正在阅读: 外媒:移动POS存在漏洞 个人信息有暴露风险
科技频道> 网事 > 正文

外媒:移动POS存在漏洞 个人信息有暴露风险

2018-08-13 09:04来源:环球网

  近日,有驻华外媒发表文章称,近年来在中国日常生活中不断出现的在小型便携式信用卡读卡器(通常被称为移动POS机)存在着极大的安全隐患。

  有消息显示,目前,该领域的设备主要由四家公司所提供——Suqare、SumUp、iZettle和PayPal。随着设备的普及,其身上存在的安全漏洞也逐渐显现,在用户进行刷卡交易时,不法分子可以通过这些漏洞盗取你的个人信息,甚至是盗刷你的银行卡。

  来自安全公司Positive Technologies的Leigh-Anne Galloway和Tim Yunusov总共研究了七款移动销售点设备。他们发现的这些设备并不如宣传的那么完美:其中存在的漏洞,能够被他们使用蓝牙或移动应用来操作命令,修改磁条刷卡交易中的支付金额,甚至获得销售点设备的完全遥控。

  “我们面临的一个非常简单的问题是,一个成本不到50美元的设备到底拥有多少安全性?”Galloway说。“考虑到这一点,我们从两个供应商和两款读卡器开始研究,但是它很快发展成为一个更大的项目。”

  所有四家制造商都在解决这个问题,当然,并非所有型号都容易受到这些漏洞的影响。以Square和PayPal为例,漏洞是在一家名为Miura的公司制造的第三方硬件中发现的。研究人员于本周四在黑帽安全会议上公布了他们的发现。

  研究人员发现,他们可以利用蓝牙和移动应用连接到设备的漏洞来拦截交易或修改命令。这些漏洞可能允许攻击者禁用基于芯片的交易,迫使顾客使用不太安全的磁条刷卡,使得更容易窃取数据和克隆客户卡。

  此外,流氓商家可以让mPOS设备看起来是被拒绝交易一样,从而让用户重复多次刷卡,或者将磁条交易的总额更改为5万美元的上线。通过拦截流量并秘密修改付款的数值,攻击者可能会让客户批准一项看起来正常的交易,但这项交易的金额会高得多。在这些类型的欺诈中,客户依靠他们的银行和信用卡发行商来保障他们的损失,但是磁条卡是一个过时的协议,继续使用它的企业现在需要承担责任。

  研究人员还报告了固件验证和降级方面的问题,这些问题可能允许攻击者安装旧的或受污染的固件版本,进一步暴露器件。

  研究人员发现,在Miura M010读卡器中,他们可以利用连接漏洞在读卡器中获得完整的远程代码执行和文件系统访问权。Galloway指出,第三方攻击者可能特别希望使用此控件将PIN码的模式从加密更改为明文,即“命令模式”,从而用于观察和收集客户PIN码。

  研究人员评估了美国和欧洲地区使用的账户和设备,因为它们在每个地方的配置有所不同。虽然研究人员测试的所有终端都包含一些漏洞,但最糟糕的只限于其中几个而已。

  “Miura M010读卡器是第三方信用卡芯片读卡器,我们最初提供它作为权宜之计,现在只有几百个Square卖家使用。当我们察觉到存在一个影响Miura读卡器的漏洞时,我们加快了现有计划,放弃了对M010读卡器的支持,”一位Square发言人表示。“今天,在Square生态系统中不再可能使用Miura读卡器了。”

  “SumUp可以证实,从未有人试图通过其终端使用本报告概述的基于磁条的方法进行欺诈,”一位SumUp发言人表示。“尽管如此,研究人员一联系我们,我们的团队就成功地排除了将来出现这种欺诈企图的可能性。”

  “我们认识到研究人员和我们的用户社区在帮助保持PayPal安全方面发挥的重要作用,”一位发言人在一份声明中表示。“PayPal的系统没有受到影响,我们的团队已经解决了这些问题。”

  iZettle没有回复评论请求,但是研究人员表示,该公司也在修复这些漏洞。

  Galloway和Yunusov对供应商的积极回应感到满意。然而,他们希望,他们的发现将提高人们对将安全性作为低成本嵌入式设备发展优先事项这一更广泛问题的认识。

  “我们在这个市场基础上看到的问题可以更广泛地应用于物联网,”Galloway说。“像读卡器这样的东西,作为消费者或企业所有者,你会对某种程度的安全性有所期待。但是其中许多公司存在的时间并没有那么长,产品本身也不太成熟。安全性不一定会嵌入到开发过程中。”樊俊卿

[责编:赵清建]

阅读剩余全文(

相关阅读

您此时的心情

新闻表情排行 /
  • 开心
     
    0
  • 难过
     
    0
  • 点赞
     
    0
  • 飘过
     
    0

视觉焦点

  • 北京世园会园区建设基本成形

独家策划

推荐阅读
为了帮助用户更好的进行自我管理,10月18日,花呗正式上线了“额度管理”功能,用户可以根据自身实际需求、自主调整自己的花呗额度。如今,不管是餐饮商超、公交地铁,还是医院、教育等民生场景,甚至是家门口的早餐店、水果摊,人们都可以用花呗来解决日常生活所需。
2018-10-19 08:51
这次亚马逊的案例就让人认识到原来即便在倡导了几百年男女平权的西方社会,性别歧视问题依然如此严峻。提高算法问责的意识并将之纳入人工智能发展规划和顶层设计,确为人工智能长远发展并造福于人的必要举措。
2018-10-19 08:51
积极承担地方扶贫任务,大力推进对口支援与定点扶贫工作,全力以赴助力贫困地区脱贫攻坚,努力让贫困地区、贫困群众搭上互联网发展快车。
2018-10-19 08:50
武春风说,我国的“人造月亮”准确表达是一种携带大型空间反射镜的人造空间照明卫星,预计其光照强度最大将是现在月光的8倍。
2018-10-19 08:50
针对上述情况,国家计算机病毒应急处理中心提醒广大手机用户不要下载这些违法有害移动应用,避免手机操作系统受到不必要的安全威胁。建议用户打开手机中防病毒移动应用的“实时监控”功能,对手机操作进行主动防御,这样可以第一时间监控未知病毒的入侵活动。
2018-10-19 08:49
据电子商务研究中心发布《2018年(上)中国跨境电商市场数据监测报告》显示,2018上半年中国跨境进口电商交易规模达1.03万亿元,同比增长19.4%,预计2018全年将达到1.9万亿元。
2018-10-19 08:49
未来,为大家服务的送餐车、送货车、巡逻车和出租车,都可能是无人驾驶的车辆。”  在产业创新方面,北京将推进“国家新能源汽车技术创新中心(国创中心)、国汽(北京)智能网联汽车研究院、自动驾驶和车联网试验验证与示范应用中心”3个创新中心建设。”美团无人配送部负责人说,目前一款小型无人配送车已经在朝阳大悦城做测试。
2018-10-19 08:49
(记者 吴涛)17日深夜,苹果隐私页面迎来重大更新。此次苹果隐私页面称,用户已经安装到设备上的APP,如果需要访问照片、通讯录等个人信息,则需要预先得到用户的许可,而用户可以随时更改这些许可设置。
2018-10-19 08:49
锂离子电池要大规模应用,制造费用偏“贵”,因为要考虑到在线维护以及回收处理的问题、电池的使用寿命问题、系统安全问题,以至整个产业的可持续发展。董衫木介绍了一种“刚柔并济”的设计理念,其中“刚”指的是刚性的聚合物骨架以及刚性的无机颗粒,“柔”指的是柔性的聚合物离子传输材料。
2018-10-19 08:49
对美国众包雇佣数据进行的研究显示,拥有天文学博士学位的女性在找到一份教职前离开该领域的速度比男性同行快3~4倍。Flaherty发现,第三种模型对众包数据作出了最好解释,更具体地说,女性离开劳动力市场的速度比男性快3~4倍。
2018-10-19 08:48
去年,当一颗美式足球场大小的雪茄形天体Oumuamua进入太阳系时,它并非仅仅让人们第一次看到了一块星际岩石。然后,研究人员将这个捕获率乘以一个星际天体在其携带的任何微生物全部死亡之前遇到的恒星数量。
2018-10-19 08:51
恒星诞生于巨大的气体和尘埃云,在其最初阶段,它们被一层薄薄的物质包围着。阿塔卡马大型毫米阵列(ALMA)是智利阿塔卡马沙漠中的一个射电天文台,它使得研究原行星盘更加容易。
2018-10-19 08:51
继彭博新闻社10月9日更新了其所谓的“中国黑客利用间谍芯片攻击美科技公司”的报道之后,业内专家分析认为该事件的真实性越来越离谱。韩银和认为,要应对硬件安全挑战,我国在科研上还应围绕硬件安全组织开展方方面面的研究。
2018-10-19 08:48
一项新研究介绍了一种裸眼探测紫外线辐射(UVR)的低成本、高灵敏度传感器的全新制造方法。澳大利亚墨尔本皇家理工大学的Vipul Bansal和同事设计出一种具有光谱选择性的高灵敏度UV传感器。
2018-10-19 08:48
据媒体报道,嫦娥四号中继星具备了在每秒1000米高速在轨飞行中,速度控制精度误差不大于每秒0.02米的超强本领。叶培建介绍,在第四期任务中,探月四期的主要目标任务包括开展以机器人为代表的月球南北极探测、建立无人的月球科考站。
2018-10-19 08:48
10月18日,2018年全国高性能计算学术年会(HPC China 2018)在山东青岛举行。榜单的前三名毫无变化,依然分别是部署在国家超级计算无锡中心的“神威·太湖之光”、部署在国家超级计算广州中心的“天河二号”、部署在国家超级计算天津中心的“天河一号A”。
2018-10-19 08:48
”  科学家们争议的焦点,在于一种叫做c-kit的干细胞究竟能不能转化为心肌细胞,进而治疗心肌梗塞。今年4月,中科院生物化学与细胞生物学研究所研究员周斌在《循环》杂志上发表论文,指出成年小鼠发生心肌梗塞后,非心肌细胞不会变成心肌细胞去弥补创伤。
2018-10-19 08:48
玻色—爱因斯坦凝聚可看作是低密度原子气体冷却到接近绝对零度并且坍缩成非常致密的量子态时形成的物质状态。这种状态后来被命名为玻色—爱因斯坦凝聚,也被称为是与气态、液态、固态、等离子态并列的“物质的第五态”。
2018-10-18 09:28
作为地球最近的邻居,月球一直是人类载人航天活动的重要目标之一。杨宇光表示,比照美国最新提出的航天规划就能看出,袴田健的愿望只是不切实际的空想。从月球在航天计划中的定位来看,它绝非人类的“太空家园”,而更适合作为人类前往火星以及更遥远深空的中转站。
2018-10-18 09:28
过去,仅有两架探测器拜访过水星,其中一架是美国国家航空航天局(NASA)的“水星10号”(Mariner 10),在1974年—1975年间,“水星10号”3次飞掠水星,并传回近距离拍摄的水星照片。
2018-10-18 09:28
加载更多