Vulnérabilité Funnel Builder : 40 000 boutiques WooCommerce menacées par une campagne de skimming active

Une faille critique permet le vol de données bancaires sur des milliers de boutiques e-commerce

Alors que le commerce en ligne ne cesse de croître en France - avec un marché estimé à plus de 150 milliards d’euros en 2025 - une menace sourde mais particulièrement dangereuse ciblant les boutiques WooCommerce vient d’être révélée au grand jour. Une vulnérabilité critique affectant le plugin Funnel Builder pour WordPress est désormais sous exploitation active par des attaquants déterminés à subtiliser les données de paiement des consommateurs français et internationaux.

Selon les données publiées par Sansec, la société spécialisée hollandaise en sécurité e-commerce, cette faille permet à des acteurs malveillants d’injecter du code JavaScript arbitraire directement dans les pages de paiement WooCommerce. Le résultat ? Un vol silencieux mais systématique de numéros de carte bancaire, codes CVV et adresses de facturation. À ce jour, plus de 40 000 boutiques en ligne utilisant ce plugin se trouvent potentiellement exposées.

Cette révélation tombe à un moment où les attaques de type Magecart - du nom de ce pattern récurrent de skimming sur les terminaux de paiement - deviennent chaque année plus sophistiquées et plus dévastatrices pour les consommateurs comme pour les marchands.

Comprendre la faille Funnel Builder : anatomie d’une vulnérabilité critique

L’architecture défaillante à l’origine de l’exploitation

Le plugin Funnel Builder, développé par FunnelKit et utilisé massivement pour optimiser les parcours d’achat sur WooCommerce, contient une architecture vulnérable dans son point d’extrémité de paiement public. Les versions antérieures à la 3.15.0.3 disposent d’un endpoint permettant aux requêtes entrantes de sélectionner le type de méthode interne à exécuter - une conception qui,很奇怪, ne vérifie jamais les permissions de l’appelant ni ne limite les méthodes pouvant être invoquées.

En terms concrets, cela signifie qu’un attaquant non authentifié peut envoyer une requête HTTP standard vers cet endpoint vulnérable et atteindre une méthode interne non spécifiée qui écrit des données contrôlées par l’attaquant directement dans les paramètres globaux du plugin. Ces données sont ensuite injectées dans chaque page de paiement gérée par Funnel Builder sur la boutique compromise.

FunnelKit a corrigé cette vulnérabilité en publicación de la version 3.15.0.3. Toutefois, les experts soulignent que le nombre de boutiques utilisant encore une version obsolète reste préoccupant. À l’heure actuelle, la faille ne dispose pas encore d’un identifiant CVE officiel, ce qui complique parfois la détection automatique par les scanners de sécurité. Cette situation n’est pas un cas isolé dans l’écosystème WordPress : des vulnérabilités critiques sur d’autres plugins populaires comme celles affectant Burst Statistics ont exposé des dizaines de milliers de sites à des prises de contrôle administrateur.

Le mécanisme d’injection : quand le skimming se déguise en analytique

La méthode d’exploitation observée par Sansec illustre parfaitement l’ingéniosité des attaquants modernes.Plutôt que d’injecter du code JavaScript visiblement suspect, les cybercriminels ont opted pour une approche subtile : l’implantation de faux scripts Google Tag Manager dans le parámetro « External Scripts » du plugin.

« Habiller les skimmers en code Google Analytics ou Google Tag Manager est un pattern Magecart récurrent, puisque les réviseurs ont tendance à parcourir rapidement tout ce qui ressemble à une balise de suivi familière », ont expliqué les chercheurs de Sansec. Cette technique permet au code malveillant de se fondre parfaitement dans le trafic légitime de la boutique, échappant ainsi à une inspection superficielle.

Le script injecté, bien qu’apparaissant comme un simple script de suivi analytics à côté des vraies balises du magasin, charge en réalité un module de skimming qui intercepte tous les champs de paiement saisis par les clients lors du checkout. L’attaquant récupère ainsi les données sensibles en temps réel, sans que le commerçant ni le consommateur ne détectent la moindre anomalie.

Analyse technique de la chaîne d’attaque complète

De l’injection au vol : les différentes phases de l’exploitation

L’attaque contre les boutiques WooCommerce vulnérables se déroule en plusieurs phases distinctes, chacune déployant des techniques spécifiques pour maximiser la furtivité et l’efficacité.

Phase 1 - L’accès initial : L’attaquant identifie une boutique utilisant une version vulnérable de Funnel Builder et envoie une requête non authentifiée vers l’endpoint de paiement public. Cette requête spécifie une méthode interne permettant l’écriture dans les paramètres globaux du plugin.

Phase 2 - L’injection du chargeur : Une fois l’accès obtenu, le script malveillant est inséré dans le parámetro « External Scripts » sous la forme d’un faux Google Tag Manager. Ce chargeur contient une URL distante pointant vers un domaine contrôlé par l’attaquant.

Phase 3 - L’établissement du canal de communication : Lors du chargement de la page de paiement, le faux script GTM établit une connexion WebSocket vers le serveur de commande et de contrôle identifié par Sansec (« wss://protect-wss[.]com/ws »). Cette connexion persistante permet à l’attaquant de transmettre des instructions dynamiques et de personnaliser le module de skimming en fonction du contexte de la boutique ciblée.

Phase 4 - L’exfiltration des données : Le skimmer personnalisé récupère chaque champ de formulaire relatif au paiement : numéro de carte, date d’expiration, cryptogramme visuel et adresse de facturation. Ces données sont ensuite transmises en temps réel vers l’infrastructure de l’attaquant via la connexion WebSocket établie.

Un kit de skimming adaptatif et persistante

Ce qui rend cette campagne particulièrement inquiétante, c’est la nature adaptative du malware déployé. Contrairement aux skimmers statiques traditionnels, ce chargeur permet aux attaquants de modifier le comportement du skimmer à distance sans toucher aux fichiers locaux de la boutique compromise.

En pratique, le même script injecté peut servir à voler des données sur une boutique, puis être reconfiguré pour injecter des liens de produits spam, rediriger les visiteurs vers des pages malveillantes ou afficher du contenu dynamique frauduleux. Cette flexibilité permet aux cybercriminels de rentabiliser au maximum chaque compromise et de s’adapter aux contre-mesures en temps réel. Cette approche s’inscrit dans une tendance plus large où les ransomwares et Malware-as-a-Service intègrent désormais des mécanismes BYOVD (Bring Your Own Vulnerable Driver) pour désactiver les solutions EDR avant même de déployer leur charge utile.

Impacts et risques pour les boutiques WooCommerce françaises

L’ampleur du problème : un parc de 40 000 boutiques exposé

Le plugin Funnel Builder équipe plus de 40 000 boutiques WooCommerce à travers le monde, dont une portion significative opère sur le marché français. Pour ces commerçants, la compromise ne signifie pas seulement un vol de données clients - elle implique des conséquences juridiques, financières et réputationnelles potentiellement dévastatrices.

En France, le RGPD impose aux responsables de traitement de notifier toute violation de données personnelles à la CNIL dans un délai de 72 heures après conocimiento de l’incident. Pour une boutique e-commerce compromise par ce skimmer, cela implique potentiellement la communication d’une fuite de données bancaires à des milliers de clients affectés. Les sanctions encourues peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Au-delà des amendes administratives, les boutiqueiros doivent également faire face aux charges de paiement frauduleux, aux litiges avec les clients affectés et à la perte de confiance des consommateurs. Dans un marché où la réputation en ligne est essentielle, une faille de sécurité de cette ampleur peut irrémédiablement compromettre des années de construction de marque.

Un risque silencieux pour les consommateurs

Pour les clients des boutiques compromises, le danger est tout aussi réel mais souvent invisible. Contrairement à une violation de base de données classique où les clients sont généralement notifiés rapidement, le skimming de paiement peut passer inaperçu pendant des semaines, voire des mois.

Les consommateurs ayant effectué des achats sur une boutique WooCommerce utilisant Funnel Builder durant la période d’exploitation active doivent rester particulièrement vigilants. Les signes d’une éventuelle compromission incluent des transactions frauduleuses sur leur relevé bancaire, des achats non autorisés sur des sites inconnus, ou encore des tentatives d’arnaque liées à des informations de paiement compromises.

Guide pratique : comment protéger votre boutique WooCommerce

Étapes de remédiation immédiates

Pour les propriétaire de boutiques utilisant Funnel Builder, plusieurs actions doivent être entreprises sans délai pour limiter les risques d’exploitation.

1. Mettre à jour Funnel Builder vers la version 3.15.0.3 - C’est la première et plus critique des étapes. FunnelKit a publié un correctif corrigeant la vulnérabilité, et cette mise à jour doit être appliquée immédiatement sur toutes les installations.

2. Vérifier les paramètres External Scripts - Accédez à Settings > Checkout > External Scripts et inspectez chaque script listé. Supprimez immédiatement tout code qui semble inhabituel, non autorisé ou qui ressemble à une balise de suivi que vous n’avez pas installée vous-même.

3. Auditer les extensions récemment ajoutées - Tout changement de configuration non sollicité doit alerter. Documentez et vérifiez chaque modification apportée récemment à votre installation WordPress.

4. Scanner l’ensemble du système - Utilisez un outil de sécurité WordPress pour effectuer un scan complet à la recherche de malware, de portes dérobées ou de modifications non autorisées dans les fichiers du site.

5. Consulter les logs serveur - Analysez les journaux d’accès pour identifier d’éventuelles requêtes suspectes vers l’endpoint de paiement de Funnel Builder. Des patterns anormaux peuvent révéler une tentative d’exploitation même si celle-ci a échoué.

Renforcer la sécurité globale de votre boutique

Au-delà de la correction immédiate, il convient d’implémenter des mesures de protection à plus long terme pour prévenir de futures compromissions.

L’ANSSI recommande par ailleurs de maintenir uneliste blanche des scripts autorisés sur votre domaine et de mettre en place un système de surveillance des modifications de configuration. Ces pratiques, bien que nécessitant un investissement initial, constituent une défense robuste contre les techniques d’injection utilisées dans cette campagne.

Contexte élargi : la recrudescence des campagnes Magecart en 2025-2026

Un paysage de menaces en constante évolution

La vulnérabilité Funnel Builder ne constitue pas un incident isolé. Les researchers de Sansec ont observé ces derniers mois une intensification notable des campagnes de type Magecart ciblant les plateformes e-commerce vulnérables. Ces attaques, qui tirent leur nom du groupe originel de skimming de données.payment, sont devenues levecteur privilégié des cybercriminels pour voler des informations financières à grande échelle.

Cette tendance s’explique notamment par la difficulté croissante pour les attaquants à compromettre directement les systèmes de paiement des grandes institutions financières. Les plateformes e-commerce, souvent gérées par des équipes aux ressources limitées et utilisant des stacks technologiques heterogènes, présentent une surface d’attaque considérable et souvent insuffisamment sécurisée.

Les attaques Joomla : un autre front de la menace

Les révélations concernant Funnel Builder interviennent quelques semaines après que l’équipe de recherche de Sucuri ait documenté une campagne distincte ciblant les sites Joomla. Dans ce cas, les attaquants ont déployé du code PHP heavily obfuscated permettant de contacter des serveurs de commande et de contrôle attacker-controlled.

« Le script agit comme un chargeur distant », a expliqué la recherchrice Puja Srivastava. « Il contacte un serveur externe, envoie des informations concernant le site web infecté et attend des instructions. La réponse du serveur distant détermine quel contenu le site compromis doit afficher. »

Cette approche, similaire dans sa philosophie au mécanisme de chargeur utilisé dans la campagne Funnel Builder, permet aux attaquants de modifier dynamiquement le comportement des sites compromis sans avoir à réécrire le code malveillant local. Ils peuvent ainsi injecter des liens spam vers des produits, rediriger les visiteurs ou afficher des pages malveillantes en fonction de leurs objectifs du moment.

L’objectif ultime de ces campagnes est de exploiter la réputation des sites web compromis pour propager du spam et des contenus frauduleux, tout en maintenant un accès persistant à l’infrastructure hackée.

Conclusion : agir maintenant pour protéger votre activité e-commerce

La vulnérabilité Funnel Builder illustre avec acuité l’importance capitale de maintenir une posture de sécurité proactive dans l’écosystème e-commerce. Avec plus de 40 000 boutiques potentiellement exposées et une exploitation active confirmée par les experts de Sansec, chaque minute compte pour les propriétaire de sites WooCommerce utilisant ce plugin.

La mise à jour vers la version 3.15.0.3 et la vérification des paramètres External Scripts constituent les actions les plus urgentes. Toutefois, cette incident doit servir de rappel pour repenser globalement votre approche de la sécurité WordPress : audit réguliers des extensions tierces, politique de mises à jour rigoureuse, surveillance des logs et protection applicative sont autant de mesures qui font la différence entre une exploitation détectée précocement et une compromission silencieuse de plusieurs mois.

Le paysage des cybermenaces e-commerce évolue rapidement. Les attaquants affinment constamment leurs techniques pour échapper à la détection et maximiser l’impact de leurs opérations. Pour les commerçants français, la sécurité de leurs plateformes de paiement n’est plus une option - c’est une obligation légale, financière et éthique. La protection des données de vos clients est la base de la confiance qui fait fonctionner le commerce en ligne. Cette réalité touche d’ailleurs l’ensemble de l’écosystème web, comme l’illustrent les compromissions ciblant des plateformes de contenu diverses.

Les attaquants ne cherchent plus simplement à voler des données : ils cherchent à maintenir un accès persistant, à adapter leurs outils à distance et à exploiter la réputation de sites légitimes pour des opérations frauduleuses. La détection précoce et la réponse rapide sont vos meilleures armes. - Conclusion des researchers de Sansec