Lỗ hổng bảo mật website thương mại điện tử là những điểm yếu tồn tại trong mã nguồn, cấu hình hệ thống hoặc quy trình vận hành của một website bán hàng trực tuyến. Khi hacker khai thác các điểm yếu này, họ có thể xâm nhập vào hệ thống mà không cần quyền truy cập hợp lệ, từ đó đánh cắp dữ liệu, làm gián đoạn dịch vụ hoặc chiếm quyền kiểm soát toàn bộ nền tảng.
Điểm đặc biệt nguy hiểm là những lỗ hổng này thường không xuất hiện ngay lập tức mà tồn tại âm thầm trong thời gian dài, cho phép kẻ tấn công thu thập dữ liệu liên tục mà không bị phát hiện. Trong môi trường thương mại điện tử, nơi khách hàng nhập thông tin thanh toán mỗi ngày, hậu quả của một lỗ hổng không được vá có thể kéo dài hàng tháng trước khi doanh nghiệp nhận ra vấn đề.
Lỗ hổng bảo mật website thương mại điện tử được phân loại theo nhiều tiêu chí khác nhau, bao gồm lỗ hổng kỹ thuật trong mã nguồn, lỗ hổng do cấu hình sai, lỗ hổng trong quy trình xác thực người dùng và các điểm yếu xuất phát từ thành phần bên thứ ba. Mỗi loại có cơ chế khai thác và mức độ tác động riêng, đòi hỏi chiến lược phòng thủ phù hợp.
Website thương mại điện tử xử lý ba loại dữ liệu nhạy cảm nhất gồm thông tin thẻ thanh toán, danh tính cá nhân và lịch sử giao dịch. Sự kết hợp này tạo ra mục tiêu cực kỳ hấp dẫn cho tội phạm mạng, bởi chỉ cần một cuộc tấn công thành công, kẻ xấu có thể thu về lượng dữ liệu đủ để kiếm lợi trong nhiều tháng hoặc nhiều năm.
Hầu hết doanh nghiệp thương mại điện tử phải đáp ứng tiêu chuẩn bảo mật dữ liệu thẻ thanh toán PCI DSS (Payment Card Industry Data Security Standard). Khi xảy ra vi phạm bảo mật, doanh nghiệp không chỉ đối mặt với thiệt hại trực tiếp mà còn có thể bị phạt theo quy định PCI DSS, mất quyền xử lý thanh toán thẻ, tốn kém chi phí kiện tụng và mất khách hàng vĩnh viễn.
Mức độ nguy hiểm còn nằm ở tốc độ leo thang. Một lỗ hổng nhỏ trong form nhập liệu có thể trở thành cửa ngõ để hacker cài mã độc, từ đó kiểm soát toàn bộ hệ thống backend. Khi đó, chi phí khắc phục và thiệt hại uy tín thương hiệu thường lớn hơn nhiều so với chi phí ngăn chặn từ đầu.
Dựa trên tiêu chuẩn bảo mật toàn cầu OWASP Top 10, dưới đây là 5 lỗ hổng và nguy cơ bảo mật phổ biến nhất, trực tiếp đe dọa đến sự sống còn của các website thương mại điện tử hiện nay:
Injection là nhóm lỗ hổng cho phép kẻ tấn công can thiệp trực tiếp vào kiến trúc dữ liệu của hệ thống bằng cách chèn các tập lệnh trái phép. Trên nền tảng thương mại điện tử, các điểm bị lợi dụng phổ biến nhất bao gồm: biểu mẫu tìm kiếm sản phẩm (Search), trang đăng nhập/đăng ký tài khoản (Login/Register), và các tham số truy vấn trên URL.
Lỗ hổng Injection xảy ra khi ứng dụng web không kiểm tra kỹ các dữ liệu đầu vào từ người dùng trước khi đưa vào các câu lệnh thực thi ở phía máy chủ. Dạng phổ biến nhất là SQL Injection, trong đó kẻ tấn công chèn các đoạn lệnh SQL vào form tìm kiếm, form đăng nhập hoặc tham số URL để thao túng cơ sở dữ liệu mà không cần quyền truy cập hợp lệ.
Injection liên tục xuất hiện trong những vị trí đầu bảng OWASP Top 10 và được ghi nhận là một trong những vectơ tấn công phổ biến nhất nhiều năm liên tiếp. Với website thương mại điện tử, hậu quả có thể bao gồm việc kẻ tấn công đọc toàn bộ bảng dữ liệu khách hàng, xóa đơn hàng, thay đổi giá sản phẩm hoặc chiếm quyền quản trị hệ thống.
Lỗ hổng SQL Injection này cho phép kẻ tấn công thực thi lệnh từ xa qua HTTP và cài thêm mã skimmer để đánh cắp thông tin thẻ tín dụng của người mua hàng mà không bị phát hiện.
Lỗi cấu hình sai (Security Misconfiguration) là dạng lỗ hổng bảo mật phát sinh không phải từ lỗi lập trình mà từ việc hệ thống được triển khai hoặc vận hành không đúng cách. Các biểu hiện phổ biến bao gồm để cổng quản trị mở công khai, sử dụng mật khẩu mặc định, không tắt các dịch vụ không cần thiết, hoặc cấp quyền truy cập quá rộng cho người dùng hệ thống.
Trong môi trường thương mại điện tử, lỗi cấu hình sai thường xuất hiện khi doanh nghiệp triển khai nhanh để kịp mùa kinh doanh cao điểm mà bỏ qua các bước kiểm tra bảo mật. Không cần kỹ năng kỹ thuật cao, kẻ tấn công chỉ cần quét hệ thống bằng các công cụ tự động để tìm ra các cổng mở hoặc dịch vụ không được bảo vệ
Khi khai thác thành công các điểm yếu này, mục tiêu hàng đầu của tin tặc là trích xuất khối lượng lớn dữ liệu nhạy cảm hoặc thâu tóm toàn bộ quyền kiểm soát hạ tầng. Cụ thể, thông qua các cơ sở dữ liệu đám mây (điển hình như AWS S3 Buckets) bị thiết lập quyền truy cập công khai hoặc các cổng quản trị không mã hóa, kẻ tấn công có thể trực tiếp đánh cắp thông tin định danh cá nhân (PII) và lịch sử giao dịch của khách hàng. Nguy hiểm hơn, nếu thâm nhập bằng các tài khoản mặc định có đặc quyền cao, tin tặc hoàn toàn có thể can thiệp vào mã nguồn để cấy mã độc thanh toán trực tuyến (Digital Skimming), thay đổi giao diện website (Defacement), hoặc sử dụng chính máy chủ bị thỏa hiệp làm bàn đạp tấn công (Pivoting) nhằm phát tán mã độc tống tiền (Ransomware) sâu vào hạ tầng mạng nội bộ của doanh nghiệp.
Lỗ hổng xác thực và quản lý phiên (Broken Authentication and Session Management) là nhóm lỗi liên quan đến cách hệ thống xác minh danh tính người dùng và duy trì phiên đăng nhập. Khi cơ chế này có điểm yếu, kẻ tấn công có thể giả mạo phiên đăng nhập hợp lệ, chiếm quyền tài khoản mà không cần biết mật khẩu.
Trên nền tảng thương mại điện tử, kỹ thuật Session Hijacking (chiếm phiên) là một trong những mối đe dọa phổ biến. Hacker đánh cắp cookie phiên của khách hàng đã đăng nhập, sau đó dùng cookie đó để truy cập vào tài khoản, xem thông tin đơn hàng hoặc thực hiện giao dịch trái phép. XSS thường được kết hợp để lấy cookie này từ trình duyệt của nạn nhân.
Một dạng tấn công liên quan là Brute Force và Credential Stuffing, trong đó hacker sử dụng danh sách tài khoản và mật khẩu từ các vụ rò rỉ dữ liệu trước đó để thử đăng nhập hàng loạt. Do nhiều người dùng tái sử dụng mật khẩu trên nhiều dịch vụ khác nhau, tỷ lệ thành công của phương pháp này cao hơn dự kiến.
Khi khai thác thành công các điểm yếu này, rủi ro nghiêm trọng nhất đối với các nền tảng thương mại điện tử là kịch bản chiếm đoạt tài khoản toàn diện (Account Takeover - ATO). Dưới vỏ bọc của một phiên đăng nhập hợp lệ, kẻ tấn công có thể truy cập trái phép vào thông tin định danh cá nhân (PII), trích xuất dữ liệu thẻ thanh toán đã lưu trữ và khởi tạo các giao dịch gian lận. Các cuộc tấn công ATO không chỉ gây thiệt hại tài chính trực tiếp thông qua việc kiểm soát ví điện tử nội bộ, chiếm đoạt điểm thưởng (Loyalty Points) hay lạm dụng hệ thống mã giảm giá mà còn đặt doanh nghiệp trước các rủi ro về tuân thủ (compliance) khi vi phạm các tiêu chuẩn bảo vệ dữ liệu thanh toán, từ đó làm sụt giảm uy tín của thương hiệu trên thị trường.
Lỗ hổng thao túng tham số giá xảy ra khi website thương mại điện tử lưu trữ hoặc truyền giá sản phẩm ở phía client (trình duyệt) thay vì chỉ xử lý phía server. Kẻ tấn công có thể dùng công cụ đơn giản để chỉnh sửa giá trị trong request HTTP trước khi gửi lên máy chủ, từ đó mua hàng với giá thấp hơn thực tế, thậm chí đặt giá âm để nhận hoàn tiền.
Lỗ hổng này được phân loại theo mã CWE-472 (External Control of Assumed-Immutable Web Parameter) trong hệ thống phân loại điểm yếu phần mềm CWE của MITRE. Lỗ hổng thao túng tham số giá thường gặp ở các website xây dựng nhanh hoặc sử dụng template sẵn có mà không rà soát kỹ quy trình xử lý đơn hàng.
Khi khai thác thành công lỗ hổng này, rủi ro trực tiếp và rõ ràng nhất là thiệt hại tài chính do thất thoát doanh thu trên từng giao dịch. Kẻ tấn công có thể hoàn tất quy trình mua sắm với giá trị đơn hàng bị giảm thiểu tối đa hoặc bằng không, gây thâm hụt dòng tiền thực tế của doanh nghiệp trong khi hệ thống vẫn ghi nhận trạng thái thanh toán hợp lệ. Bên cạnh đó, việc thao túng tham số tài chính còn dẫn đến sự sai lệch nghiêm trọng trong dữ liệu đối soát kế toán giữa website thương mại điện tử và các đối tác cổng thanh toán (Payment Gateway), đồng thời làm cạn kiệt lượng hàng tồn kho (Inventory) một cách bất thường, gây xáo trộn trực tiếp đến luồng vận hành và chuỗi cung ứng của doanh nghiệp.
Tấn công skimming là hình thức tội phạm mạng chuyên nhắm vào trang thanh toán của website thương mại điện tử. Kẻ tấn công cài đặt các đoạn mã JavaScript độc hại vào trang checkout, mã này hoạt động âm thầm trong nền, ghi lại thông tin thẻ tín dụng mà khách hàng nhập vào và gửi về máy chủ của hacker mà không có bất kỳ dấu hiệu bất thường nào từ phía người dùng.
Nhóm tấn công dạng này thường được gọi chung là Magecart, theo ghi nhận từ các nhà nghiên cứu bảo mật tại SOCRadar. Phương thức tấn công này có thể hoạt động trong nhiều tuần hoặc nhiều tháng liên tiếp trước khi bị phát hiện, bởi giao diện website trông hoàn toàn bình thường với cả người dùng lẫn chủ doanh nghiệp.
Điển hình vào năm 2018, nhóm hacker Magecart đã chèn vỏn vẹn 22 dòng mã độc JavaScript vào trang thanh toán của hãng hàng không British Airways. Đoạn mã âm thầm hoạt động suốt 15 ngày mà không bị phát hiện, đánh cắp hơn 380.000 thông tin thẻ tín dụng của khách hàng. Hậu quả là hãng này đã bị cơ quan quản lý dữ liệu Anh (ICO) phạt kỷ lục 20 triệu Bảng (khoảng 26 triệu USD).
Mã skimmer thường được cài qua các điểm xâm nhập trước đó như lỗ hổng SQL Injection, lỗ hổng trong thư viện bên thứ ba hoặc thành phần plugin lỗi thời. Phạm vi thiệt hại thực sự chỉ được xác định khi điều tra sau sự cố, lúc đó dữ liệu của hàng nghìn khách hàng đã bị thu thập.
Khi mã độc skimming hoạt động trót lọt, hậu quả nghiêm trọng nhất là sự rò rỉ dữ liệu thanh toán ở quy mô lớn, kéo theo các rủi ro pháp lý và tài chính sâu rộng cho doanh nghiệp. Việc hàng loạt thông tin thẻ tín dụng (Credit Card Data) và dữ liệu định danh cá nhân (PII) bị trích xuất trái phép sẽ đặt tổ chức trước các án phạt tài chính nặng nề. Cùng với đó, doanh nghiệp buộc phải gánh chịu các chi phí khắc phục sự cố không nhỏ bao gồm việc thuê chuyên gia điều tra pháp y kỹ thuật số (Digital Forensics) và xử lý các khiếu nại kiện tụng đồng thời đối diện với sự sụt giảm nghiêm trọng về uy tín thương hiệu cũng như tỷ lệ giữ chân khách hàng trong dài hạn.
Tác động của lỗ hổng bảo mật website thương mại điện tử không chỉ dừng lại ở thiệt hại kỹ thuật mà lan rộng sang tài chính, pháp lý và thương hiệu, thường kéo dài nhiều năm sau sự cố.
Khi website bị xâm phạm, doanh nghiệp phải đối mặt với chi phí ứng phó sự cố, chi phí điều tra pháp y kỹ thuật số, phí phạt từ các tổ chức thẻ thanh toán theo quy định PCI DSS và bồi thường thiệt hại cho khách hàng bị ảnh hưởng. Trong trường hợp nghiêm trọng, doanh nghiệp có thể bị tạm ngừng quyền xử lý thanh toán thẻ, đồng nghĩa với việc doanh thu từ kênh trực tuyến bị đình trệ hoàn toàn.
Theo nghiên cứu trong lĩnh vực bảo mật dữ liệu, khoảng hai phần ba người tiêu dùng không còn tin tưởng một thương hiệu sau khi thương hiệu đó trải qua sự cố rò rỉ dữ liệu. Với thương mại điện tử, nơi niềm tin là yếu tố cốt lõi của quyết định mua hàng, mất niềm tin từ khách hàng đồng nghĩa với mất doanh thu dài hạn.
Khi dữ liệu khách hàng bị lộ, doanh nghiệp có thể phải đối mặt với kiện tụng tập thể từ phía người dùng bị ảnh hưởng và điều tra từ cơ quan quản lý. Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân đặt ra nghĩa vụ bảo vệ dữ liệu người dùng rõ ràng, và vi phạm có thể dẫn đến các chế tài hành chính hoặc hình sự.
Chế tài nghiêm khắc từ Nghị định 356/2025/NĐ-CP: Tại Việt Nam, doanh nghiệp vận hành website TMĐT bắt buộc phải tuân thủ nghiêm ngặt các nghĩa vụ bảo vệ dữ liệu cá nhân của khách hàng. Nếu để xảy ra sự cố rò rỉ dữ liệu do lơ là trong việc vá lỗ hổng bảo mật, doanh nghiệp sẽ bị xử lý nghiêm theo chế tài hành chính hoặc hình sự. Đặc biệt, cơ quan chức năng có quyền áp dụng biện pháp đình chỉ hoạt động xử lý dữ liệu.
Một cuộc tấn công thành công có thể buộc doanh nghiệp phải tạm đóng website để kiểm tra và vá lỗ hổng, gây ra gián đoạn dịch vụ trong giai đoạn nhạy cảm như mùa mua sắm cuối năm hoặc các đợt khuyến mãi lớn. Thiệt hại doanh thu trong những ngày đó thường không thể bù đắp.
Bảo vệ website thương mại điện tử hiệu quả đòi hỏi cách tiếp cận Defense in Depth nhiều lớp bảo vệ kết hợp giữa kỹ thuật, quy trình và con người. Không có giải pháp đơn lẻ nào đủ khả năng bao phủ toàn bộ bề mặt tấn công của một nền tảng bán hàng trực tuyến hiện đại.
Tường lửa ứng dụng web (WAF) là lớp bảo vệ đầu tiên và quan trọng nhất cho mọi website TMĐT. WAF lọc và giám sát toàn bộ lưu lượng HTTP giữa người dùng và máy chủ, phát hiện và chặn các mẫu tấn công phổ biến như SQL Injection, XSS và skimming trước khi chúng chạm đến tầng ứng dụng.
Phiên bản nâng cao là WAAP (Web Application and API Protection), tích hợp thêm khả năng bảo vệ API và ứng dụng di động cùng với cơ chế phát hiện hành vi bất thường dựa trên AI WAF. Với website TMĐT vận hành đồng thời nhiều kênh bán hàng và API thanh toán, WAAP cung cấp lớp bảo vệ toàn diện và phù hợp hơn đáng kể so với WAF truyền thống.
Thực hiện kiểm thử xâm nhập (Penetration Testing) ít nhất một lần mỗi năm hoặc sau mỗi đợt cập nhật lớn. Kiểm thử xâm nhập giúp phát hiện các lỗ hổng tiềm ẩn từ góc nhìn của kẻ tấn công thực sự, bổ sung cho các công cụ quét tự động thông thường.
Song song đó, doanh nghiệp nên thiết lập lịch quét lỗ hổng tự động hằng tuần hoặc hằng tháng trên toàn bộ hệ thống. Các lỗ hổng mới liên tục được phát hiện và công bố, đặc biệt trên các nền tảng mã nguồn mở phổ biến, nên việc quét định kỳ giúp phát hiện sớm trước khi kẻ tấn công khai thác.
Duy trì quy trình vá lỗi (patching) có hệ thống cho toàn bộ phần mềm trong hệ thống, bao gồm nền tảng thương mại điện tử, plugin, thư viện JavaScript và hạ tầng máy chủ. Các thành phần lỗi thời là nguyên nhân phổ biến dẫn đến những vụ tấn công quy mô lớn nhắm vào website bán hàng.
Doanh nghiệp nên xây dựng danh sách kiểm kê (inventory) toàn bộ thành phần phần mềm đang sử dụng, đăng ký nhận cảnh báo bảo mật từ nhà cung cấp và thiết lập quy trình ưu tiên vá lỗi theo mức độ nghiêm trọng. Lỗ hổng được đánh giá nghiêm trọng (Critical) cần được vá trong vòng 24 đến 72 giờ kể từ khi có bản vá chính thức.
Đảm bảo toàn bộ website sử dụng HTTPS với chứng chỉ TLS hợp lệ. Mã hóa dữ liệu trong quá trình truyền tải ngăn chặn các cuộc tấn công Man-in-the-Middle, đồng thời là yêu cầu bắt buộc theo tiêu chuẩn PCI DSS cho mọi website có xử lý thanh toán.
Ngoài mã hóa truyền tải, doanh nghiệp cần đảm bảo dữ liệu thẻ thanh toán được mã hóa ngay cả khi lưu trữ (at-rest encryption). Không bao giờ lưu trữ số CVV, mã PIN hoặc dữ liệu dải từ thẻ sau khi giao dịch hoàn tất, vì điều này vi phạm trực tiếp tiêu chuẩn PCI DSS và tạo ra nguồn dữ liệu giá trị cho kẻ tấn công nếu hệ thống bị xâm phạm.
Triển khai xác thực đa yếu tố (MFA) cho toàn bộ tài khoản quản trị và khuyến khích khách hàng bật MFA cho tài khoản mua sắm. MFA loại bỏ phần lớn rủi ro từ các cuộc tấn công Brute Force và Credential Stuffing, vì ngay cả khi mật khẩu bị lộ, kẻ tấn công vẫn không thể truy cập tài khoản mà không có yếu tố xác thực thứ hai.
Về phía quản lý phiên, cài đặt thời gian hết hạn phiên hợp lý, vô hiệu hóa phiên cũ khi người dùng đăng nhập từ thiết bị mới và áp dụng Rate Limit cho endpoint đăng nhập để hạn chế số lần thử trong một khoảng thời gian nhất định.
Xây dựng hệ thống giám sát an ninh mạng 24/7 với khả năng phát hiện bất thường theo thời gian thực. Hệ thống cần theo dõi các chỉ số quan trọng như lưu lượng truy cập bất thường, tỷ lệ lỗi tăng đột ngột, các request đến endpoint nhạy cảm và hành vi scraping từ bot.
Song song đó, đào tạo đội ngũ phát triển về Secure Coding Practices và xây dựng quy trình ứng phó sự cố rõ ràng là những bước không thể bỏ qua. Yếu tố con người thường là khâu yếu nhất trong chuỗi bảo mật, và một nhân viên nhận ra dấu hiệu tấn công sớm có thể ngăn chặn thiệt hại trước khi sự cố lan rộng.
VNETWORK cung cấp giải pháp WAF tích hợp trong nền tảng bảo mật và tăng tốc Web/App/API toàn diện mang tên VNIS (VNETWORK Internet Security). Với website thương mại điện tử, nơi mọi giao dịch thanh toán và dữ liệu khách hàng đều đi qua tầng ứng dụng web, VNIS không chỉ là một AI WAF đơn thuần mà hoạt động theo mô hình bảo vệ hai lớp, giải quyết đồng thời bài toán bảo mật tầng hạ tầng lẫn tầng ứng dụng mà doanh nghiệp TMĐT thường phải triển khai nhiều công cụ riêng lẻ để xử lý.
Để đáp ứng tốt nhất các điều kiện vận hành đặc thù của ngành thương mại điện tử Việt Nam, giải pháp khẳng định giá trị thực tế nhờ sự kết hợp chặt chẽ giữa hạ tầng bản địa và năng lực ứng phó tại chỗ. Hệ thống sở hữu mạng lưới hơn 4.000 máy chủ đặt trực tiếp tại các nhà mạng lớn như Viettel, FPT, VNPT và CMC, giúp loại bỏ hoàn toàn rủi ro định tuyến qua proxy quốc tế vốn là nguyên nhân cốt lõi gây gián đoạn hệ thống vào mùa sale cao điểm hoặc khi có sự cố cáp biển. Song song với nền tảng kỹ thuật, sự hiện diện của đội ngũ trung tâm vận hành an ninh mạng (SOC) ngay trong nước với cam kết phản hồi sự cố bằng tiếng Việt chỉ trong vòng 5 phút chính là điểm tựa an ninh vững chắc mà các nhà cung cấp quốc tế khó có thể tối ưu cho doanh nghiệp nội địa.
Lỗ hổng bảo mật trong website thương mại điện tử không phải là vấn đề kỹ thuật đơn thuần. Đây là rủi ro kinh doanh có thể quyết định sự tồn tại của một doanh nghiệp trong môi trường cạnh tranh số. Nhận diện sớm các điểm yếu phổ biến như Injection, lỗi cấu hình sai, xác thực yếu, thao túng tham số giá và tấn công skimming là bước đầu tiên để xây dựng chiến lược phòng thủ thực sự hiệu quả.
VNETWORK cung cấp hệ sinh thái giải pháp bảo mật toàn diện cho doanh nghiệp thương mại điện tử, từ WAAP ứng dụng AI đến hệ thống giám sát SOC 24/7. Liên hệ đội ngũ chuyên gia của chúng tôi để được tư vấn giải pháp phù hợp với quy mô và đặc thù của doanh nghiệp bạn.
Khó có thể chọn ra một lỗ hổng duy nhất vì mức độ nguy hiểm phụ thuộc vào đặc thù của từng hệ thống. Tuy nhiên, tấn công SQL Injection và skimming (Magecart) được xem là hai mối đe dọa gây thiệt hại trực tiếp và tức thì nhất đối với dữ liệu thanh toán của khách hàng. SQL Injection có thể lộ toàn bộ cơ sở dữ liệu, trong khi skimming âm thầm thu thập thông tin thẻ từng giao dịch mà không để lại dấu hiệu rõ ràng.
Có, thậm chí đặc biệt cần thiết. Hacker thường nhắm vào website quy mô nhỏ hơn vì các nền tảng này thường có nguồn lực bảo mật hạn chế và dễ bị khai thác hơn. Một website nhỏ cũng lưu trữ dữ liệu thẻ thanh toán của khách hàng, và nghĩa vụ pháp lý với PCI DSS áp dụng cho mọi doanh nghiệp xử lý thanh toán thẻ, bất kể quy mô.
Doanh nghiệp nên thực hiện quét lỗ hổng tự động hằng tuần hoặc hằng tháng, đồng thời tiến hành kiểm thử xâm nhập toàn diện ít nhất một lần mỗi năm hoặc ngay sau khi có thay đổi lớn về mã nguồn và cơ sở hạ tầng. Giám sát liên tục 24/7 để phát hiện các dấu hiệu bất thường theo thời gian thực là yêu cầu tối thiểu với mọi website có xử lý thanh toán.
WAF (Web Application Firewall) truyền thống bảo vệ ứng dụng web bằng bộ quy tắc cố định, chủ yếu lọc lưu lượng HTTP theo các mẫu tấn công đã biết. WAAP (Web Application and API Protection) mở rộng khả năng này bằng cách tích hợp AI để phát hiện hành vi bất thường, bảo vệ cả API và ứng dụng di động, đồng thời cập nhật bộ quy tắc liên tục theo các mối đe dọa mới. Với website thương mại điện tử vận hành API thanh toán và ứng dụng di động, WAAP cung cấp lớp bảo vệ toàn diện hơn đáng kể.
Lỗ hổng trong mã nguồn xuất phát từ lỗi lập trình và cần được sửa bằng cách cập nhật code. Lỗi cấu hình sai xuất phát từ việc hệ thống không được thiết lập đúng cách trong quá trình triển khai hoặc vận hành, ví dụ để cổng quản trị mở, dùng mật khẩu mặc định hoặc không tắt dịch vụ không cần thiết. Cả hai đều nguy hiểm nhưng lỗi cấu hình sai thường dễ phát hiện và khắc phục hơn nếu có quy trình kiểm tra định kỳ.