image

Malware steelt creditcarddata van kassa's Amerikaanse tankstations

vrijdag 13 december 2019, 13:26 door Redactie, 1 reacties

In augustus en september zijn twee Amerikaanse tankstations besmet geraakt met malware die creditcardgegevens van kassasystemen stal, zo laat creditcardmaatschappij Visa weten. In één van deze gevallen kon Visa vaststellen dat de infectie begon met een phishingmail, waardoor de aanvallers toegang tot het netwerk van tankstation kregen. Eenmaal actief verzamelde de malware creditcardgegevens uit het geheugen van het kassasysteem.

Volgens Visa was de datadiefstal mogelijk doordat de tankstations geen EMV-chip accepteerden en zich niet aan de Payment Card Industry Data Security Standard (PCI DSS) hielden, de richtlijn voor betaalkaarttransacties. "Het aanvallen van tankstations is het gevolg van een tragere overstap op chiptechnologie, wat deze partijen een aantrekkelijk doelwit maakt voor criminelen die kassasystemen proberen te infecteren om zo toegang tot betaalkaartgegevens op de magneetstrip te krijgen", aldus Visa.

De creditcardmaatschappij stelt dat de aanvallen het werk zijn van twee groepen die in het verleden vaker op grote schaal creditcardgegevens hebben gestolen door toegang tot de netwerken van winkels en andere bedrijven te krijgen. De gestolen creditcarddata wordt vervolgens weer aan andere criminelen doorverkocht. Visa adviseert tankstations dan ook om op EMV-chiptechnologie over te stappen en te stoppen met het gebruik van magneetstriplezers.

Verder krijgen tankstations het advies om het personeel over phishing voor te lichten, elke beheerder van zijn eigen inloggegevens te voorzien, tweefactorauthenticatie voor remote toegang te verplichten, netwerkverkeer te monitoren en netwerkscheiding toe te passen (pdf).

Reacties (1)
13-12-2019, 14:14 door Anoniem
Volgens Visa was de datadiefstal mogelijk doordat de tankstations geen EMV-chip accepteerden en zich niet aan de Payment Card Industry Data Security Standard (PCI DSS) hielden, de richtlijn voor betaalkaarttransacties.
Die "PCI DSS" is een verzameling "best practices" die onder andere visa zelf verzonnen hebben, dus nogal wiedes dat ze roepen dat je je er aan moet houden en als er iets misgaat en ze kunnen een desnoods versverzonnen puntje aanwijzen waar je je er niet helemaal aan gehouden hebt, dan is het allemaal jouw schuld. Maar dat maakt het nog geen heilige graal.

"Het aanvallen van tankstations is het gevolg van een tragere overstap op chiptechnologie"
Toch leuk dat een tent als visa dat met droge ogen weet te zeggen.

Gezien hun jarenlang vasthouden aan volstrekt onbeveiligbare magneetstrips terwijl elders in de wereld de chip al lang gemeengoed geworden was. Oh, en natuurlijk ook hun beveiligingsmodel, waar het weten van een enkel nummertje al genoeg is om andermans kaart te kunnen gebruiken. Dat ook.

Ze hebben geen ongelijk hoor, maar ze mogen best een beetje minder uit de hoogte doen. Ze hadden in ieder geval veel eerder op die chip kunnen overstappen, want je weet gewoon dat zulke dingen over het hele land uitrollen, ook bij kleine ondernemers die hun geld echt wel beter kunnen investeren dan in alweer een nieuw speelapparaat van een toch al dure kaartaanbieder, dat kost gewoon best enorm veel tijd.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.