Les attaques de skimming en ligne dissimulent du code malveillant dans les scripts qui s’exécutent sur une page de paiement. Les clients ne perçoivent rien d’anormal ; les numéros de carte sont dérobés à chaque achat. PCI DSS v4.0 y répond avec deux exigences devenues obligatoires le 31 mars 2025.
Ce que les exigences demandent
- Exigence 6.4.3 : tenez un inventaire de chaque script sur vos pages de paiement, confirmez que chacun est autorisé et assurez son intégrité.
- Exigence 11.6.1 : détectez les modifications non autorisées apportées aux pages de paiement et à leurs en-têtes de sécurité, et alertez votre équipe lorsqu’elles se produisent.
Là où les commerçants rencontrent des difficultés
La plupart des pages de paiement chargent des scripts provenant de fournisseurs d’analyse, de chat, de marketing et de paiement. Peu d’équipes connaissent la liste complète, et encore moins savent quand elle change.
Comment commencer
- Listez chaque script sur les pages où les données de carte sont saisies.
- Supprimez ce dont vous n’avez pas besoin et documentez la raison d’être de chaque script restant.
- Mettez en place la détection des changements et décidez qui répond à une alerte.
Vous ne savez pas où vous en êtes ? Réservez une consultation gratuite et nous vous dirons ce qu’un évaluateur recherchera.
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite