Oracle MICROS - Point-of-sale system

(Un)sicherheit bei bargeldlosen Zahlungsmitteln

Es ist nicht „nur ein weiterer großer Spieler“, der mit „heruntergelassener Hose“ erwischt wurde. Die gehackten Systeme beinhalten Oracles MICROS Kassensoftware-System, das in mehr als 180 Unternehmen und für 330.000 Kassen weltweit genutzt wird.

Kassensoftware-Systeme (POS – Point-of-sale-Sytems) sind eine Kombination aus Hard- und Software. Das können zum Beispiel die Kartenlesegeräte an der Kasse sein, die sich, sobald Sie die Karte durchziehen, um Ihre Bankdaten beziehungsweise die Begleichung kümmern – also die Systeme, von denen wir denken, dass sie angriffssicher sind. Ja genau, diese jene welche …

Oracles MICROS ist kein Kleingeld

Die Auswirkungen des Oracle-Angriffs sind größer, als ursprünglich gedacht. Es sind nicht nur wie ursprünglich vermutet einige wenige Systeme aus dem Bereich Retail betroffen; die Zahl ist nunmehr auf mehr als 700 gestiegen und beinhaltet auch das Kundendienstportal bei MICROS. Und MICROS ist eines der drei großen POS-Systeme, die weltweit genutzt werden.

Der Hauptverdächtige dieses Hacks ist die russische Gang „Carbanak“, die in den letzten Jahren mehr als 1 Milliarde Dollar gestohlen haben soll. Es wird vermutet, dass ihr mehr als 100 Banken, Händler und Gastgewerbe in mehr als 30 Ländern zum Opfer gefallen sind. Die Geschichte wurde ursprünglich von KebsonSecurity veröffentlicht.

Oracle versucht sich nun in Schadensbegrenzung und teilt seinen Kunden mit, dass sie nicht nur ihre Passwörter ändern sollen, sondern auch die der MICROS Mitarbeiter, die bei ihnen die Systeme vor Ort warten.

POS-Malware steht hinter den großen Kreditkarten-Sicherheitsproblemen der letzten Zeit. Die Schadsoftware wird typischerweise mittels eines gehackten Administrationstools oder direkt von einem betrügerischen „Mitarbeiter“ installiert. Infizierte POS-Geräte sammeln die Daten von den Karten, die bei der Bezahlung genutzt werden und leiten diese Information an die Cyberkriminellen weiter. Die Daten werden dann „monetarisiert“, indem die Kriminellen sich neue Karten mit den gleichen gestohlenen Daten erstellen und damit Geschenkkarten sowie andere Güter kaufen.

Die Konsumenten sind die Leidtragenden, insofern sie nicht auf die betrügerischen Abbuchungen aufmerksam werden.

Für gewöhnlich decken Sicherheitsspezialisten solche Datenschutzverstöße auf, indem sie bestimmte Muster, die auf betrügerischen Aktivitäten innerhalb eines geografischen Gebiets oder auch bei einer bestimmten Einzelhandelskette hinweisen, erkennen. Dabei prüfen sie jede mögliche Verbindung in den einzelnen Geschehnissen. Es ist für sie aber nicht immer möglich, derartige Verbindungen aufzudecken.

Die Suche nach einer fehlenden Verbindung, im Sinne der Online-Kriminalität und nicht der Evolution, bringt uns nun wieder zurück zu den Kunden – zu Ihnen. Sie sollten Ihr Konto auf verdächtige Aktivitäten überprüfen. Je eher Sie diese entdecken und die Bank kontaktieren – umso eher kann auch jedwege kriminelle Aktivität entdeckt und aufgehalten werden.

Dieser Artikel ist auch verfügbar in: Englisch

As a PR Consultant and journalist, Frink has covered IT security issues for a number of security software firms, as well as provided reviews and insight on the beer and automotive industries (but usually not at the same time). Otherwise, he’s known for making a great bowl of popcorn and extraordinary messes in a kitchen.