Sistemas NEXTEPun proveedor de soluciones de punto de venta para restaurantes, cafeterías corporativas, casinos, aeropuertos y otros lugares de servicio de alimentos con sede en Troy, Michigan, fue notificado recientemente por las fuerzas del orden que algunas de las ubicaciones de sus clientes se han visto comprometidas en un área potencialmente amplia. -Rango de violación de tarjeta de crédito, ha aprendido KrebsOnSecurity.
La semana pasada, KrebsOnSecurity contactó a Zoup después de escuchar de fuentes de la industria financiera sobre patrones de fraude que indicaban algún tipo de compromiso de tarjeta en muchas ubicaciones de Zoup. CEO de Zoup Eric Ersher refirió las llamadas a NEXTEP, diciendo que NEXTEP fue informado recientemente de un problema de seguridad con sus dispositivos de punto de venta. Ersher dijo que Zoup ejecuta los dispositivos de punto de venta de NEXTEP en toda su cadena de tiendas.
En una declaración enviada por correo electrónico, el presidente de NEXTEP tommy woycik confirmó el relato de Ersher, pero enfatizó que la compañía no cree que todos sus clientes se vean afectados.
“La policía notificó recientemente a NEXTEP que la seguridad de los sistemas en algunas de las ubicaciones de nuestros clientes puede haberse visto comprometida”, escribió Woycik. “NEXTEP inició de inmediato una investigación en cooperación con expertos en seguridad de datos y aplicación de la ley que contratamos para determinar la causa raíz y remediar el problema. Sabemos que esto NO está afectando a todos los clientes de NEXTEP, y hemos estado trabajando con nuestros clientes para garantizar que se resuelva cualquier problema. Esto sigue siendo una investigación en curso con la policía. En esta etapa, no estamos seguros del alcance de la infracción y estamos trabajando día y noche para garantizar una resolución completa”.
Una infracción en un proveedor de punto de venta puede afectar a una gran cantidad de organizaciones e, históricamente, las principales víctimas de las infracciones de los proveedores de POS han sido los establecimientos de servicios de alimentos. El año pasado, un patrón de fraude con tarjetas de crédito en cientos de tiendas de sándwiches Jimmy Johns en todo el país se remonta a las debilidades de seguridad que los estafadores estaban explotando en los sistemas de punto de venta producidos por el proveedor de POS. sistemas de firma inc. Signature luego reveló que la violación también afectó al menos otros 100 restaurantes independientes que utilizan sus productos.
A principios de este año, el proveedor de punto de venta con sede en Denver Aplicaciones avanzadas de gestión de restaurantes (ARMA) revelado que los ataques de malware en sus dispositivos POS expusieron las tarjetas de crédito y débito de varios clientes de sus clientes en Colorado, muchos de ellos restaurantes.
Otra infracción de proveedor de punto de venta descubierta el año pasado por KrebsOnSecurity: la de Sistemas C&K — duró 18 meses y resultó en un fraude de tarjetas para los clientes de unas 330 ubicaciones de Goodwill en todo el país.
No está claro qué hay detrás de la infracción de NEXTEP, pero si tales infracciones anteriores son un indicador de que el incidente puede haber involucrado el robo de credenciales utilizadas para administrar de forma remota los sistemas de punto de venta afectados. En junio de 2014, el proveedor de POS Sistemas de Información y Suministros Inc. notificado (PDF) clientes que una violación de su cuenta Log-Me-In expuso datos de tarjetas de crédito de tiendas que usaron sus sistemas durante casi dos meses el año pasado.
Con el acceso remoto a los dispositivos de punto de venta, los delincuentes pueden cargar software malicioso para robar tarjetas en las terminales de punto de venta. Los datos de la tarjeta robada son bastante valiosos; por lo general, se venden entre $ 20 y $ 100 por tarjeta en tiendas clandestinas de ciberdelincuencia. Los delincuentes pueden codificar los datos de la tarjeta robada en cualquier cosa con una banda magnética y utilizar las tarjetas falsificadas para comprar mercancías de alto valor en las grandes tiendas.
Parece bastante probable que escucharemos sobre infracciones adicionales en los proveedores de POS en las próximas semanas. KrebsOnSecurity se encuentra actualmente en el proceso de rastrear el hilo común detrás de lo que parecen ser proveedores de POS violados vinculados a tres ciudades importantes diferentes en todo el país.
Relacionado:
La empresa de ciberseguridad Imperva revela una infracción – Krebs on Security
Presuntos propietarios de vDOS a punto de ser juzgados – Krebs on Security
Venta forzosa de tarjetas robadas en Target Breach – Krebs on Security
