Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость в сервере SAP PSXpress была обнаружена исследователями из ERPScan. Эта брешь может позволить злоумышленнику управлять сервером и менять файлы конфигурации POS-терминалов SAP, благодаря этому хакер может собирать данные платежных карт, изменять цены и отправлять эти данные на свой сервер.

POS-терминалы SAP розничные торговцы используют для онлайн-продажи продуктов, устанавливая их в магазинах. Через POS-терминал клиент подключается к серверу, получает все подробности о цене продукта и способах оплаты, а затем передает информацию платежной карты соответствующему банку.

Информация о вышеупомянутой уязвимости была передана ERPScan в SAP в апреле 2017 года, ее удалось устранить, о чем свидетельствуют SAP Security Note 2476601 и SAP Security Note 2520064.

По мнению исследователей безопасности, серверы SAP не выполняют никакой аутентификации, когда поступает запрос, это означает, что каждый может менять файлы конфигурации, которые отвечают за регулирование цен и способы оплаты. Злоумышленник может установить снифферы для сбора платежных данных и информации о картах. Если POS-сервер подключен к интернету, атака может быть легко выполнена из удаленного места. Если доступа к сети нет, злоумышленник должен физически присутствовать в магазине, где установлен терминал, тогда он сможет подключить специальное устройство, которое запустит вредоносный код. Такое устройство Rasberry Pi стоит около 25 долларов США.

Также эксперты считают, что найти открытые порты довольно просто - по мере запуска вредоносного кода на сервер загружается файл конфигурации с измененной ценой, сервер POS перезагружается, на осуществление этой атаки обычно требуется всего секунда.

Уязвимость может стать причиной серьезных финансовых потерь. Для демонстрации наличия уязвимости исследователи изменили цену дорогого MacBook Pro на 1 доллар. Это грубый пример, который позволит быстро вычислить наличие вредоносной программы, скорее всего, хакеры будут снижать цены более продумано - на 20% или 50%, чтобы избежать подозрения.

Эксперты настоятельно рекомендуют установить патчи SAP, чтобы избежать серьезных проблем с безопасностью.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Сбер готов делиться технологиями автоматического выявления дипфейков

Заместитель Председателя Правления Сбербанка Станислав Кузнецов заявил, что Сбер готов предоставлять свои технологии автоматического выявления дипфейков другим участникам рынка. Об этом он рассказал на форуме «Диалог о фейках 3.0» во время панельной дискуссии «Глобальный диалог: обеспечение цифрового суверенитета в условиях многополярности».

По словам Кузнецова, мир столкнулся с взрывным ростом дипфейков, а технологии их создания стали доступны буквально каждому — сгенерировать видео или аудио можно за несколько секунд и без затрат.

При этом дипфейки всё чаще применяются в мошеннических схемах, включая телефонное мошенничество и кражу денег.

«Если ещё в 2024 году преступники использовали базы данных, то теперь они запускают ИИ-агентов, которые сами находят нужную информацию. В основе таких преступлений — кибермистификация, когда ложь маскируется под правду с помощью технологий», — отметил Кузнецов.

Он подчеркнул, что для эффективной борьбы с дипфейками необходимо решить три ключевые задачи:

  1. Законодательно урегулировать их использование, в том числе признать применение дипфейков отягчающим обстоятельством при совершении преступлений.
  2. Развивать технологии быстрого выявления фейков и не допускать их распространения.
  3. Интегрировать системы распознавания дипфейков в массовые сервисы — смартфоны, ТВ, соцсети, мессенджеры и операторы связи.

Во время дискуссии Кузнецов продемонстрировал, как с помощью современных инструментов можно в реальном времени “надеть” лицо другого человека и заставить его говорить нужные слова. Он подчеркнул, что подобные возможности представляют серьёзную угрозу — от кражи личности до дискредитации публичных фигур.

Россия, по его словам, уже входит в число мировых лидеров по разработке технологий противодействия дипфейкам. В Сбере созданы решения, способные автоматически определять фальсификации в видео и аудио.

«Мы запатентовали собственное решение под рабочим названием Алетейя — в честь богини истины. Сервис позволяет определять дипфейки в любых системах: от телевидения до мессенджеров. И мы готовы делиться этими технологиями с партнёрами», — сказал Кузнецов.

Он добавил, что масштабное внедрение подобных систем может стать переломным моментом в борьбе с распространением дипфейков и повысить доверие к цифровому контенту.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru