Дуэт немецких специалистов по ИТ-безопасности утверждает, что им удалось легко взломать систему считывателей кредитных карт, производимых компанией Verifone, одним из крупнейших мировых производителей оборудования для платежной инфраструктуры. Продукты компании Verifone активно используются в розничных сетях для проведения платежей по пластиковым картам.
Сами разработчики системы взлома говорят, что они не проверяли работу своей технологии за пределами Германии и Австрии, но подозревают, что созданный метод будет работать на устройствах, продаваемых по всему миру. В сообщении разработчиков говорится, что только в Германии и Австрии их системе взлома подвержены около 300 000 терминалов Verifone.
Карстен Нол и Томас Рот из компании Security Research Labs говорят, что работали над системой взлома почти полгода и на протяжении всего этого времени поддерживали контакт как с компанией Verifone, а также с германским правительственным ИТ-агентством. Напомним, что в ИТ-мире имя Карстена Нола довольно хорошо известно: ранее он был первым, кто опубликовал публичный алгоритм для взлома системы шифрования A5/1 в стандарте сотовой связи GSM, а также разработал программу Catcher-Catcher, которая позволяла определить, следят ли за абонентским терминалом пользователя по IMSI, сообщает cybersecurity.
В компании Verifone подтвердили наличие проблем в системе безопасности, но заявили, пока у них нет данных о том, что новым методом кто-либо воспользовался на практике. "Пока это в чистом виде лабораторная система. Нет ни одной пострадавшей карты", - заявили в Verifone.
Разработчики на данный момент не обнародуют технических деталей взлома. Однако Нол говорит, что вызвать уязвимость можно традиционным путем: спровоцировать переполнение буфера в программном обеспечении терминала и записать в память устройства программу-считыватель. Потенциально, этот метод позволяет полностью захватить контроль над устройством и контролировать все транзакции. В самом худшем сценарии, говорят разработчики системы, взломанный терминал Verifone будет расположен в торговом зале магазина и потенциальный хакер может за день наловить несколько сотен номеров действующих карт.
В компании Verifone заявляют, что они пока и сами не обладают полной технической информацией и критикуют разработчиков за то, что они охотнее общаются с прессой, нежели с компанией-производителем, помогая последнему устранить уязвимость. Также в компании заявили, что часть транзакционных данных терминалы передают в зашифрованном виде и в зависимости от того, на каком этапе перехватываются данные они могут находиться в большей или меньшей опасности.
