Der Kern des Problems liegt in der Lieferkette von Webinhalten. Angreifer kompromittieren nach Darstellung des Quelltexts einen Drittanbieter, und der schädliche Programmteil gelangt dann über ein Skript auf die Bezahlseite, das dort oft schon seit Monaten eingebunden ist. Neu ist in solchen Fällen nicht die Präsenz des Skripts, sondern dessen verändertes Verhalten.
Nach PCI DSS v4.0.1 sind dafür zwei Kontrollen maßgeblich. Anforderung 6.4.3 verlangt, jedes Skript auf einer Zahlungsseite zu erfassen, zu autorisieren und dessen Integrität nachzuweisen. Anforderung 11.6.1 zielt darauf, Manipulationen an Seiteninhalten und HTTP-Headern zu erkennen, während der Browser sie lädt. Der Quelltext betont, dass eine manuelle Umsetzung über Hunderte von Skripten hinweg kaum skalierbar ist. Daten von Reflectiz zeigen demnach, dass sich ungefähr 30 Prozent der Skripte auf Zahlungsseiten innerhalb eines beliebigen Zwei-Wochen-Zeitraums ändern.
Einen zusätzlichen Fokus legt der Text auf SAQ A. Seit Januar 2025 können Händler die Anforderungen 6.4.3 und 11.6.1 aus SAQ A nur dann ausklammern, wenn sie bestätigen, dass ihre Website nicht anfällig für Skriptangriffe ist. Wer Nutzer vollständig an den Zahlungsabwickler weiterleitet, ist demnach voraussichtlich nicht betroffen. Wird dagegen ein Zahlungs-iFrame eingebettet, kann ein Skript auf der übergeordneten Seite den Checkout noch kapern, bevor die Daten den geschützten Frame erreichen. In diesem Fall muss nachgewiesen werden, dass genau das nicht möglich ist. Der Quelltext verweist dabei ausdrücklich auf PCI SSC FAQ Nr. 1588, die auf dieselben Kontrollen zurückführt.
Im Zentrum des Beitrags steht außerdem eine Bewertung von Reflectiz. Integrity360 Europe, bezeichnet als PCI Qualified Security Assessor und Mitglied der PCI SSC Global Executive Assessor Roundtable, hat die Reflectiz PCI DSS Platform laut Quelltext anhand beider Anforderungen geprüft. Das Ergebnis dieser Prüfung: Die Plattform kann die Compliance wirksam unterstützen.
Der Quelltext beschreibt diese Einschätzung als Urteil eines unabhängigen PCI-Prüfers. Zugleich verweist er auf ein vollständiges Whitepaper von Integrity360 Europe, das beide Anforderungen Zeile für Zeile aufschlüsselt, den Überwachungsablauf erläutert und konkret darlegt, was SAQ A nun von Händlern mit iFrame-Zahlungsseiten verlangt.