Миллионы PoS-терминалов уязвимы к краже данных банковских карт

Миллионы PoS-терминалов уязвимы к краже данных банковских карт

Миллионы PoS-терминалов уязвимы к краже данных банковских карт

В платежных терминалах двух крупнейших производителей — Verifone и Ingenico — выявлены множественные уязвимости, облегчающие кражу банковских реквизитов. Обновления, устраняющие проблемы, уже вышли; их следует получить и установить, направив запрос вендору, банку или сервис-провайдеру.

Уязвимости обнаружила команда экспертов Positive Technologies. Масштабное исследование было запущено два года назад; его результаты были представлены на только что завершившейся конференции Black Hat Europe, которая в этом году проводилась как сугубо виртуальное мероприятие.

В PoS-терминалах Telium 2 производства Ingenico исследователи обнаружили десять уязвимостей разной степени угрозы; самая опасная из них, CVE-2018-17773, получила 8,3 балла по шкале CVSS. Она вызвана некорректной реализацией протокола NTPT3, провоцирующей появление ошибки переполнения буфера. Злоумышленник может использовать эту ситуацию для получения максимальных привилегий в системе.

Остальные уязвимости в Telium 2 связаны с наличием вшитого в код пароля, возможностью обхода ограничений на чтение файлов, выполнения произвольного кода. Эксплуатация большинства из них, по словам экспертов, требует наличия физического доступа к устройству. Некоторые бреши можно использовать удаленно, а в связке все они позволяют получить полный контроль над устройством. Патчи включены в состав обновления Telium 2 SDK v9.32.03 patch N.

В кассовых терминалах Verifone найдено восемь уязвимостей; самая опасная из них (CVE-2019-14711) оценена в 8,8 балла по CVSS. Она вызвана ошибкой состояния гонки и позволяет обойти контроль доступа на основе ролевой модели (Role Based Access Control, RBAC). Остальные проблемы связаны с наличием вшитых паролей, ошибками переполнения буфера, возможностью повышения привилегий, обхода шифрования, внедрения вредоносного кода.

В последнем случае атака возможна лишь при наличии физического доступа к устройству — злоумышленнику придется подключиться к терминалу по USB, чтобы установить анализатор-сниффер для отбора нужной информации. Такая операция, по оценке экспертов, потребует от пяти до десяти минут.

Обнаруженные уязвимости актуальны для устройств Verifone серий MX, VX и UX. Комментируя свои находки для Forbes, исследователи представили доказательство возможности полной компрометации PoS-терминала:

 

По оценке экспертов, найденные ими уязвимости затрагивают миллионы платежных терминалов. Согласно внутренней статистике, Verifone ведет деловые операции более чем в 150 странах. Ее PoS-системы ежегодно обрабатывают 7,6 млрд транзакций. Другой лидер рынка, Ingenico, ежегодно производит более 12 млн PoS-устройств; в настоящее время пользовательская база компании охватывает свыше 40 млн установок. Услугами Ingenico пользуются 160 тыс. торгово-сервисных предприятий и более 1 тыс. банков-эквайеров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники воруют данные через поддельные WhatsApp-чаты для пенсионеров

Злоумышленники начали использовать поддельные чаты в WhatsApp (принадлежит признанной в России экстремистской организации и запрещенной корпорации Meta) для кражи персональных данных. Такие чаты якобы создаются для бывших сотрудников организаций.

О новой схеме мошенников РИА Новости сообщил директор продукта «Защитник» МТС Андрей Бийчук. По его словам, основной целью преступников становятся пенсионеры.

Мошенники создают фальшивые чаты, куда добавляют реальные имена действующих или бывших сотрудников, чтобы вызвать доверие у потенциальной жертвы. Затем в чате появляется «руководитель», который сообщает о техническом сбое и потере базы данных работников.

Якобы из-за этого могут возникнуть проблемы с начислением пенсии или стаж не будет засчитан. Для восстановления предлагается отправить пакет документов: паспортные данные, СНИЛС, дипломы, номер договора и другие личные сведения.

В отдельных случаях аферисты пытаются убедить жертву подтвердить данные через портал Госуслуг. Для этого они требуют доступ к учетной записи.

«Особенно уязвимы люди старшего возраста. Это типичная схема хищения персональных данных. Получив их, злоумышленники могут оформить кредиты на имя жертвы, получить доступ к банковским счетам или перепродать сведения на теневых рынках», — предупредил Андрей Бийчук.

Напомним, в начале лета УБК МВД фиксировало распространение похожей схемы, нацеленной в первую очередь на сотрудников медицинских и образовательных учреждений.

Кроме того, в августе в Санкт-Петербурге мошенники массово распространяли дипфейк с губернатором города. Жителей пытались обмануть, выманивая личные данные под предлогом участия в видеоконференции.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru