Zapłata kartą w terminalu płatniczym nie zawsze jest bezpieczna. Jak zabezpieczyć się przed atakiem na POS?

• Systemy POS
• Jak cyberprzestępcy atakują urządzenia POS
• Jak skutecznie chronić systemy POS
• Polski wynalazek odpowiedzią na zagrożenia

Systemy POS

Systemy POS występują w różnych formach, dobieranych zależnie od potrzeb przedsiębiorstwa związanych z obsługą transakcji sprzedażowych – od prostych terminali płatniczych, po zaawansowane systemy łączące funkcje sprzedażowe i analityczne. Często jest to zwykły terminal do płacenia kartą, ale w przypadku sklepów detalicznych może być to komputer połączony z ekranem dotykowym, bazą danych i kasą fiskalną. Niezależnie od liczby połączonych urządzeń i ich typu, jeden aspekt ich funkcjonowania się nie zmienia – podczas płatności kartą aplikacje POS przetwarzają przypisane do niej informacje i dane osobiste właściciela. Dlatego środowiska point-of-sale stanowią wrażliwy punkt, a z tego powodu wystawione są na cyberzagrożenia. Przechowywane w nich dane mogą być wykorzystane do kradzieży pieniędzy, a także popełnienia poważnych oszustw dotyczących kradzieży tożsamości.

Jak cyberprzestępcy atakują urządzenia POS

– Typowy atak na POS rozpoczyna się od uzyskania przez przestępcę dostępu do systemu ofiary przy wykorzystaniu luki w zabezpieczeniach albo użyciu metod socjotechnicznych. Następnie haker instaluje złośliwe oprogramowanie zaprojektowane do kradzieży danych kart kredytowych z systemów POS i terminali płatniczych. Jeśli jego praca powiedzie się, zebrane informacje przesyłane są do zewnętrznego repozytorium. Co więcej, atak wymierzony w jedno urządzenie może w szybkim tempie rozprzestrzenić się na inne w obrębie tej samej sieci, jeśli taka była intencja cyberprzestępców – tłumaczy Robert Dąbrowski, szef zespołu inżynierów w polskim oddziale Fortinet.

Jak skutecznie chronić systemy POS

Istnieje wiele sposobów, aby zapewnić dobrą ochronę systemowi POS. Wybierając najlepsze praktyki i dostosowane do swoich potrzeb narzędzia, firmy mogą zmaksymalizować swoje szanse na odparcie cyberataków.

Aby skutecznie zabezpieczyć systemy POS, właściciele firm oraz pracujący dla nich specjaliści ds. cyberbezpieczeństwa powinni wprowadzić w życie kilka podstawowych praktyk, stosowanych także w innych cyfrowych rozwiązaniach. Szyfrowanie end-to-end zabezpiecza dane transakcyjne od chwili ich wprowadzenia do systemu POS, aż do momentu dotarcia do banku lub procesora płatności. Uniemożliwia to wyciek informacji nawet w przypadku naruszenia bezpieczeństwa urządzenia POS. Kolejną bardzo ważną metodą ochrony jest uwierzytelnianie dwuskładnikowe, które polega na użyciu dodatkowego sposobu weryfikacji użytkownika podczas logowania. Zazwyczaj jest to dodatkowy kod, wysyłany przez SMS, podawany w aplikacji lub wyświetlany na fizycznym przedmiocie (tokenie), a więc w taki sposób, że dostęp do takiego kodu ma tylko upoważniona osoba. W niektórych urządzeniach POS istnieje także możliwość stworzenia białej listy (white list) zawierającej wyłącznie te aplikacje, które mogą pracować na danym urządzeniu (uruchomienie wszystkich pozostałych zostanie zablokowane).

Jedną z taktyk umożliwiającą zwiększenie poziomu bezpieczeństwa jest korzystanie z oprogramowania POS zainstalowanego na tabletach iPad firmy Apple. Ich system operacyjny (iOS) charakteryzuje się wieloma ograniczeniami związanymi z równoległą obsługą wielu aplikacji w danym momencie, co może skutecznie utrudnić uruchomienie działającego w tle, równocześnie z systemem POS, szkodliwego oprogramowania do wykradania informacji.

– Należy jednak pamiętać, że podstawą i pierwszą linią dobrej ochrony powinna być odpowiednio wyszkolona kadra pracownicza. Pracownicy, którzy nie posiadają odpowiedniej świadomości zagrożeń, są podatni na sztuczki socjotechniczne albo pominięcie wytycznych bezpieczeństwa. Mogą więc potencjalnie ułatwiać przeprowadzenie udanego ataku na system POS, przy którym złodziej nie będzie musiał stosować żadnych wyrafinowanych technik, aby zapewnić sobie sukces. Pracownicy mogą też ukraść lub zgubić urządzenia z zainstalowanym oprogramowaniem point-of-sale, co otwiera możliwość uzyskania dostępu do systemu każdemu, kto je znajdzie – dodaje Robert Dąbrowski.

Scenariusz, w którym to osoba pracująca w danej placówce jest odpowiedzialna bezpośrednio za atak, jest rzadko spotykany, ale możliwy. Dlatego sprzedawcy powinni blokować swoje aplikacje pod koniec każdego dnia oraz w każdej chwili, gdy urządzenie POS nie jest używane. Dodatkowym środkiem ostrożności jest ciągłe monitorowanie zachodzących procesów w systemie. Implementując te praktyki przedsiębiorca zmniejsza ryzyko wynikające z błędu lub sabotażu pracownika.

Polski wynalazek odpowiedzią na zagrożenia

Odpowiedzialność za ochronę punktu sprzedaży stoi przede wszystkim po stronie użytkującego go przedsiębiorstwa. Są jednak sposoby na zwiększenie swojego poziomu bezpieczeństwa przez konsumentów. Niektóre metody płatności są bezpieczniejsze, a jedną z nich jest BLIK.

Transakcje z zastosowaniem tej metody nie wymagają udostępniania żadnych danych systemowi POS – nawet numeru konta bankowego. Dotyczy to zarówno płatności online, jak i tych realizowanych w sklepie. Dzięki temu płatność BLIK-iem stanowi znacznie bezpieczniejszą opcję niż tradycyjna karta kredytowa. Jednakże nawet przy tej formie płacenia trzeba pamiętać o podstawowych środkach bezpieczeństwa. Nie należy udostępniać nikomu swojego kodu BLIK, szczególnie przez internetowe komunikatory. W sytuacji zgubienia telefonu, należy niezwłocznie skontaktować się z bankiem w celu zamrożenia konta.

Aspekty cyberbezpieczeństwa zazwyczaj nie są priorytetem podczas codziennych czynności, szczególnie przy tak powtarzalnych jak płatność kartą. Jednak zagrożenie ze strony cyberprzestępców jest realne, a skutki udanego ataku na punkty sprzedaży mogą być poważne. Fortinet rekomenduje wdrażanie kompleksowych rozwiązań zabezpieczających systemy POS oraz monitorowanie ruchu sieciowego w celu wykrywania anomalii. Udane ataki na urządzenia point-of-sale mogą skutkować poważnymi szkodami finansowymi dla obu stron – firmy i klientów. Dlatego ich zabezpieczenie powinno być traktowane z najwyższą powagą.