Фахівці з кібербезпеки компанії Sansec виявили тривалу кампанію, у межах якої зловмисники уразили 953 сайти електронної комерції, переважно на платформі Magento. Злочинці впроваджували в статичні блоки контенту CMS невеликі завантажувачі на JavaScript, які непомітно доставляли шкідливий код у браузери покупців. Система розробників перевіряла тип відвідувача, блокуючи запити від сканерів безпеки та ботів, щоб залишатися непоміченою.

Основним вектором первинного проникнення стали відомі вразливості системи Magento, зокрема проблеми утилітації файлів і завантаження шеллів. Дослідники зафіксували використання кількох доменів для завантаження коду, зареєстрованих у період з липня 2025 по жовтень 2026 року. У деяких випадках скрипти зберігалися в локальній пам’яті браузера користувача для виконання під час наступних відвідин сайту навіть без зв’язку з сервером хакерів.