POS端末を狙うマルウェア、日本でも確認される 18
ストーリー by hylom
色々と油断できない時代に 部門より
色々と油断できない時代に 部門より
あるAnonymous Coward 曰く、
POS端末を狙うマルウェアは以前からその存在が確認されていたが、このたび日本でもこのようなマルウェアが確認されたという。トレンドマイクロによると、昨年、日本国内の事業者の8つのコンピューターからPOSシステムを狙ったウイルスが見つかったそうだ（NHK）。
なお、トレンドマイクロはPOSシステム向けのセキュリティソフトも提供しているとのこと。
時期 (スコア:2)
去年の話？って思ったら去年って書いてあった。
なにをいまさら？
Re:時期 (スコア:1)
広告？ (スコア:1)
これは記事に見せかけた宣伝ですか？
端に「広告」と入れといてください
Re: (スコア:0)
ソースNHKをカモフラージュにトレンドマイクロが広告！
もしくはNHKが密かにトレンドマイクロに買収された！
もしくはトレンドマイクロに買収されたhylomがAC装いタレこみ＆記事化！
なぜならトレンドマイクロはPOSシステム向けのセキュリティソフトへの
リンクがないこと自体がhylomらし過ぎるからだ！
みたいな？
# そんな遮二無二斜に見なくても
Re:広告？ (スコア:1)
そういえば、今日も金融マルウェア関連の
広告ニュース [nhk.or.jp]をしてたな。NHKとセキュリティー業界の癒着の闇は深い……かもしれない……
Re: (スコア:0)
そりゃあマスコミはCMを通じて大きく影響を受けてるけどさ、
それと本物のCMとは別だから。
その辺の違いが分からんヤツだけがステマステマと騒ぐんだ。
あほくさ。
某スーパーのお話 (スコア:1)
某そこそこ大きい小売店のPOSレジはWindowsXP EmbeddedでPOSサーバはWindows2003などが使われております
建前上はPOSサーバのデータを閲覧できる操作端末は店内に1台限りで専用ソフトにパスワードを入力しないと
データにアクセス出来ないことになっており、パスワードは管理職で無いと知らないことになっています、が
問題1、管理職しか知らないはずのパスワードを多くの店舗で社員どころかパートも知っていることが多い
問題2、そもそもパスワードが端末自体のiniファイルに平文で保存
問題3、パスワード以前にPOSサーバのレシートデータがあるディレクトリが操作端末にフルアクセスでマウント
問題4、レシートデータは平文のプレーンテキストでクレジットカード情報全桁がマスクもされずに記載
問題5、そもそも店内の全ての業務PCからPOSサーバにアクセス可能
問題6、「アクセス」とはsamba、FTP、リモートデスクトップ(しかも管理者権限)である
問題7、POSサーバのユーザー名/パスワードは容易に想像できる組み合わせかつ、どちらの桁数も短い上全店共通
問題8、操作端末、業務PCともに管理者権限で動いているので何でもし放題
問題9、そもそもサーバルームに誰でも入れる、と言うか鍵もかかってないしカメラも無い、店によっては倉庫として使用
マルウェアなんて無くても問題起きそうなんですが、何で今まで問題起きてないのか不思議で仕方が無い
Re:某スーパーのお話 (スコア:1)
この様なお客様まで どこで聞きつけたのか”PCI-DSS” を といってくるのが、なんとも...
Re: (スコア:0)
従業員や顧客や出入り業者など関係者の信頼関係に頼ることができれば、セキュリティにコストを掛けなくて済む。
極限まで原価低減を要求されるような場合、初期費用だけでなく普段の運用コスト(作業効率の低下)が馬鹿にならない。
互いに信頼を築くというのは、長期的に見ると大変効率的な戦略。
まあ顧客データも扱うなら、操作時に共通化したパスワードの代わりに各自のパスワードくらいは入力させて操作履歴を残すとか、不審な操作を管理者に通知させるとか位はあった方がいいとは思うし、クレジットカード情報まで扱うならこれじゃ駄目だね。
普段の作業効率を下げずに、店の売り上げや仕入れの情報くらい漏れてもいいけれど、顧客情報だけは隔離して保護できる、そんなシステムを開発できたらそこそこ売れるかも。
古典的手法 (スコア:0)
水子地蔵とかマッチポンプとか
WindowsXP Embeded? (スコア:0)
これも延長サポートが終わるにあたっての対応をしないといけない状況ですわな。
Re: (スコア:0)
Windows Embedded POSReady 2009なら2019年4月9日までサポートあるよ！ [microsoft.com]
# それより、Win2k Embeddedのライセンス販売が今月末までなのでそちらの方が。
×見つかった ○検知した (スコア:0)
ちょうど日経主催の展示会「リテールテック2015」をやっているので、トレンドマイクロブースで聞いてきてます。
見つかったの場合、すでに感染していて被害は？って話になるわけですが、あくまでPOSを狙うマルウェアが対策ソフトで検知されただけであり、過剰反応ではないかと。
あと、トレンドマイクロもそうですが「意外と知られていない業界の先駆者」マカフィーも相当前からPOS業界向けにホワイトリスト型のセキュリティソフトを販売します。
あと、カード情報漏らすと (スコア:0)
カード発行会社に「
この子はカード情報を漏らしました」ってずっと掲示されるオシオキがあります。例：重要なお知らせ [jcb.co.jp]
アリコカードは割賦販売法改正前なんですが、以降は2010年12月の改正割賦販売法第一段階施行後なので、カード情報漏えいを届け出しなければいけない法的義務が発生しています。
結果としてカード発行会社は重要なお知らせとして掲示し、これが消えません。
Re: (スコア:0)
カード発行会社（イシュア）ではなく、加盟店契約会社（アクワイアラ）では？
#アクワイアラはイシュア業もやっているのでカード発行会社であるのは正しいんだけど、その逆は真ではないからなぁ
Re: (スコア:0)
トロイの木馬型の、ユーザが自分で実行しないと感染しないやつならそれでもいいんですけど。
これがもし何らかの脆弱性を踏み台に自動実行されるマルウェアだったとするなら、
組み込みと思ってマルウェアが対策ソフトを入れてないPOS端末とか普通にあるだろうから被害が出ますよ。
こういうセキュリティベンダの裏の取れない広告的な発表については (スコア:0)
公取あたりで調査して必要があれば規制してほしい
同時に (スコア:0)
> トレンドマイクロはPOSシステム向けのセキュリティソフトも提供しているとのこと。
それと同時にPOSシステム向けのマルウェアも提供しているんでしょ