Cómo prevenir ciberataques en terminales punto de venta

Los cibercriminales continúan atacando el sistema de punto de venta donde los clientes realizan sus pagos diariamente afectando, así, a minoristas, hoteles y restaurantes. Estas cajas registradoras digitales son normalmente el target de programas maliciosos diseñados para robar los números de las tarjetas de crédito. Los expertos en seguridad, sin embargo, están promoviendo una variedad de estrategias para mantener a las empresas seguras de este tipo de intrusiones.

 En primer lugar, la supervisión. El malware de punto de venta puede atacar de varias maneras. Según John Christly, CISO de Netsurion, a menudo puede involucrarse hackers que difunden código malicioso al romper los servicios de acceso remoto diseñados para mantener los sistemas de procesamiento de pagos. Estos servicios de acceso remoto pueden estar mal configurados con contraseñas adivinables, lo que permite a los hackers entrar y distribuir el malware a cientos o miles de máquinas de punto de venta. A veces, puede pasar por los programas antivirus y, a continuación, extraer furtivamente los datos de pago, a pesar de la presencia de firewalls tradicionales.

"Entonces los hackers pueden enviar los datos robados lentamente, haciendo que parezca tráfico normal", dijo Christly. "Pasarán algunos meses, y quién sabe cuántas tarjetas de crédito habrán sido robadas". Pero para asegurar una mejor detección de todas las amenazas posibles, él aboga por que las empresas vayan más allá de los antivirus y firewalls básicos y hagan uso de herramientas que puedan controlar cualquier actividad inusual en estas máquinas. Estas herramientas se han comercializado generalmente a los minoristas de grandes marcas, pero Netsurion dijo que se las ofrecía a bajo costo a las pequeñas y medianas empresas.

En segundo lugar, la codificación. Según George Rice, director senior  de pagos de HPE Security, aunque los atacantes continúen desarrollando malware cada vez más inteligente, esta codificación maliciosa se vuelve inútil si todo lo que roba son datos encriptados. Por lo general, el malware de punto de venta funciona leyendo los datos de pago en el momento en que la tarjeta se pasa a través de la máquina de venta al por menor. Esto lo hace raspando la memoria RAM de la terminal de punto de venta, donde los datos de pago pueden no estar encriptados. Sin embargo, las empresas son mucho menos vulnerables a cualquier violación de datos si se trasladan a cifrado de extremo a extremo. Eso significa cifrar los datos del cliente durante todo el proceso de pago, incluyendo el momento en que se pasa la tarjeta de crédito.

Y, en tercer lugar, realizar pruebas. "La mayoría de las compañías asumen que cuando compran un sistema de punto de venta, están comprando algo seguro", explica Charles Henderson, jefe de X-Force Red, un equipo de pruebas de seguridad de IBM. “Los compradores también tienden a combinar la seguridad con el cumplimiento de un producto con los estándares de la industria, pero eso no siempre es cierto”, añadió. Para evitar el problema, es importante llevar a cabo pruebas rutinarias del sistema de punto de venta para buscar vulnerabilidades a través de la contratación de especialistas en seguridad.

Negocios como el restaurante de comida rápida Wendy´s, la tienda de ropa Eddie Bauer y el hotel Kimpton, han tenido que denunciar el robo de datos de sus clientes.