El FBI busca la tecnología PAX del gigante chino de puntos de venta: Krebs on Security

Investigadores federales de EE. UU. Allanaron oficinas de Florida hoy Tecnología PAX, un proveedor chino de dispositivos de punto de venta utilizados por millones de empresas y minoristas de todo el mundo. KrebsOnSecurity se enteró de que la redada estaba vinculada a informes de que los sistemas de PAX pueden haber estado involucrados en ataques cibernéticos contra organizaciones de EE. UU. Y la UE.

Agentes del FBI ingresan hoy a las oficinas de PAX Technology en Jacksonville. Fuente: WOKV.com.

PAX Technology Inc. tiene su sede en Shenzhen, China, y opera más de 60 millones de terminales de punto de venta en 120 países. Anteriormente basado en Jacksonville, Florida WOKV.com informó que agentes del FBI y Departamento de Seguridad Nacional (DHS) allanó un almacén local de PAX Technology.

En una declaración oficial, los investigadores solo le dijeron al WOKV que estaban realizando una búsqueda del almacén aprobada por el tribunal como parte de una investigación federal, y que la investigación era la Departamento de Aduanas y Protección Fronteriza y el Servicios de investigación criminal naval (NCIS). El FBI no ha respondido a las solicitudes de comentarios.

Hace unos días, KrebsOnSecurity escuchó de una fuente confiable que el FBI comenzó a investigar a PAX después de que un importante procesador de pagos de EE. UU. Comenzara a hacer preguntas sobre paquetes de red inusuales provenientes de las terminales de pago de la compañía.

Según esta fuente, el procesador de pagos descubrió que los terminales PAX se utilizaban tanto como lanzadores de malware (un depósito de archivos maliciosos) como ubicaciones de «comando y control» para organizar ataques y recopilar información.

«El FBI y el MI5 están llevando a cabo una investigación intensiva sobre PAX», dijo la fuente. «Un gran procesador de pagos de EE. UU. Comenzó a hacer preguntas sobre paquetes de red provenientes de terminales PAX y no obtuvo buenas respuestas».

KrebsOnSecurity se puso en contacto con el CEO de PAX Technology el domingo. La compañía aún no ha respondido a las solicitudes de comentarios.

La fuente dijo que dos importantes empresas de servicios financieros, una en los EE. UU. Y otra en el Reino Unido, ya han comenzado a retirar los terminales PAX de su infraestructura de pagos, una afirmación que ha sido confirmada por dos fuentes diferentes.

«Mis fuentes dicen que hay evidencia técnica de cómo se utilizaron las terminales en las operaciones de ataque», dijo la fuente. “Los tamaños de los paquetes no coinciden con los detalles de pago que deben enviar, ni se correlacionan con la telemetría que estos dispositivos pueden mostrar cuando actualizan su software. PAX ahora afirma que la investigación tiene motivaciones raciales y políticas «.

La fuente no pudo proporcionar detalles específicos sobre la extraña actividad de la red que provocó la investigación del FBI. Sin embargo, cabe señalar que los terminales de punto de venta y la tecnología que los respalda son un objetivo constante para los ciberdelincuentes.

No es raro que los terminales de pago se vean comprometidos de forma remota por malware y se vean obligados a recopilar y transmitir información robada. De hecho, algunos de los robos cibernéticos más grandes de la historia fueron malware en el punto de venta, incluida la infracción de 2008 en Heartland Payment Systems que expuso 100 millones de tarjetas de pago y la serie de infracciones de 2013-2014 en Target, Home Depot y otros lugares que resultaron en el robo de alrededor de otros 100 millones de tarjetas.

Incluso si se demostrara públicamente hoy que la tecnología de la empresa era de hecho un riesgo para la seguridad, creo que pocos minoristas harían mucho al respecto en el corto plazo. El estudio de la tecnología PAX llega en un momento difícil para los minoristas, muchos de los cuales se están preparando para la ajetreada temporada de compras navideñas. Además, la escasez mundial de chips de computadora provoca grandes retrasos en la adquisición de nuevos productos electrónicos.