POSからクレジット情報が漏れることもある。

POSなど導入する際は、閉じられたネットワークで構成される事が多いので、ウィルス対策やセキュリティ対策はほとんどされない事が多い。

今回の事件は、外部からのハッキングではないけどPOSにもなんらかのセキュリティ対策を施す必要性を感じさせられる事件です。


記事によると

• Barnes&Noble社の9州、63店舗で、POS端末からクレジットカード情報が盗まれる事件があった
• 手口
• POS端末にマルウェアをインストール
• その他
• Barnes&Noble社は9月14日ごろにハッキングに気づいた
• Barnes&Noble社は既に全店舗からPOSを撤去済み
• FBIが捜査している
• カード発行者には連絡し、怪しい口座は停止する処置を取った
• その他の事件
• カナダの事件
• 手口
• 店舗従業員を買収
• 店舗終了後の夜間、店舗から従業員の手引きでPOS端末を回収
• Bluetoothによって遠隔からカード情報を盗み出せるようにした
• 店舗再開前に、POS端末を店舗に戻した
• 目的
• 取得したクレジットカード情報は別のクレジットカードに情報を書き込んで使用する予定だった
• その他
• 犯行グループは2012年5月に逮捕
• オーストラリアやニュージーランド、マレーシア、チュニジア、英国等に共犯者がいた
• 逮捕状は61名に対して出されたが、これまでに47名しか逮捕されていない
• アメリカサブウェイの事件
• 150店舗で、8万件の顧客のクジレットカード情報が盗まれ、数百万ドルの被害が出た
• オーストラリアの事件
• 50万件のクレジットカード情報が流出した

という事らしい。

最近はリアルタイムに売上を分析する為にWebに情報を送るPOSが増えている。

その際、通信費を抑える為に一般回線を使用して情報を送っている場合もある。

ルータで通信先を限定していれば、問題ないが普通にインターネットも使用できるようにしていた場合、ウィルスに感染すると情報が漏れる可能性が高い。

また、POS内部でクレジットカード情報を暗号化されていない場合は、店舗・本部・システム会社などが目に出来る可能性があるので危険性が高まる。

店舗の従業員やシステム会社のSEやハードのメンテナンスの会社などが悪さを行おうとすると対策が面倒になるので、モラルの教育やログの採取、暗号化など最低限のことは行っておこう。

記事
世界各地で連続被害、クレジットカードPOS端末 WIRED