Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость POS-терминалов SAP позволяет менять цены на продукты

Уязвимость в сервере SAP PSXpress была обнаружена исследователями из ERPScan. Эта брешь может позволить злоумышленнику управлять сервером и менять файлы конфигурации POS-терминалов SAP, благодаря этому хакер может собирать данные платежных карт, изменять цены и отправлять эти данные на свой сервер.

POS-терминалы SAP розничные торговцы используют для онлайн-продажи продуктов, устанавливая их в магазинах. Через POS-терминал клиент подключается к серверу, получает все подробности о цене продукта и способах оплаты, а затем передает информацию платежной карты соответствующему банку.

Информация о вышеупомянутой уязвимости была передана ERPScan в SAP в апреле 2017 года, ее удалось устранить, о чем свидетельствуют SAP Security Note 2476601 и SAP Security Note 2520064.

По мнению исследователей безопасности, серверы SAP не выполняют никакой аутентификации, когда поступает запрос, это означает, что каждый может менять файлы конфигурации, которые отвечают за регулирование цен и способы оплаты. Злоумышленник может установить снифферы для сбора платежных данных и информации о картах. Если POS-сервер подключен к интернету, атака может быть легко выполнена из удаленного места. Если доступа к сети нет, злоумышленник должен физически присутствовать в магазине, где установлен терминал, тогда он сможет подключить специальное устройство, которое запустит вредоносный код. Такое устройство Rasberry Pi стоит около 25 долларов США.

Также эксперты считают, что найти открытые порты довольно просто - по мере запуска вредоносного кода на сервер загружается файл конфигурации с измененной ценой, сервер POS перезагружается, на осуществление этой атаки обычно требуется всего секунда.

Уязвимость может стать причиной серьезных финансовых потерь. Для демонстрации наличия уязвимости исследователи изменили цену дорогого MacBook Pro на 1 доллар. Это грубый пример, который позволит быстро вычислить наличие вредоносной программы, скорее всего, хакеры будут снижать цены более продумано - на 20% или 50%, чтобы избежать подозрения.

Эксперты настоятельно рекомендуют установить патчи SAP, чтобы избежать серьезных проблем с безопасностью.

Подпишитесь на новости

Цифровой рубль без ажиотажа: за два месяца открыли 300 тыс. кошельков

За два месяца массового внедрения цифрового рубля в России открыли чуть больше 300 тысяч кошельков. К 1 ноября счета появились почти у 290 тысяч граждан и менее чем у 16 тысяч юридических лиц. Новая форма денег доступна, но очереди желающих переложить в неё привычные рубли пока не наблюдается.

Такие данные Банк России предоставил «Известиям». За сентябрь и октябрь на платформе прошло 235 тысяч операций.

Доминируют в этой статистике пополнения счетов, также пользователи оплачивали товары и услуги, переводили деньги друг другу и платили налоги.

Темп открытия счетов снизился: в сентябре их появлялось около 7 тысяч в день, в октябре — около 3 тысяч. Опрошенные изданием эксперты считают, что интерес пока во многом связан с любопытством.

Экономических приманок немного: проценты на остаток не начисляются, привычного банковского кешбэка нет.

Массовый запуск начался 1 сентября. Кошелёк открывается на платформе ЦБ через приложение подключённого банка, пользоваться цифровыми рублями граждане могут по желанию. Пополнять счёт со своих банковских счетов можно на сумму до 300 тысяч рублей в месяц.

Подстегнуть интерес, по мнению экспертов, способны смарт-контракты и платежи без интернета. Но офлайн-оплата пока находится на стадии прототипа. Но зачем человеку менять уже работающий способ оплаты на новый? Одной цифровой новизны для этого маловато.

RSS: Новости на портале Anti-Malware.ru