Come posso integrare i pagamenti online di Adyen in modo sicuro?

Proteggi la tua azienda dagli aggressori online

Chi ha intenzioni illecite (persone o organizzazioni) può colpire la tua azienda per mezzo di attacchi online. A seconda di come integrerai Adyen nei tuoi servizi, devi valutare ulteriori misure di sicurezza per proteggere la riservatezza, l'integrità e la disponibilità dei dati della tua azienda e dei tuoi clienti.

Come potresti essere violato

Gli hacker possono falsificare o rubare le credenziali di accesso per ottenere l'accesso all'ambiente. Alcune tecniche note sono la forzatura di password deboli o lo sfruttamento di un'autenticazione admin debole o non funzionante. Il phishing o altri cosiddetti trucchi di ingegneria sociale sono comuni, ovvero ingannano una persona all'interno dell'azienda per avere accesso a informazioni sensibili. 

Se gli hacker riescono ad accedere senza autorizzazione alle pagine, possono estrarre i dati delle carte di credito. Un potenziale hacker può eseguire attacchi di cross-site scripting in diversi modi: 

1. Reindirizzando un pagamento a una pagina fraudolenta, in modo che i dettagli di pagamento inseriti vengano inviati agli hacker prima che il processo di pagamento prosegua sulla pagina corretta. 
2. Inserendo i cosiddetti overlay in alto nella pagina di pagamento vera e propria e raccogliendo i dati della carta prima che venga effettuato il pagamento vero e proprio. 
3. Manipolando la pagina con un codice dannoso, ad esempio tramite i cosiddetti keylogger, per raccogliere i dati della carta mentre li inserisce. 

Come ridurre il rischio di violazione

Applicare misure di sicurezza semplici può ridurre notevolmente i rischi. Devi gestire correttamente gli account utente, i sistemi e il ciclo di vita dello sviluppo della piattaforma. 

Gestione degli account utente

• Sostituisci i nomi utente e le password comunicati dal fornitore.
• Usa password complesse per prevenire gli attacchi di forza bruta. Usa password lunghe, contenenti lettere maiuscole e minuscole, numeri e caratteri speciali. 
• Evita account che condividono le credenziali tra più persone.
• Applica l'autenticazione a più fattori (MFA), soprattutto quando accedi da dispositivi disponibili al pubblico.

Gestione dei sistemi

• Mantieni aggiornati sistemi e software con le ultime patch di sicurezza.
• Consulta e implementa le raccomandazioni di sicurezza del provider di e-commerce o di siti internet.
• Rivedi regolarmente l'attività degli amministratori e degli utenti per rilevare attività insolite causate da un potenziale hacker.

Gestione del ciclo di vita di sviluppo

• Adotta le migliori pratiche di sicurezza nelle fasi di progettazione, sviluppo e test del ciclo di vita di sviluppo.
• Verifica le modifiche apportate alle pagine di pagamento e al relativo codice sorgente. Assicurati di configurare la funzione di monitoraggio continuo per rilevare e rispondere alle modifiche impreviste.
• Gestisci i rischi della supply chain per individuare, gestire e prevenire gli attacchi tramite fornitori di terze parti.
• Assicurati che le risorse sul lato client delle tue pagine siano caricate da domini autorizzati. Tali risorse includono librerie javascript, CSS, chatbot, analisi e così via. 
• Non generare URL di Pay by Link su sistemi accessibili al pubblico. È meglio convalidare automaticamente la parte host dell'URL prima di inviarlo al cliente. 
• Implementa il Cross-Origin Resource Sharing e l'Integrità delle sottorisorse. Per ulteriori informazioni al riguardo, consulta le nostre risorse di sviluppo.  
• Implementazione della politica di sicurezza dei contenuti (Content Security Policy, CSP) per prevenire, tra l'altro, gli attacchi di cross-site scripting. I CSP possono essere implementati aggiungendo l'intestazione HTTP Content-Security-Policy nel server web e configurandola per accettare solo risorse da fonti attendibili. Usa solo le seguenti direttive: Adyen, Amazon Pay, PayPal e Google Pay. 

Ulteriori informazioni

Esistono molti quadri di riferimento pubblici e altre linee guida utili per la sicurezza della tua azienda; certamente, adottando pratiche di codifica sicure e valutando continuamente le misure di sicurezza con l'aiuto di quadri di maturità. Per saperne di più, suggeriamo le seguenti risorse:

• OWASP
• NIST
• SANS