Xpient: Security-Berater hackt Kasse mit dem Smartphone
An der Kasse bei Walmart in Phoenix, Arizona (Bild: Joshua Lott/Reuters)

Xpient Security-Berater hackt Kasse mit dem Smartphone

Die Kassenschublade lässt sich per unerlaubtem Fernzugriff ansprechen. Zwei Zeichen Hackercode reichen, um eine Kasse zu öffnen, die mit der Software des Herstellers Xpient läuft.

Anzeige

Der Security-Experte Matt Bergin hat eine Lücke bei dem Kassensoftwarehersteller Xpient entdeckt, die es ermöglicht, durch das Senden eines kurzen Codes vom Smartphone Kassen zu öffnen. Dies berichtet die New York Times unter Berufung auf den Experten, der Security Consultant bei dem Unternehmen Core Security ist. Das Unternehmen hat den Bericht bestätigt.

Zum Öffnen der Kasse sei nur das Senden von zwei Zeichen nötig, sagte Bergin der Zeitung. "Es war sehr trivial", so Bergin, der mit Reverse Engineering die Lücke fand. Er habe erwartet, in der Software eine verschlüsselte Schicht oder einen Passwortschutz zu finden, den er erst brechen müsse. Doch zu seiner Überraschung war dem nicht so. Die Kassenschublade habe sich ganz einfach öffnen lassen.

Xpient-Chef Christopher Sebes sagte der New York Times, dass das Unternehmen einen Patch bereitgestellt habe, den sich die Kunden herunterladen könnten. Laut Sebes sei der Angriff aber nicht möglich, wenn der Kassenbetreiber die Windows Firewall aktiviert hätte. Wer einfach die "No Sale"-Taste drückt, könne aber auch auf diesem Weg die Geldschublade jederzeit öffnen.

Im Juli 2012 wurde berichtet, dass Hacker EC-Kartendaten samt Geheimnummern an einem Gerät von Verifone auslesen können. Das Kartenlesegerät wurde von außen über die LAN-Verbindung angegriffen und Kartendaten sowie Geheimnummern kopiert. Damit ließen sich neue EC-Karten produzieren, um im Ausland Geld abzuheben oder im Internet einzukaufen.

Der IT-Experte Karsten Nohl von der Berliner Firma Security Research Labs sagte: "Der Kartenleser kann mittels Pufferüberlauf im Netzwerk-Stack angegriffen werden, um den Applikationsprozessor zu übernehmen. Der Angreifer bekam so Zugang zum Terminal und konnte den Applikationsprozessor, das Eingabefeld für die PIN und das Display kontrollieren und die PIN abfangen."

Der Angriff könne nur dann über das Internet erfolgen, wenn Public-IPs für solche Terminals vergeben werden, was praktisch nicht passiert. Nohl: "Wenn es aber gelingt, über das Internet irgendeinen Computer in dem Netzwerk zu hacken, dann können natürlich auch alle Kassenterminals gekapert werden."


Krakatau 23. Jul 2013

Letzte Woche hat jemand auf meinem Namen über die Netto-App für insgesamt 220 Euro...

Hu5eL 12. Jun 2013

Dachte der Datenaustausch sollte mittels verschlüsselung (private-key) durchgeführt...

itsame 08. Jun 2013

Nein kann man nicht. Die sind meistens Passwort geschützt. In der Regel gehen die nur bei...

itsame 07. Jun 2013

Vermutlich gab es Bufferoverflows. Die Kassen dachten es kommen normale EANs und dann...

DrIGGI 07. Jun 2013

Ich frage mich eher wie das mit nur 2 Zeichen gehen soll

Kommentieren



Anzeige

  1. IT-Teamleitungen (m/w) für Betreute Lokale Netze an beruflichen Schulen
    Landeshauptstadt München, München
  2. Abteilungsleiter IT-Systemtechnik (m/w)
    LÖWEN ENTERTAINMENT GmbH, Bingen bei Mainz
  3. Ad Manager (m/w)
    Heise Medien Gruppe GmbH & Co. KG, Hannover oder München
  4. Web-Entwickler (m/w)
    PROJECT PI Immobilien AG, Nürnberg

 

Detailsuche


Folgen Sie uns
       


  1. Versatel

    United Internet kauft Glasfasernetz für 586 Millionen Euro

  2. Android Wear

    Google will die Smartwatch klüger machen

  3. Flir One

    PIN-Ausspähung per Wärmesensor

  4. Dolby Atmos probegehört

    Klang aus der Decke kommt fürs Heimkino

  5. Air Food One

    Post liefert online bestelltes Lufthansa-Essen nach Hause

  6. Threshold

    Microsoft China scherzt über Startmenü in Windows 9

  7. Lieferdrohnen

    Nasa entwickelt Leitsystem für Flugroboter

  8. Radeon R9 285

    Die schnellste Grafikkarte mit nur zwei 6-Pol-Anschlüssen

  9. Bitcoin

    Charles Shrem will sich schuldig bekennen

  10. Mozilla

    Firefox 32 verbessert Werkzeuge und Leistung



Haben wir etwas übersehen?

E-Mail an news@golem.de



Test Infamous First Light: Neonbunter Actionspaß
Test Infamous First Light
Neonbunter Actionspaß
  1. Infamous Erweiterung First Light leuchtet Ende August 2014

Test Bioshock für iOS: Unterwasserstadt für die Hosentasche
Test Bioshock für iOS
Unterwasserstadt für die Hosentasche
  1. Unter Wasser Bioshock auf iOS-Geräten

Überschall-U-Boot: Von Schanghai nach San Francisco in 100 Minuten
Überschall-U-Boot
Von Schanghai nach San Francisco in 100 Minuten

    •  / 
    Zum Artikel