Платежные системы

Терминальные эпидемии

О вирусах в настольных компьютерах и мобильных устройствах знают все. Многие даже знают, как от них защититься. Но вредоносные программы могут таиться там, где их не ждут, например в кассовых аппаратах магазина.
419 1

О вирусах в настольных компьютерах и мобильных устройствах знают все. Многие даже знают, как от них защититься. Но вредоносные программы могут таиться там, где их не ждут, например в кассовых аппаратах магазина. Портал Банки.ру разбирался, чем опасны зараженные POS-терминалы и как защититься от этой угрозы.

В октябре этого года компания Group-IB опубликовала свой ежегодный отчет о тенденциях развития киберпреступлений. В нем особое внимание уделено сегменту атак на POS-терминалы, который, по данным авторов исследования, развивается очень быстрыми темпами. Как считают аналитики Group-IB, атаки на терминалы проводятся двумя методами: с помощью заражения троянцами и путем подмены POS-терминалов.

Кассовые аппараты бывают разные: от самых простых (автономных контрольно-кассовых машин) до современных POS-терминалов, которые обладают наиболее широкими возможностями. Но широкие возможности, как это часто бывает, сопровождаются уязвимостью перед угрозами.

Долгое время специалисты недооценивали угрозу заражения POS-терминалов. Однако взлом сети крупнейшего американского ретейлера Target, обнаруженный в декабре 2013 года, все изменил. Как оказалось, в POS-терминалах магазинов Target около трех недель «паслась» вредоносная программа, выкрадывающая данные карт, которыми расплачивались клиенты. По признанию компании, всего за этот срок было скомпрометировано 40 млн карт. 

Следующий скандал разразился в сентябре 2014 года. Американская торговая сеть Home Depot распространила заявление, что POS-терминалы компании были заражены специализированным троянцем на протяжении четырех месяцев. В этот раз в подпольные кардерские магазины утекли данные 56 млн карт. И это было лишь началом грандиозной киберграбительской кампании KAPTOXA, в ходе которой, по оценкам экспертов, были украдены данные карт едва ли не каждого жителя США.

Афера с подменными терминалами начинается с подготовки специальной микропрограммы (прошивки) для POS-терминала популярной модели. Подготовленный терминал продается кардеру, который устраивается на должность кассира в магазин, использующий такие же аппараты. Стоит терминал с «хитрой» прошивкой достаточно недорого, порядка 15–20 тыс. рублей, что по карману даже начинающему кардеру.

Злоумышленник меняет терминал на очень похожий свой и спокойно работает: принимает деньги и карты, сдает кассу... На вид – никакого криминала. При этом его POS-терминал не просто транслирует данные карты при оплате, но и бережно сохраняет все данные карт клиентов, необходимые для изготовления копии: дамп содержимого магнитной полосы и ПИН-код. Собранные данные злоумышленник извлекает из устройства с помощью своего же рабочего компьютера и отправляет в кардерский магазин, на продажу.

Второй способ – кража данных посредством троянской программы – более затратен, зато безопаснее (кардерам нет необходимости «светиться») и несравнимо эффективнее. Схема основана на том, что POS-терминалам необходим доступ к Интернету для связи с банком. Чтобы провернуть эту операцию, нужно три инструмента: сканер портов (для обнаружения уязвимых POS-терминалов), набор эксплойтов, позволяющий заражать компьютеры через Интернет, и собственно POS-троянец. Стоимость этого комплекта уже выше и составляет несколько тысяч долларов. Но эти затраты окупаются с лихвой.

Есть и более бюджетный вариант хакерского набора – можно исключить из него недешевый набор эксплойтов, а заражение производить вручную, отправляя на электронные адреса торговых организаций вредоносный спам, содержащий троянец-загрузчик. Троянец, проникнув в сеть атакуемой организации, найдет POS-терминалы и «поселит» там POS-троянца.

Разумеется, POS-терминал шифрует платежные данные, включая ПИН-код, перед отправкой в банк. Однако чтобы что-то зашифровать, надо сначала это что-то загрузить в память. POS-троянец, работающий в фоновом режиме, постоянно сканирует память компьютера. Обнаружив готовые к шифрованию платежные данные, он сохраняет их в отдельной области памяти или на жестком диске компьютера. А затем передает на сервер злоумышленника в форме запроса HTTP POST или даже просто по электронной почте.

Оба этих метода кражи данных карт заканчиваются продажей украденных дампов и ПИН-кодов через кардерский интернет-магазин. Покупатель, расположенный практически всегда в другой стране, записывает приобретенные данные на белый пластик (чистые карты с магнитной полосой) и снимает деньги через банкомат.

Такая схема, заметим, может работать лишь для карт, не оснащенных EMV-чипом, причем не только потому, что кардеры не умеют копировать чипы. При выполнении оплаты с помощью чипа все платежные данные шифруются непосредственно в чипе и в POS-терминал попадают уже зашифрованными. Красть такие данные бесполезно: ни троянец, ни самый хитрый подложный терминал ничем кардеру не поможет.

Именно поэтому в России, где большинство карт оснащены чипом, это явление не носит массового характера, до США нам в этом отношении далеко. Однако и у нас такие инциденты исчисляются сотнями. Ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Голованов рассказал порталу Банки.ру, что «за 2015 год на территории России было зафиксировано 440 попыток заражения вредоносными программами, нацеленными на кражу данных с POS-терминалов. Всего в мире подобных попыток было 11 512. Эти цифры говорят о непопулярности данной атаки на территории России в связи с массовым распространением карт с EMV-чипами, против которых такие программы бессильны».

Начать дискуссию

4 признака, которые говорят, что пора автоматизировать бизнес

Чаще всего собственники и руководители замечают, когда в бизнесе что-то идет не так. Но так как они погружены в решение оперативных задач, то не сразу могут увидеть, что многие вопросы можно решить с помощью автоматизации. В итоге менеджмент борется с симптомами, а проблема остается. Разбираемся, какие признаки говорят о том, что вам пора автоматизировать бизнес.

4 признака, которые говорят, что пора автоматизировать бизнес
5

Курсы повышения
квалификации

18
Официальное удостоверение с занесением в госреестр Рособрнадзора

В судах на 60% выросло число дел о применении искусственного интеллекта

Большинство споров связаны с использованием технологии искусственного интеллекта для взыскания долгов, с проблемами по грантам и договорам на разработку IT-продуктов на базе ИИ.

7

Как сделать возврат или зачет суммы излишне уплаченного налога в 2024: новая форма заявления 

Суммы налогов, которые излишне уплачены в составе ЕНП, по сути переплата в бюджет, они образуют на ЕНС положительного сальдо. Такую переплату можно вернуть на расчетный счет или зачесть в счет будущей задолженности, которая будет сформирована. 

Как сделать возврат или зачет суммы излишне уплаченного налога в 2024: новая форма заявления 
35
Лучшие спикеры, новый каждый день

Директора подразделения «Росатома» арестовали за взятку

Топ-менеджера структурного подразделения ГК «Росатом» заключили под стражу до 26 мая 2024 года. Его подозревают в получении взятки в особо крупном размере.

41

Фиктивная сотрудница, ничего не делая, за год «заработала» более 500 000 рублей

В Сочи направлено в суд уголовное дело о мошенничестве при трудоустройстве.

95

🧠Пятничный мозгонапрягатель. Снова в школу

Геометрическое задание на школьные знания внимательность. Бухгалтер, справишься?

🧠Пятничный мозгонапрягатель. Снова в школу
17
Опытом делятся эксперты-практики, без воды

Какие выплаты положены работнику при увольнении переводом

Если сотрудник увольняется переводом к другому работодателю, то никаких выходных пособий и компенсаций в ТК за это не предусмотрено.

38

😠 Если ИП на УСН «доходы» закроется в январе 2025 года, его вычет на взносы 1% просто сгорит. Бухгалтеры возмущены

Взносы ИП 1% за 2024 год налог по УСН за 2024 год не уменьшают. Они пойдут на уменьшение налога только за 2025 год. Если конечно там будет, что уменьшать.

43

Центробанк снова продлил ограничения на перевод средств за рубеж

Ограничения на денежные переводы за границу будут действовать еще 6 месяцев — до 30 сентября 2024 года.

40

Как бизнесу снизить налоговую нагрузку: 5 законных способов

Каждая компания хочет получать больше прибыли и платить меньше налогов. Но чтобы сделать это законно, нужно знать, какими способами можно снизить налоговую нагрузку на бизнес. 

Как бизнесу снизить налоговую нагрузку: 5 законных способов
32

ФАС требует от Ozon объяснений по введению сбора в ПВЗ

Представители рынка электронной торговли направили в ФАС жалобу на Ozon, который установил сервисные сборы для владельцев пунктов выдачи заказов.

56

Тонкое искусство управления дедлайнами

Ежедневники, блокноты, календари, заметки в телефоне, стикеры, бумажечки и даже тыльная сторона ладони… Все это — инструменты, которые многие используют для фиксирования важных событий и дат. При таком управлении дедлайнами постоянная спешка, опоздания по срокам и недовольные клиенты — неизменные компаньоны. Далее расскажем, как от них избавиться.

Тонкое искусство управления дедлайнами
45
Миникурсы, текстовые и видеоинструкции для бухгалтеров

Предприниматели оформили рекордное число кредитов с плавающей ставкой

Число кредитов, процентная ставка которых привязана к ключевой, уже выросла почти до 50%. Бизнес уверен, что ЦБ снизит ключевую ставку, а вместе с ней сократятся проценты по займам.

48
УСН

ИП на УСН «доходы» не нужно заявление на зачет взносов 1%

Срок уплаты взносов ИП 1% с дохода свыше 300 тысяч рублей за 2023 год – 01.07.2024. Но можно не тянуть до последнего, а оплатить уже сейчас.

93

Chanel завершает свой бизнес в России

Компания Chanel решила полностью уйти с российского рынка. Ей могут грозить неустойки по договорам аренды, которые оценивают в десятки миллионов рублей.

166

Коротко, для чего нужен финансовый план? Как его создать

В малом бизнесе владелец может учитывать все финансовые движения в уме. Однако когда операции разрастаются, а их отслеживание становится сложным, приходит время заняться финансовым планированием.

Коротко, для чего нужен финансовый план? Как его создать
31
НДФЛ

Оплата вынужденного прогула облагается НДФЛ

Если увольнение сотрудника было признано незаконным и через суд он добился восстановления и оплаты вынужденного прогула, то такая оплата – это облагаемый НДФЛ доход.

47

❗ Компания может попасть на штраф, если при переходе на ЕНС переплату по одному налогу ФНС зачла в счет долга по другому

За неумышленную неуплату налога из-за занижения базы или иного неправильного исчисления предусмотрен штраф 20% от суммы налога (по п. 1 ст. 122 НК).

150

Сколько длится дело по субсидиарке? Что приводит к затягиванию суда

Длительность рассмотрения дела связана с разными факторами. Разберем, что приводит к затягиванию рассмотрения дела в суде

29

Интересные материалы

Объявления об онлайн-продаже табака могут заблокировать без решения суда

Чтобы заблокировать интернет-ресурс с информацией о дистанционной продаже табачной продукции, понадобится больше 3-х месяцев. Власти хотят ввести механизм внесудебной блокировки — такой же, какой сейчас действует в отношении алкоголя.

35