Russische hackers hadden toegang tot Micros-kassasysteem van Oracle

Oracle heeft tegenover beveiligingsonderzoeker Brian Krebs bevestigd dat het kwaadaardige code heeft vastgesteld in bepaalde kassasystemen van Micros. De onderzoeker gaat ervan uit dat dit het werk is van de Russische Carbanak-groep, die gespecialiseerd is in banken.

Krebs schrijft dat hij het incident onderzoekt sinds eind juni, toen hij een tip ontving van een lezer. Volgens zijn bronnen heeft de Russische groep in eerste instantie toegang weten te krijgen tot een enkel systeem van Oracle, waarna deze in staat was om ook andere systemen met malware te besmetten. Onder deze systemen was het ondersteuningsportaal van het Micros-kassasysteem. Dit wordt volgens de onderzoeker op meer dan 330.000 kassa's wereldwijd gebruikt. De omvang van de hack is nog niet duidelijk, op dit moment zou het om meer dan 700 geïnfecteerde systemen gaan.

Via het ondersteuningsportaal kunnen Micros-klanten op afstand problemen oplossen. Door de malware waren de hackers in staat om inloggegevens buit te maken. Oracle heeft zijn klanten dan ook gevraagd om wachtwoorden opnieuw in te stellen. Krebs schat in dat de inloggegevens de criminelen in staat stellen om malware op kassa's te plaatsen, waarmee betaalgegevens gestolen kunnen worden. Hij kwam erachter dat het om de Carbanak-groep gaat, doordat een van zijn bronnen vertelde dat het ondersteuningsportaal in verbinding stond met een server die vaak door de groep wordt gebruikt.

In een brief aan klanten laat Oracle weten dat het interne bedrijfsnetwerk en andere diensten niet zijn getroffen door de hack. Oracle nam Micros Systems in 2014 over voor een bedrag van 5,3 miljard dollar.

Reacties (28)

[StackMySwitchUp]

Het is misschien wat controversieel, maar als consument zou ik dan wel graag willen weten wie gebruik maakt van dit kassasysteem en of ze hun login gegevens al hebben aangepast/hun kassa's gecheckt hebben op malware.

<edit> Geniaal dat ik word downgemod terwijl het totaal relevant is, gezien de reacties (en de scores daarvan) hieronder..

[Reactie gewijzigd door StackMySwitchUp op 27 juli 2024 04:07]

[Blokker_1999]

Als consument heb je geen last van dit virus. Kassasystemen kunnen bijvoorbeeld niet bij de details van betaalkaarten, die krijgen enkel een melding dat een transactie gelukt of mislukt is.

[robbinwehl]

Vaak word vergeten dan Micros ook een PMS systeem is, indien deze functie ook word gebruikt kan de malware dus bij alle persoongegevens van alle gebruikers die staan ingevoerd (denk bijvoorbeeld aan een hotel)

[m4ikel]

Nog niet eens gesproken over de miljoenen kopieën van ID/Paspoorten die Oracle/Micros in haar bezit heeft door OCR functionaliteit in het desbetreffende PMS systeem.

[R4gnax]

Nog niet eens gesproken over de miljoenen kopieën van ID/Paspoorten die Oracle/Micros in haar bezit heeft door OCR functionaliteit in het desbetreffende PMS systeem.

Ik mag hopen dat die niet bij Oracle opgeslagen liggen. Dat zou volgens mij toch wel een paar dozijn privacywetten overtreden.

[Iblies]

Normaliter moet er gebruik worden gemaakt van een vel waarop je rijbewijs/paspoort/id wordt gelegd die de belangrijkste gegevens afdekken.

Klakkeloos kopiëren kan wel maar mag niet zomaar.

[xalvo]

Helemaal met je eens. Als het gaat om privacy, veiligheid van persoonsgegevens (zeker met wat Hotels e.d. allemaal van je registreren, al dan niet toegestaan) heb je zeker een punt.

Je zou dan ook verwachten dat zoals Blokker aangeeft dat kassasystemen niet bij de details van betaalkaarten e.d. kunnen. Op een kassa systeem zoals Micros wordt namelijk gewoonlijk een losse payment terminal aangesloten.

Als je het artikel leest echter staat hierin

schat in dat de inloggegevens de criminelen in staat stellen om malware op kassa's te plaatsen, waarmee betaalgegevens gestolen kunnen worden.

Het lijkt er dus op dat 'onze' verwachting dat Micros geen details van betaalkaarten ziet mogelijk niet daadwerkelijk zo is.

[mr_seeker]

Sommige van die apparaten hebben een kaartlezer ingebouwd, voornamelijk voor het lezen van credit cards en als toegangssysteem (hoef je geen code in te voeren). Aangezien er op de meeste credit cards geen pin zit en je alleen met een krabbeltje kunt betalen, zijn de POS toch niet zo veilig als je denkt...

[Powermage]

In Nederland gebruiken we die functies niet op die manier, dus hier heb je daar geen issues mee, in de USA is dat een ander verhaal.

[Squee]

[edit] Had reactie op @Blokker_1999 moeten zijn

Als consument heb je geen last van dit virus. Kassasystemen kunnen bijvoorbeeld niet bij de details van betaalkaarten, die krijgen enkel een melding dat een transactie gelukt of mislukt is.

Daar zou ik niet heel naief van uit durven gaan. Bij de Target hack waren ook de credit card gegevens (en pincodes!) beschikbaar gekomen door malware op de kassa systemen namelijk:

nieuws: Hackers maakten ook 70 miljoen klantgegevens buit bij winkelketen Target

Daar werd wel heel snel door de Amerikaanse banken op gereageerd overigens (ik woonde op dat moment in de VS en kwam regelmatig bij Target) - ze keken na of je in die periode bij zo'n winkel was geweest en dan werd je credit card extra in de gaten gehouden en zo spoedig mogelijk vervangen.

[Reactie gewijzigd door Squee op 27 juli 2024 04:07]

[marco.heykant]

micros POS en Micros PMS zijn wel twee aparte dingen. Niet alle data wordt geshared met de pos vanuit het pms, want dat is niet nodig en dus onnodig dataverkeer. Over het algemeen alleen een kamernummer en een 'mag dit op de kamer' switch.

[analog_]

De spec is behoorlijk loose in wat mag en wat mag niet. Het is zo dat je in plaintext (sym. crypt is opt.) gewoon bestellingen en acties commandeert, er is geen vorm van identificatie, authenticatie niks, enkel audit logs. Dit is nog vanuit gaande dat je niet buiten de spec gaat werken.

Als je op het netwerk kan inpluggen ben ik er 100% zeker van dat er flinke gaten inzaten. De reden is historisch, dit waren toestellen zoals massage bedden die fysiek met seriële poort waren aangesloten in kamers die simpelweg geport is naar TCP. Complete physical security with extra sauce through obscurity legacy-ware

[robbinwehl]

Het is waar dat pos en pms aparte dingen zijn echter worden deze wel aan elkaar gelinkt dmv een api .
Klant namen en cabin nummers worden meestal over de api gedeeld (tenminste zo word het bij al onze hotel installaties gedaan)
Dit word bijvoorbeeld gebruikt om de klanten bij hun achternaam aan te kunnen spreken of een begroeting op de tv te laten zien met hun naam erbij.

[StackMySwitchUp]

Het feit dat betalingssystemen niet bij de kassa komen is totaal irrelevant, er staan enorm veel klantgegevens in die systemen, op het moment dat men een klantenkaart heeft, of airmiles, o.i.d.

[Verwijderd]

Als je binnen weet te komen dan kan je vaak andere systemen ook besmetten. Veel systemen gaan namelijk uit dat ze op het internet netwerk een 'trust' relatie hebben met andere systemen.

Vaak sturen kassa systemen ook kaart gegevens door naar andere servers, en die informatie kan onderschept worden, op allerlei manieren.

[Lordfox73]

Ik weet toevallig dat La Place op Utrecht CS dit systeem gebruikt (staat namelijk op de pinautomaat). Ik dacht dat dat deel van de horeca op Utrecht CS uitgebaat wordt door HMS Host, dus misschien zijn er meer zaken daar die het gebruiken. En volgens mij doet HMS Host ook op Schiphol de horeca, dus is het niet ondenkbaar dat het systeem daar ook gebruikt wordt. Maar goed, dat is allemaal vanuit het perspectief van de consument, harde informatie kan ik niet geven.

[Verwijderd]

In NL betalen veel mensen met PIN, daar is het risico volgens mij beperkter dan in de VS waar men vaak credit cards gebruikt. Een credit card is feitelijk niets anders dan een nummer.

[TDeK]

Klopt, maar van de andere kant zijn creditcard betalingen terug te draaien, pin (debet) betalingen niet, of veel moeilijker. En vergeet niet dat juist daardoor creditcard maatschappijen veel hebben geïnvesteerd in fraude detectie systemen.

[ShitHappens]

Sterker nog: Heel NS Retail. Ook de zaakjes als Kiosk, Smullers, Broodzaak, Döner zaak waar ik even de naam van kwijt ben en meer.

[chickpoint]

Ik weet in ieder geval dat de Burger King van dit systeem gebruik maakt. Toen ik van de week hier op het station een ijsje ging halen stond het logo van Oracle in vol ornaat op de betaal terminals.

[m4ikel]

Hij kwam erachter dat het om de Carbanak-groep gaat, doordat een van zijn bronnen vertelde dat het ondersteuningsportaal in verbinding stond met een server die vaak door de groep wordt gebruikt.

Ik vind het opvallend dat autheurechten organisaties tot het uiterste gaan om websites/servers te blokkeren (desnoods via DNS/IP) maar dat dit soort groepen rustig hun gang kunnen gaan.

Verschil moet er natuurlijk zijn..

[Accretion]

Wil je daadwerkelijk die discussie hier bij gaan betrekken?

Het is simpelweg een andere organisatie, met een ander doel.
Daarnaast kan een hackers organisatie heel snel wisselen van server.

[cobis taba]

Ja, want het wisselen van server is echt heel lastig...

[Edgarz]

Niet opvallend hoor. Die torrentboys hoppen niet zo vaak van server naar server. Daarvoor is het business model van illegale films of muziek niet lucratief genoeg. Die van criminelen des te meer en je zult verbaasd zijn hoe snel phishing servers na ontdekking geblokkeerd worden.

[Verwijderd]

Lekker betrouwbaar, die artikelen, net als vele andere

[ninasky11]

Onderzoeker gaat ervan uit dat het Russische hackers zijn. Maar het kunnen dus ook Marokkaanse hackers zijn? Of Nederlandse hackers?

[EektheMan]

Nee, het is een trend dat Russische daders blind verdedigd worden door een groep mensen die zich graag laten gebruiken. Klinkt niet enkel triest, maar veroorzaakt helaas ook daadwerkelijke slachtoffers.

Zoals je in artikelen van oa Ars kunt nalezen is het bekend dat de Russische regering deze hackersgroepen beschermd en zelfs ondersteund. In ruil moeten deze groepen de machthebbers helpen. Omdat ze gesteund worden doen ze blijkbaar niet altijd de moeite om zich goed te verbergen.