20 khách sạn bị tấn công, dữ liệu thẻ thanh toán gặp nguy

Thanh toán trên máy POS tiềm ẩn nguy cơ bị tấn công.

Theo IBTimes, HEI Hotels & Resorts – doanh nghiệp đang điều hành hệ thống khách sạn nổi tiếng có trụ sở tại Norwalk, Connecticut (Mỹ) – cho biết đã có 20 khách sạn, trong đó có những cái tên nổi tiếng như Hyatt, Marriott, Starwood, IHG Intercontinental… bị ảnh hưởng. Tin tặc đã sử dụng một phần mềm độc hại nhằm vào hệ thống thanh toán có kết nối với máy cà thẻ POS (point-of-sale) và lấy cắp thông tin cá nhân và cũng như thông tin giao dịch tài chính.

"Phần mềm độc hại được thiết kế đặc biệt để đánh cắp dữ liệu khi khách hàng thanh toán tiền bằng thẻ tại hệ thống khách sạn, nhà hàng, spa… của chúng tôi. Mọi thứ chỉ vừa được phát hiện vào 21/ 6", Chris Daly, phát ngôn viên của HEI, cho biết.

Cũng theo Daly, phần mềm độc hại có thể đã xâm nhập vào hệ thống máy tính của họ từ tháng 3/2015 nhưng không bị phát hiện. Trong thời gian đó, hàng loạt thông tin bao gồm số thẻ, chủ tài khoản, số tài khoản, thời hạn sử dụng của thẻ và mã xác minh đều bị tin tặc đánh cắp. Tuy nhiên, rất may mã PIN đã không lọt vào tay kẻ xấu, bởi chúng không được lưu trữ sau mỗi lần giao dịch. Ước tính, có khoảng 8.000 giao dịch diễn ra ở khách sạn Hyatt (California) và 12.800 tại IHG Intercontinental (Florida).

POS là gì, tại sao lại dễ bị tấn công?

POS là máy các máy chấp nhận thanh toán bằng thẻ. Với ưu điểm gọn nhẹ, tiện dụng, dễ lắp đặt, máy POS được trang bị tại hầu hết siêu thị, khách sạn, trung tâm thương mại… khắp nơi trên thế giới, trong đó có Việt Nam. Chúng sẽ giúp người dùng giao dịch nhanh chóng mà không cần mang theo tiền mặt.

Tuy nhiên, hiện máy POS đang bị nhiều kẻ xấu nhòm ngó vì nhiều kẽ hở an ninh. Theo Alexander Heid, Giám đốc của hãng bảo mật Security Scorecard, hệ thống máy tính hỗ trợ POS rất dễ bị tấn công, tương tự bất kỳ hệ thống máy tính được kết nối Internet.

"Những kẻ tấn công thường tìm cách lây nhiễm mã độc bằng cách lừa người điều khiển hệ thống tải về chúng, thông qua email, liên kết lạ… Sau đó, phần mềm độc hại sẽ tự động cài vào và chờ đợi thời cơ khi người dùng thanh toán. Khi quá trình này diễn ra, mọi thông tin nhập vào bao gồm số tài khoản, mật khẩu, dữ liệu cá nhân sẽ bị thu thập và gửi về máy chủ từ xa. Phần mềm càng lỗi thời, mật khẩu yếu, cấu hình hệ thống không chính xác… thì càng dễ bị tấn công", Heid nhấn mạnh.

Theo Chris Black, chuyên gia POS của Carbon Black, một máy POS duy nhất có thể cung cấp hàng nghìn thẻ tín dụng trong vài tuần tới vài tháng, tùy theo thời điểm. Ví dụ mùa du lịch, khách sạn luôn đông khách và đây là cơ hội để kẻ xấu đánh cắp nhiều thông tin hơn.

"Với kỹ thuật mới, kẻ xấu có thể 'nhân bản' thông tin đã đánh cắp lên thẻ mới. Sau đó, từ các thông tin cá nhân, chúng tìm cách reset mã PIN thông qua trang web ngân hàng. Cuối cùng, những kẻ này thiết lập lại mật khẩu trên tài khoản, kiểm tra số dư tài khoản…và tất nhiên là thoải mái rút tiền", ông Black cảnh báo.

Bảo Lâm