enganxar i es dona per bo. A m\u00e9s, pot canviar sense que facis res: el prove\u00efdor actualitza el fitxer i el teu web comen\u00e7a a executar la versi\u00f3 nova aquella mateixa tarda.<\/p>\n Si alg\u00fa compromet un prove\u00efdor popular, compromet de cop tots els webs que carreguen el seu script. \u00c9s m\u00e9s eficient que atacar llocs web un per un. Per aix\u00f2 els scripts de tercers s\u00f3n un objectiu habitual dels grups que roben dades de pagament directament des del navegador, coneguts en conjunt com a Magecart.<\/p>\n El 2018, l\u2019script d\u2019un prove\u00efdor de xatbot que Ticketmaster utilitzava al seu web es va manipular per capturar les dades de pagament dels clients. El punt feble no era als servidors de l\u2019empresa, sin\u00f3 en un component extern que ning\u00fa no vigilava com a codi propi.<\/p>\n Un script que avui \u00e9s leg\u00edtim pot deixar de ser-ho dem\u00e0 sense que canvi\u00ef ni una sola l\u00ednia del teu web. N\u2019hi ha prou que el domini que el serveix caduqui o es vengui. OWASP ja advertia d\u2019aquest escenari.<\/p>\n El cas m\u00e9s clar \u00e9s el de Polyfill.io. A principis de 2024, el domini i el servei van passar a mans d\u2019una empresa xinesa de CDN anomenada Funnull, i m\u00e9s endavant l\u2019script servit va comen\u00e7ar a injectar codi malici\u00f3s. Segons SecurityWeek<\/a>, m\u00e9s de 100.000 webs carregaven aquell domini, i l\u2019autor original del projecte havia recomanat deixar d\u2019utilitzar-lo des del canvi de propietari. El codi redirigia una part dels visitants a llocs fraudulents.<\/p>\n Qui pot publicar al teu contenidor pot executar codi al teu web sense tocar el servidor i sense deixar rastre al repositori. N\u2019hi ha prou amb el compte d\u2019un antic col\u00b7laborador d\u2019ag\u00e8ncia que no es va donar mai de baixa, una contrasenya reutilitzada sense segon factor o un perm\u00eds de publicaci\u00f3 concedit \u00abper sortir del pas\u00bb.<\/p>\n La campanya va acabar fa dos anys i l\u2019ag\u00e8ncia ja no treballa amb vosaltres, per\u00f2 el p\u00edxel es continua carregant. Cada etiqueta \u00f2rfena \u00e9s codi que ning\u00fa no vigila, d\u2019un prove\u00efdor de qui potser ning\u00fa no fa seguiment, i que continua rebent dades dels teus visitants.<\/p>\n \u00c9s f\u00e0cil pensar que aix\u00f2 \u00e9s un problema de botigues en l\u00ednia. Un lloc web B2B tamb\u00e9 hi t\u00e9 molt a perdre:<\/p>\n L\u2019incident de British Airways el 2018 no va comen\u00e7ar en un gestor d\u2019etiquetes, sin\u00f3 amb un acc\u00e9s a la xarxa de l\u2019aerol\u00ednia. Per\u00f2 mostra el cost d\u2019un script alterat en un web: el codi malici\u00f3s capturava les dades de pagament mentre els clients completaven la compra, va afectar unes 400.000 persones i el regulador brit\u00e0nic va acabar imposant una multa de 20 milions de lliures.<\/p>\n A m\u00e9s, hi ha un component regulador. Quan un script de tercers es carrega a la teva p\u00e0gina, el navegador contacta directament amb aquell tercer, que rep l\u2019adre\u00e7a IP del visitant i, segons el cas, la p\u00e0gina d\u2019origen i les galetes que ja tingu\u00e9s. Aquesta transfer\u00e8ncia de dades \u00e9s responsabilitat teva, tamb\u00e9 d\u2019acord amb l\u2019RGPD. I si el teu web cobra en l\u00ednia, l\u2019est\u00e0ndard PCI DSS 4.0 exigeix des de 2025, als requisits 6.4.3 i 11.6.1, que tots els scripts de la p\u00e0gina de pagament estiguin autoritzats, justificats i inventariats, i que es detectin els canvis no autoritzats.<\/p>\nQu\u00e8 s\u00f3n els scripts de tercers i per qu\u00e8 un gestor d\u2019etiquetes els multiplica<\/h2>\n
Per qu\u00e8 un script de m\u00e0rqueting \u00e9s un objectiu atractiu<\/h2>\n
T\u00e9 els mateixos privilegis que el teu propi codi<\/h3>\n
Ning\u00fa no el revisa com revisa el seu propi codi<\/h3>\n
L\u2019efecte multiplicador afavoreix l\u2019atacant<\/h3>\n
Quatre maneres com es trenca la cadena<\/h2>\n
1. El prove\u00efdor pateix una intrusi\u00f3<\/h3>\n
2. El domini canvia de mans<\/h3>\n
3. Alg\u00fa accedeix al compte del gestor d\u2019etiquetes<\/h3>\n
4. Etiquetes oblidades<\/h3>\n
Qu\u00e8 s\u2019hi juga un lloc web B2B<\/h2>\n
\n
Controls que funcionen sense frenar l\u2019equip de m\u00e0rqueting<\/h2>\n