Os sistemas de pagamentos (POS) são uma presença constante nas lojas e nos restantes estabelecimentos que visitamos todos os dias. Sem eles éramos obrigados a usar somas de dinheiro bem elevadas, para pagar as nossas despesas.
Mas esses sistemas, que acreditamos estarem seguros e serem à prova de ataques, afinal têm uma falha bastante grave, que permite que os preços sejam alterados ou que sejam roubados dados dos cartões neles usados.
A prova de que estes sistemas estão vulneráveis surgiu pela empresa de segurança ERPScan, que num vídeo publicado no YouTube mostrou como é simples contornar as defesas do sistema SAP POS Xpress Server.
Com um simples equipamento de 40 euros é possível comprometer este sistema e alterar os preços dos produtos vendidos nas lojas, roubar dados das transações efetuadas ou, simplesmente, alterar os recibos para que apresentem muito mais informação.
A vulnerabilidade está no SAP POS Xpress Server, que trata dos pagamentos feitos nos sistemas POS da empresa e extremamente simples de explorar, tendo elevadas chances de ser bem sucedido, porque este sistema tem bastantes lacunas nas verificações de autorização do lado do servidor.
Como é explorada esta falha dos POS da SAP
Como o vídeo prova, basta o acesso físico à rede da loja e um Raspberry Pi para que o software malicioso seja carregado para o sistema, sendo depois iniciado o ataque. Caso exista acesso Wi-Fi a essa rede, então o acesso é ainda mais facilitado.
Resta apenas ao atacante alterar os parâmetros que quiser, alterando os preços, criando promoções ou outras medidas. Este acesso fica aberto no sistema.
A boa notícia é que a SAP foi alertada para o problema em abril deste ano e de imediato começou a tratar da sua resolução. Esta é mais uma falha que se junta a tantas outras que temos visto aparecer nos dispositivos que usamos todos os dias e que julgávamos estarem muito mais protegidos.