Plataformas de pedidos de restaurantes são alvos de hackers

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Inscreva-se para assistir

Os dados dos cartões de pagamento de clientes de mais de 300 restaurantes foram roubados em campanhas de skimming online direcionadas a três plataformas de pedidos online. Os web skimmers, ou malware Magecart , são geralmente códigos JavaScript que coletam dados de cartão de crédito quando os compradores online os inserem na página de finalização da compra.

O ataque foi descoberto pela ferramenta de detecção de ameaças da Recorded Future , que identificou duas campanhas do tipo Magecart injetando código malicioso nos portais de pedidos online da MenuDrive , Harbortouch e InTouchPOS . Como resultado, 50,000 cartões de pagamento foram roubados e estão sendo oferecidos à venda em diversos mercados da Dark Web .

A Campanha de Hacking

Nessas plataformas, o web skimmer foi injetado nas páginas web do restaurante e em seu subdomínio atribuído na plataforma do serviço de pagamento online.

Menu Drive

O malware implantado no MenuDrive utilizava dois scripts: um para obter os dados do cartão de pagamento e outro para coletar o nome, endereço de e-mail e número de telefone do titular do cartão. Isso era feito anexando-se ao evento "onmousedown" e "respondendo a cliques de vários botões durante o processo de criação da conta e finalização da compra".

Porto Touch

Na plataforma Harbortouch, o skimmer injetado utilizou um único script para roubar todas as Informações de Identificação Pessoal (PII) e dados de cartões de pagamento.

InTouchPOS

A campanha direcionada ao InTouchPOS começou em 12 de novembro de 2021, mas a maioria das injeções de skimmer em páginas da web aconteceu muito depois, em janeiro de 2022. 

O skimmer e os artefatos que o caracterizam (nomes de variáveis, estrutura, ofuscação e esquemas de criptografia) o vinculam a campanhas antigas e ainda em andamento, afirma a Recorded Future em um relatório . Nesse caso, o skimmer não rouba os dados do site, mas sobrepõe um formulário de pagamento falso em sites legítimos que estão prontos para finalizar a compra com cartão de crédito.

Infelizmente, esses ataques ainda estão em andamento e o número de clientes de restaurantes afetados provavelmente aumentará. Não é uma solução fácil para essas empresas, mas certamente é algo em que estão trabalhando neste momento. 

O que você deve fazer?

Se você é um restaurante e utiliza um desses sistemas, é recomendável tentar encontrar uma alternativa imediatamente para reduzir a chance de seu negócio ser vítima desse ataque. Até que os sistemas sejam corrigidos e corrigidos, eles ainda estarão vulneráveis a agentes mal-intencionados. Até lá, estas são as medidas que sua empresa pode tomar para reduzir a probabilidade de se tornar vítima de uma campanha de hacking. 

Ao selecionar um novo fornecedor para seu sistema de pagamento POS, certifique-se de que ele esteja adotando as seguintes medidas de segurança:

1. Eles estão treinando seus desenvolvedores sobre As 10 principais vulnerabilidades de codificação a serem evitadas pela OWASP.
2. Eles estão realizando uma web anual teste de penetração de aplicativos com hackers humanos de chapéu branco.
3. Eles estão se apresentando Estático e Dinâmico Avaliações de código com ferramentas automatizadas e correção de todas as descobertas críticas.
4. Eles estão Conformidade com PCI apropriado ao seu nível de comerciante (1-4).
5. Eles estão seguindo todas as práticas recomendadas mínimas de segurança essenciais do CyberHoot listadas abaixo.

Recomendações mínimas essenciais de segurança cibernética da CyberHoot

As recomendações a seguir ajudarão você e sua empresa a se manterem seguros contra as diversas ameaças que podem surgir no dia a dia. Todas as sugestões listadas abaixo podem ser obtidas ao contratar os serviços de desenvolvimento do Programa vCISO da CyberHoot.

1. Governe os funcionários com políticas e procedimentos. Você precisa, no mínimo, de uma política de senhas, uma política de uso aceitável, uma política de tratamento de informações e um programa de segurança da informação (WISP) por escrito.
2. Treinar os funcionários sobre como identificar e evitar ataques de phishing. Adote um sistema de gerenciamento de aprendizagem como o CyberHoot para ensinar aos funcionários as habilidades necessárias para que eles sejam mais confiantes, produtivos e seguros.
3. Teste funcionários com ataques de phishing para praticar. Os testes de phishing da CyberHoot permitem que as empresas testem funcionários com ataques de phishing confiáveis e submetam aqueles que falham a um treinamento corretivo de phishing.
4. Implementar tecnologia crítica de segurança cibernética, incluindo autenticação de dois fatores em todas as contas críticas. Habilite a filtragem de SPAM de e-mail, valide backups e implante proteção de DNS, antivirus, e antimalware em todos os seus endpoints.
5. Na era moderna do trabalho em casa, certifique-se de gerenciar dispositivos pessoais que se conectam à sua rede validando sua segurança (patches, antivírus, proteções de DNS) ou proibindo seu uso completamente.
6. Se você não passou por uma avaliação de risco terceirizada nos últimos 3 anos, deveria ter uma agora. Estabelecer uma estrutura de gestão de riscos na sua organização é fundamental para lidar com os riscos mais graves com seu tempo e dinheiro limitados.
7. Contrate um Seguro Cibernético para se proteger em caso de desastre. O Seguro Cibernético não é diferente de um seguro de carro, incêndio, inundação ou vida. Ele está lá quando você mais precisa.

Cada uma dessas recomendações, com exceção do seguro cibernético, está integrada ao produto e aos serviços de Diretor de Segurança da Informação (CISO) virtual da CyberHoot. Com a CyberHoot, você pode governar, treinar, avaliar e testar seus funcionários. Visite CyberHoot.com e inscreva-se em nossos serviços hoje mesmo. No mínimo, continue aprendendo assinando nossos boletins informativos mensais sobre segurança cibernética para ficar por dentro das últimas novidades na área.

Fontes:

The Hacker News

Computador bleeping

Relatório Futuro Registrado

Leituras adicionais:

Quão seguros são os aplicativos de pagamento?