O estudo da Trustwave investigou 220 casos de violações de segurança dados em todo o mundo, em 2010. A grande maioria dos casos teve a ver com deficiências em dispositivos POS.
"Devido a várias vulnerabilidades conhecidas, os sistemas POS continuam a ser o método mais fácil para os criminosos obterem os dados necessários à execução de fraudes com cartões de pagamento”, afirma o Global Trustwave Security Report 2011.
Os dispositivos de POS leem a faixa magnética no verso do cartão, que contém as informações da conta, e as transmitem para o processamento de pagamentos. Apesar de existirem regras obrigatórias de segurança que os programadores devem usar nos dispositivos, como a norma Payment Application Data Security (PADS), a Trustwave diz que "esses controles raramente são implementados de forma adequada".
Leia também: Redes de micros zumbis já movimentam 10 bilhões de dólares por ano
Golpe no Brasil
No Brasil, golpes com máquinas de ponto de venda apoiam-se em técnicas mais simples, como a substituição dos terminais por aparelhos falsos. Ontem, quarta-feira (9/3), a Polícia Civil de São Paulo divulgou detalhes de uma operação de combate a um esquema de clonagem de cartões de débito e crédito.
Segundo informações publicadas nesta quinta-feira (10/3) pelo jornal O Estado de S.Paulo, lojas de pelo menos três shoppings da cidade - Bourbon, Anália Franco e Metrô Tatuapé - utilizavam máquinas instaladas por bandidos, que se passavam por técnicos de manutenção para trocar os equipamentos.
A polícia informou ao jornal que cada informação de cartão era vendida por até 50 reais. As máquinas eram da empresa Redecard - que, "por questões de segurança", preferiu não se manifestar.
Erros de autenticação
Além disso, muitas pequenas empresas dependem de integradores para suportar os dispositivos de POS. Integradores esses com práticas questionáveis de segurança. Em 87% dos casos de violação de privacidade de dados, os integradores tinham cometido erros nos sistemas de autenticação, revela a Trustwave.
"Segundo a nossa experiência, muitos integradores de dispositivos de POS não estão qualificados e não têm as melhores práticas de segurança, deixando os seus clientes vulneráveis a ataques”, diz o estudo.
Os POS são um alvo atraentes para os criminosos, pois a informação a que têm acesso nos cartões é mais completa, segundo a Trustwave.
Por exemplo, um ataque contra um site de comércio eletrônico pode revelar números de cartão de crédito e datas de expiração do cartão. São informações úteis apenas nas chamadas fraude de cartão não presente, como a compra de mercadorias em um site.
Já os dispositivos POS recolhem toda a informação contida da faixa magnética. O que torna possível, por exemplo, clonar o cartão para uso em uma ATM ou em um estabelecimento comercial.
O aumento da conformidade dos seus sistemas com o código de boas práticas Payment Card Industry Data Security Standard (PCI-DSS), criado pela indústria de cartões, pode ajudar a aumentar a segurança do uso dos POS. Ela proíbe, por exemplo, o armazenamento de dados da banda magnética no terminal POS e determina o uso de criptografia na transmissão.
Malware específico
E mesmo assim, há falhas. Em 2010, o estudo da Trustwave também descobriu uma nova tecnologia nociva dirigida a aplicações de POS, capaz de extrair dados cifrados. "O malware específico de POS é o mais sofisticado que temos visto, e semelhante ao das ATMs, detectado em 2009. Exige profundo conhecimento sobre o funcionamento da aplicação POS”, descreve o relatório da Trustwave.
Além disso, apesar de o PCI-DSS já estar bem difundido na América do Norte e na Europa, “outras áreas do mundo estão apensa no início da adoção“, considera a Trustwave. “Por exemplo, a América Latina e a Ásia-Pacífico estão muito aquém de outras áreas do mundo na identificação e reconhecimento de violação de dados, o que afeta negativamente o esforço global para combater o comportamento criminoso.”
Fonte: IDG Now!
Nenhum comentário:
Postar um comentário