Casi mil tiendas online infectadas con un código que esquiva a los escáneres

Qué ha pasado

La empresa neerlandesa de seguridad para comercio electrónico Sansec ha descrito una campaña que ha infectado 953 tiendas online, la mayoría de ellas con Magento. Según su análisis, la actividad lleva en marcha desde julio de 2025 y no se ha podido atribuir a ningún grupo concreto.

El método consiste en introducir en las páginas de la tienda un fragmento de código muy pequeño. Cuando alguien visita la web, ese fragmento sirve un cargador de JavaScript malicioso a través de los bloques CMS de Magento, las piezas de contenido que se editan desde el panel de administración.

El código está pensado para pasar desapercibido: según SecurityWeek, unas veces entrega su carga al visitante y otras no hace nada. Ese comportamiento irregular dificulta que los escáneres de seguridad lo detecten.

Las fuentes que manejamos no detallan qué hace exactamente la carga final, así que no vamos a especular.

Por qué le importa a tu empresa

Si tu tienda funciona con Magento, el riesgo es directo. Pero aunque uses otra plataforma, la lección vale igual: un script ajeno en tu web lo ejecuta el navegador de tus clientes, y ellos te lo atribuirán a ti.

Esto tiene varias consecuencias para una pyme:

• Un análisis automático puede darte un resultado limpio mientras tu web sigue comprometida, porque el código solo actúa a veces.
• Una campaña que lleva más de un año en marcha indica que la infección puede pasar meses sin que nadie la note.
• Si tus visitantes sufren un perjuicio por código inyectado en tu tienda, tendrás que dar explicaciones. Según el caso, también puede haber implicaciones de protección de datos y de confianza de tus clientes.

Mi opinión

Lo que más me llama la atención no es el número, sino la discreción del ataque. Durante años hemos dicho a las pymes que pasen un escáner de vez en cuando, y sigue siendo buen consejo, pero esta campaña recuerda que un resultado limpio no es una garantía. Es una foto de un momento concreto.

Tampoco conviene dramatizar. Con los datos que hay no sabemos cómo entraron los atacantes en cada tienda ni qué buscaban exactamente, y sacar conclusiones sin esa información sería precipitado. Lo sensato es hacer comprobaciones sencillas y periódicas, sobre todo en las zonas donde se puede añadir contenido sin tocar el código de la tienda, como estos bloques CMS. Suelen ser un punto ciego: casi nadie los revisa porque «solo son textos y banners».

En XEVIA revisamos precisamente este tipo de cosas en las webs de nuestros clientes, pero lo básico lo puede empezar a hacer cualquier empresa hoy mismo.

Qué hacer hoy

• Revisa los bloques de contenido de tu panel de administración y busca scripts o fragmentos que no reconozcas o que nadie de tu equipo haya puesto.
• Comprueba quién tiene acceso al panel: elimina cuentas que ya no se usen, cambia contraseñas y activa la verificación en dos pasos si está disponible.
• Actualiza Magento y sus extensiones a la última versión con parches de seguridad. Si no sabes en qué versión estás, pregúntaselo a quien te mantiene la tienda.
• Pide a tu proveedor técnico una revisión del código que se carga realmente en las páginas, no solo un escáner automático, y que te confirme por escrito qué ha comprobado.
• Anota un plan de respuesta con un contacto técnico y el procedimiento para avisar a tu hosting y a tus clientes si apareciera algo sospechoso.