Raksasa keamanan Symantec menemukan lebih dari 4.800 situs web terkena serangan "form-jacking" ini setiap bulan.
Korban kelas atas dari serangan ini termasuk BA maskapai dan Ticketmaster.
Kelompok-kelompok kejahatan online telah beralih ke serangan-serangan itu ketika teknik-teknik lain yang lebih mapan terbukti semakin tidak menguntungkan, kata Symantec.
'Kode serangan'
"Ini pertanda kita berada di dunia di mana keamanan semakin ketat dan semakin sulit untuk melakukan jenis kegiatan ini," kata Orla Cox, direktur unit respon keamanan Symantec.
Dulunya usaha yang menguntungkan yang melibatkan ransomware dan penambangan mata uang kripto sekarang membuat geng jauh lebih sedikit uang, katanya.
Alih-alih, mereka sekarang memasukkan "kode serangan", baik ketika situs gagal memperbarui perangkat lunak inti untuk menutup celah atau melalui aplikasi pihak ketiga yang tidak aman, seperti aplikasi obrolan, paket analisis, atau tambahan lainnya.
"Ada sederetan kode di sana dan itu cukup bagi penyerang untuk memantau info kartu pembayaran yang dimasukkan dan mereka menyedotnya," katanya.
"Seringkali tidak jelas bahwa situs web telah dikompromikan.
"Dengan mata telanjang semuanya akan terlihat baik-baik saja."
Menghasilkan uang
Tahun lalu, Symantec telah menghentikan lebih dari 3,7 juta serangan bentuk-jacking, kata Ms Cox, menambahkan bahwa angka itu adalah ukuran popularitas mendadak teknik itu.
"Penjahat dunia maya terus menemukan cara baru untuk menghasilkan uang," katanya. "Dan ketika mereka melakukannya, mereka masuk."
Ransomware juga masih banyak digunakan, kata Ms Cox, tetapi praktik back-up yang lebih baik oleh bisnis dan pengguna rumahan berarti lebih sulit bagi penjahat untuk mendapatkan bayaran. Dan infeksi dari ransomware telah turun 20% selama setahun terakhir.
"Dalam banyak kasus orang tidak membayar karena semakin mudah bagi mereka untuk mendapatkan kembali data mereka karena mereka sering memilikinya di awan di suatu tempat," katanya.
