image

Creditcardstelende malware in 51 UPS-winkels aangetroffen

donderdag 21 augustus 2014, 11:44 door Redactie, 1 reacties

Transportbedrijf UPS heeft klanten gewaarschuwd dat er in 51 Amerikaanse winkels in 24 staten malware is aangetroffen die mogelijk creditcardgegevens van klanten heeft gestolen. De malware in de UPS Stores was tussen 20 januari en 11 augustus van dit jaar actief op de kassasystemen van de vervoerder.

De meeste systemen raakten echter vanaf 26 maart van dit jaar besmet, aldus een verklaring van UPS. De infectie werd ontdekt dankzij van een waarschuwing van de Amerikaanse overheid, die voor malware waarschuwde die niet door virusscanners zou worden opgemerkt. Na de waarschuwing te hebben ontvangen schakelde UPS een beveiligingsbedrijf in, dat de malware ook op de kassasystemen van de vervoerder aantrof.

De malware zou mogelijk namen, adresgegevens, e-mailadressen en betaalgegevens van klanten hebben gestolen. Volgens UPS zijn er geen aanwijzingen dat er ook met de mogelijk gecompromitteerde gegevens is gefraudeerd. Hoe de infectie kon plaatsvinden laat UPS niet weten. Het bedrijf zegt wel dat het aanvullende maatregelen heeft genomen zodat klanten weer veilig kunnen winkelen.

Reacties (1)
21-08-2014, 16:39 door Anoniem
Het is ook zo ontzettend moeilijk om m.b.v. een firewall te zorgen voor een forced path richting de systemen waar POS apparatuur mee moet kunnen praten.

Indien men dat doet, dan voorkomt men daarmee diefstal via vrijwel alle bekende POS malware, omdat de malware dan niet langer kan praten met een command & control server.

POS apparaten lijken wel de slechtst beveiligde devices op het internet, en het is tijd om de leveranciers van deze apparaten financieel aansprakelijk te stellen voor schade, indien zij niet de moeite nemen om te zorgen voor betere beveiliging.

Waarom moet een POS apparaat bijvoorbeeld kunnen communiceren met systemen in Rusland, Oekraine, of Litouwen ? Of breder gezien, met untrusted hosts, waar dan ook op het internet ?

Het feit dat winkeliers weinig verstand hebben van IT beveiliging ontslaat leveranciers niet van hun verplichting om goed beveiligde apparatuur te leveren.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.