هک دستگاه‌های پایانه فروشگاهی و سرقت 25 میلیون دلار

به گزارش کارگروه امنیت سایبربان؛ SAP POS به‌عنوان یکی از فن‌آوری‌های سرویس‌گیرنده متعلق به دستگاه‌های پایانه فروشگاهی است که به‌طور گسترده‌ای 80 درصد از زیرساخت‌های فروشگاهی از آن استفاده می‌کنند. این در حالی است که کارشناسان امنیتی شرکت ERPScan جزییات تحقیق خود را هفته گذشته در اجلاس هک سنگاپور اعلام کردند.

مهاجمان می‌توانند از این آسیب‌پذیری برای سرقت داده‌های کارت مشتری و کنترل کامل اطلاعات سرور استفاده کنند.

مهاجمان می‌توانند تنظیمات جدید Xpress Server را ارائه کرده و با فرستادن دستورات خاص به سرور Xpress به‌طوری‌که یک دستگاه POS را راه‌اندازی مجدد کنند، اعمال می‌شود. سپس دستگاه موردنظر تنظیمات مهاجم را بارگیری و آن‌ها را اعمال می‌کند. این بدان معنی است که بدون هیچ‌گونه احراز هویت امکان دسترسی به امکانات سامانه به مهاجمان داده می‌شود.
این آسیب‌پذیری می‌تواند برای ثبت اطلاعات شماره کارت اعتباری مورد سوءاستفاده قرار گیرد و آن‌ها را مستقیماً به سرور هکر ارسال کند. متأسفانه، مشکلات مشابه ای در بسیاری از سیستم‌های POS با معماری معادل تأثیر می‌گذارد.
تمام آسیب‌های SAP POS در Xpress Server موردتوجه شرکت‌های ارائه‌دهنده این سامانه‌ها قرارگرفته است این در حالی است که شرکت‌ها برای به حداقل رساندن این آسیب‌ها وصله‌های SAP Security Note 2476601 و SAP Security Note 2520064 ارائه کرده‌اند.